O Bitcoin Core afirma que está revisando a forma como divulga vulnerabilidades de segurança, reconhecendo que as ferramentas modernas de IA — especialmente os modelos de linguagem de grande escala — podem tornar certas falhas muito mais fáceis de encontrar e reproduzir. Em um e-mail enviado à lista de discussão de desenvolvimento do Bitcoin, o desenvolvedor do Bitcoin Core Antoine Poinsot argumentou que a abordagem tradicional de manter os detalhes em sigilo durante um longo período de embargo já não oferece muita segurança adicional em alguns casos.
Segundo a política atualizada, as vulnerabilidades consideradas “fáceis de descobrir” receberão correções mais rapidamente em todas as principais versões mantidas, e os avisos de segurança serão publicados junto com as atualizações. Outros bugs continuarão seguindo cronogramas baseados no tempo, definidos conforme a gravidade e os ciclos de lançamento do software.
Principais conclusões
Segundo a política atualizada, o Bitcoin Core está abandonando os longos períodos de embargo de divulgação para falhas “facilmente detectáveis”, incluindo problemas que podem ser encontrados com “um simples prompt de LLM”.
Para a nova categoria, as correções devem ser implementadas o mais rápido possível em todas as versões principais mantidas, e os avisos de segurança devem ser publicados ao mesmo tempo que a correção.
Vulnerabilidades de baixa gravidade serão divulgadas duas semanas após o lançamento de uma versão principal corrigida, enquanto problemas de gravidade média ou alta serão divulgados duas semanas depois que a última versão afetada chegar ao fim da vida útil.
O Bitcoin Core indica que bugs críticos são tratados fora da política padrão, provavelmente por meio de um processo ad hoc.
Por que o Bitcoin Core está mudando sua abordagem de divulgação
Historicamente, muitos projetos de código aberto usam embargos de divulgação: mantêm os detalhes das vulnerabilidades em sigilo por um período para dar aos usuários tempo de atualizar o software antes que o público em geral saiba o que procurar. Poinsot disse à lista de discussão Bitcoin Development que essa abordagem pode atrasar a disponibilidade de uma versão corrigida sem oferecer proteção significativa quando é fácil redescobrir as vulnerabilidades.
No e-mail, Poinsot disse que o período de embargo “pouco consegue além de atrasar a disponibilidade de uma versão corrigida”, acrescentando que, por isso, o Bitcoin Core ajustaria sua política de divulgação para levar essa realidade em conta.
A mudança fundamental está relacionada à evolução da pesquisa de segurança. Poinsot observou que as iniciativas de descoberta assistidas por IA podem revelar bugs rapidamente, comprimindo o intervalo entre uma “falha desconhecida” e um “caminho de exploração praticamente utilizável”. Esse cenário altera o valor de manter os detalhes em sigilo: se os atacantes conseguem reproduzir o problema rapidamente de qualquer maneira, o atraso na divulgação pode sobretudo adiar as atualizações defensivas, em vez de reduzir o risco de forma significativa.
Como a política atualizada funcionará
A política atualizada de avisos de segurança do Bitcoin Core, publicada na página de avisos de segurança do projeto, estabelece uma distinção clara entre vulnerabilidades que exigem um cronograma tradicional e aquelas que não exigem.
De acordo com a nova classificação, as vulnerabilidades “facilmente detectáveis” serão corrigidas rapidamente em todas as versões principais mantidas, e o aviso de segurança correspondente será publicado junto com as atualizações. O Bitcoin Core descreve explicitamente essa categoria como abrangendo problemas que podem ser encontrados com pouco esforço, inclusive por meio de um “simples prompt de LLM”.
A política também mantém os prazos de divulgação para outras vulnerabilidades, com base na gravidade e no ciclo de vida da versão:
Vulnerabilidades de baixa gravidade: divulgadas duas semanas após o lançamento de uma versão principal que contenha a correção.
Vulnerabilidades de gravidade média e alta: divulgadas duas semanas após a última versão afetada chegar ao “fim da vida útil”, o que normalmente ocorre um ano depois que a correção é lançada na nova versão principal.
O Bitcoin Core também afirmou que os bugs críticos não estão sujeitos ao cronograma padrão e que provavelmente exigiriam um procedimento ad hoc. Isso indica que o projeto espera que os problemas mais perigosos provoquem uma resposta operacional diferente da aplicação rotineira de correções e da publicação de avisos em datas programadas.
O que isso significa para usuários de versões antigas
Uma das implicações práticas mais importantes do momento da divulgação é a pressão para atualizar — especialmente para sistemas que não são atualizados imediatamente. Anteriormente, a abordagem do Bitcoin Core refletia a ideia de que manter em sigilo os detalhes das vulnerabilidades poderia limitar a rapidez com que as correções eram adaptadas para versões anteriores, deixando os usuários à espera do próximo ciclo de lançamento de uma versão principal. O argumento de Poinsot se concentra em eliminar esse obstáculo quando as ferramentas de IA reduzem o valor protetor do sigilo.
Ao priorizar a adaptação rápida de correções para versões anteriores no caso de problemas “facilmente detectáveis”, o Bitcoin Core busca, na prática, reduzir o período em que os operadores ficam expostos por continuarem usando versões antigas. Para operadores de nós, integradores de carteiras e quaisquer sistemas derivados que dependam das versões do Bitcoin Core, a atualização reforça que “esperar pela próxima versão principal” pode ser menos justificável em algumas classes de bugs.
Dito isso, a mudança na política não significa que todas as vulnerabilidades serão divulgadas imediatamente. A distinção feita pelo Bitcoin Core com base na gravidade sugere que o projeto ainda pretende equilibrar transparência e prontidão operacional, reservando a aceleração mais significativa para os casos em que a dificuldade de encontrar a falha já é baixa.
O contexto mais amplo: a pesquisa de segurança com IA está pressionando todo o ecossistema
O momento da atualização da política do Bitcoin Core coincide com o aumento de relatos de descoberta de vulnerabilidades gerada por IA em todo o ecossistema Bitcoin. Em agosto, a equipe voluntária Bitcoin Red Team relatou quase 5.000 possíveis problemas em 390 projetos, observando que, até então, apenas cerca de um quinto das descobertas havia sido reproduzido. Outros grupos de desenvolvimento reagiram a relatos gerados por IA recomendando que os operadores atualizassem seus sistemas ou até desligassem os nós enquanto aguardavam uma correção confirmada.
A Cointelegraph informou anteriormente que os desenvolvedores do Core Lightning recomendaram que os operadores atualizassem seus sistemas ou desligassem os nós após vários relatos de vulnerabilidades gerados por IA, enquanto outra reportagem destacou casos em que os detalhes técnicos foram mantidos em sigilo por duas semanas. Embora essas matérias tratem de componentes de software e decisões de divulgação diferentes, elas refletem uma tensão comum: quando as ferramentas de IA produzem rapidamente vulnerabilidades plausíveis, os desenvolvedores precisam decidir como evitar que a divulgação prematura cause pânico ou interrupções desnecessárias — sem deixar que o cronograma de defesa se arraste.
A posição revisada do Bitcoin Core indica que, para certos tipos de bugs, o equilíbrio mudou. Se os adversários conseguem encontrar rapidamente as mesmas vulnerabilidades usando ferramentas amplamente disponíveis, adiar as correções se torna um risco maior do que publicar os detalhes imediatamente junto com os patches.
O que observar daqui para a frente: como será aplicado o critério “facilmente detectável”
A política do Bitcoin Core introduz uma categoria que depende de uma classificação prática: o que conta como “facilmente detectável” e com que consistência esse critério é aplicado. Os próximos avisos publicados segundo a abordagem atualizada serão o teste mais claro de como o projeto colocará a regra em prática e da rapidez com que as versões mantidas receberão correções sincronizadas.
Este artigo foi publicado originalmente como Bitcoin Core Updates Security Policy as AI Speeds Bug Discovery no Crypto Breaking News — sua fonte confiável de notícias sobre criptomoedas, Bitcoin e atualizações de blockchain.