Resumo
O Bitcoin Core alterou a forma como divulga vulnerabilidades de segurança no seu software.
O desenvolvedor Antoine Poinsot disse que os modelos de linguagem de IA tornaram algumas falhas fáceis de redescobrir.
As falhas classificadas como «fáceis de descobrir» passarão a ser corrigidas o mais rapidamente possível em todas as versões ainda mantidas.
As outras falhas continuarão a seguir prazos de divulgação definidos com base na sua gravidade.
As falhas críticas estão fora da política padrão e provavelmente exigiriam um processo especial.
O Bitcoin Core, o principal software usado para operar a rede Bitcoin, está a mudar a forma como lida com falhas de segurança. Os programadores afirmam que as ferramentas de inteligência artificial tornaram algumas falhas muito mais fáceis de encontrar.
O desenvolvedor do Bitcoin Core Antoine Poinsot compartilhou a atualização por e-mail na lista de discussão Bitcoin Development Mailing List na quinta-feira. Ele explicou por que a abordagem antiga já não funciona para certos tipos de bugs.
Por que o Bitcoin Core está mudando sua abordagem
No passado, as vulnerabilidades geralmente eram mantidas em segredo durante longos períodos de embargo à divulgação. Isso dava aos usuários tempo para atualizar o software antes que os detalhes se tornassem públicos.
Manter esse sigilo muitas vezes significava que as correções não podiam ser adicionadas às versões antigas do software. Os usuários tinham de esperar pelo próximo lançamento principal para receber a correção.
Poinsot afirmou que os grandes modelos de linguagem, ou LLMs, mudaram esse cenário. Algumas falhas agora são tão fáceis de redescobrir que adiar as correções pouco faz para proteger os usuários.
“O período de embargo pouco contribui, além de atrasar a disponibilidade de uma versão corrigida”, afirmou Poinsot. “Por isso, estamos atualizando nossa política de divulgação para contemplar esses casos.”
Como funciona a nova política
De acordo com a política atualizada, os bugs classificados como “facilmente detectáveis” serão corrigidos o mais rápido possível. As correções serão lançadas para todas as versões principais ainda mantidas, acompanhadas de um aviso de segurança.
A página da política diz que essa classificação “se aplica a vulnerabilidades que podem ser descobertas com o mínimo de esforço, por exemplo, com um simples comando para um LLM”. Esses bugs não estarão sujeitos aos períodos de espera padrão.
As demais vulnerabilidades continuarão seguindo cronogramas de divulgação baseados na gravidade. O Bitcoin Core classifica os bugs em quatro grupos: crítico, alto, médio e baixo.
Bugs de baixa gravidade serão divulgados duas semanas após o lançamento de uma versão principal que inclua a correção. Bugs de gravidade média e alta serão divulgados duas semanas depois que a última versão afetada chegar ao “fim da vida útil”, o que geralmente acontece cerca de um ano após a correção ser disponibilizada pela primeira vez.
O projeto também publicará um pré-anúncio duas semanas antes de divulgar os detalhes de um bug sob embargo. Esse aviso será publicado junto com uma nova versão principal e informará quantos bugs foram corrigidos e qual era a gravidade deles.
“Bugs críticos não são contemplados pela política padrão, pois provavelmente exigiriam um procedimento ad hoc”, afirma a política. Entre os bugs críticos estão aqueles que podem permitir o roubo de moedas, criar moedas fora do cronograma estabelecido ou causar divisões duradouras na rede.
O site do Bitcoin Core também lista avisos de segurança anteriores. Várias correções, incluindo as que resolvem falhas remotas e ataques que enchem o disco, foram lançadas no Bitcoin Core v30.0 em 10 de outubro de 2025.
A mudança ocorre enquanto a pesquisa de segurança assistida por IA pressiona desenvolvedores em todo o ecossistema de software do Bitcoin. Em agosto, a equipe voluntária Bitcoin Red Team relatou quase 5.000 possíveis problemas em 390 projetos. Na época, apenas cerca de um quinto dessas descobertas havia sido reproduzido.
Naquele mesmo mês, os desenvolvedores do Core Lightning recomendaram que os operadores de nós atualizassem seus sistemas ou colocassem os nós offline. Eles haviam recebido vários relatos de vulnerabilidades gerados por IA e mantiveram os detalhes técnicos em sigilo por duas semanas.
A nova política recebeu algum apoio da comunidade Bitcoin. “Já discordei da abordagem de Antoine em relação à segurança, mas esta é uma boa atualização”, afirmou Luke de Wolf, apresentador do Bitcoin Infinity Show e autor de “Defending Bitcoin”.
A publicação Bitcoin Core atualiza política de segurança à medida que a IA facilita a descoberta de bugs foi publicada originalmente no Blockonomi.