O Bitcoin Core está mudando a forma como lida com vulnerabilidades de segurança, explicando que os modelos de linguagem de grande escala tornaram certas falhas de software significativamente mais fáceis de descobrir.
Em um e-mail enviado na quinta-feira à lista de discussão sobre desenvolvimento do Bitcoin, o desenvolvedor do Bitcoin Core Antoine Poinsot afirmou que, no passado, as vulnerabilidades geralmente eram mantidas sob longos embargos de divulgação, para dar aos usuários tempo de atualizar o software antes que os detalhes se tornassem públicos.
Manter esse sigilo geralmente significava que as correções não podiam ser adaptadas a versões mais antigas do software, deixando os usuários à espera do próximo lançamento importante. No entanto, Poinsot afirmou que os modelos de linguagem de grande escala tornaram algumas falhas tão fáceis de redescobrir que adiar as correções oferece pouca proteção.
“O período de embargo pouco faz além de atrasar a disponibilização de uma versão corrigida”, disse Poinsot. “Por isso, estamos atualizando nossa política de divulgação para acomodar esses casos.”
A mudança ocorre enquanto a pesquisa de segurança assistida por IA pressiona desenvolvedores em todo o ecossistema de software do Bitcoin.
De acordo com a política atualizada, as vulnerabilidades consideradas “fáceis de descobrir” serão corrigidas o mais rápido possível em todas as versões principais ainda mantidas, e os avisos de segurança serão publicados junto com as atualizações.
“Essa classificação se aplica a vulnerabilidades que podem ser descobertas com esforço mínimo, por exemplo, usando um simples prompt de LLM”, afirmou.
As demais vulnerabilidades continuarão seguindo cronogramas de divulgação baseados na gravidade, que vão desde falhas críticas que ameaçam a segurança fundamental do Bitcoin até bugs de menor risco, com impacto limitado em nós individuais.
O Bitcoin Core afirmou que as vulnerabilidades de baixa gravidade serão divulgadas duas semanas após o lançamento de uma versão principal que contenha a correção, enquanto as vulnerabilidades de gravidade média e alta serão divulgadas duas semanas após a última versão afetada chegar ao “fim da vida útil”, normalmente um ano após a correção ser lançada na nova versão principal.
“Bugs críticos não são contemplados pela política padrão, pois provavelmente exigiriam um procedimento ad hoc”, afirmou.
“Já discordei da abordagem de Antoine em relação à segurança, mas esta é uma boa atualização”, disse Luke de Wolf, apresentador do Bitcoin Infinity Show e autor de “Defending Bitcoin”.
Em agosto, a equipe voluntária Bitcoin Red Team relatou quase 5.000 possíveis problemas em 390 projetos, embora, naquele momento, apenas cerca de um quinto das descobertas tivesse sido reproduzido.
Naquele mês, desenvolvedores do Core Lightning recomendaram que os operadores atualizassem seus nós ou os tirassem do ar após receberem vários relatórios de vulnerabilidades gerados por IA, mas não divulgaram detalhes técnicos por duas semanas.
Revista: Nova proibição do DeepSeek nos EUA, laços cripto entre Suíça e Ásia se estreitam: Ásia Express