Bitcoin Core меняет подход к обработке уязвимостей безопасности, объясняя это тем, что большие языковые модели значительно упростили обнаружение некоторых ошибок в программном обеспечении.
В письме, отправленном в четверг в список рассылки разработчиков Bitcoin, разработчик Bitcoin Core Антуан Пуасон заявил, что раньше сведения об уязвимостях обычно не раскрывали в течение длительного времени, чтобы пользователи успели обновить ПО до публикации подробностей.
Сохранение такой секретности обычно означало, что исправления нельзя было перенести в более старые версии программного обеспечения, и пользователям приходилось ждать следующего крупного обновления. Однако, по словам Пуасона, большие языковые модели настолько упростили повторное обнаружение некоторых ошибок, что отсрочка исправлений почти не обеспечивает защиты.
«Период эмбарго мало что даёт, но задерживает выход запланированного релиза», — сказал Пуансо. «Поэтому мы обновляем правила раскрытия информации, чтобы учесть такие случаи».
Это изменение происходит на фоне того, что исследования безопасности с помощью ИИ оказывают давление на разработчиков во всей экосистеме программного обеспечения Bitcoin.
Согласно обновлённым правилам, уязвимости, признанные «легко обнаруживаемыми», будут устраняться как можно скорее во всех поддерживаемых основных версиях, а вместе с обновлениями будут публиковаться рекомендации по безопасности.
«Эта категория охватывает уязвимости, которые можно обнаружить с минимальными усилиями, например с помощью простого запроса к LLM», — говорится в сообщении.
Раскрытие информации об остальных уязвимостях по-прежнему будет происходить по графику, зависящему от степени серьёзности: от критических недостатков, угрожающих фундаментальной безопасности Bitcoin, до менее опасных ошибок с ограниченным влиянием на отдельные узлы.
В Bitcoin Core сообщили, что информация об уязвимостях низкой степени серьёзности будет раскрываться через две недели после выхода основной версии, содержащей исправление. Информация об уязвимостях средней и высокой степени серьёзности будет раскрываться через две недели после того, как последняя затронутая версия достигнет «конца жизненного цикла» — обычно через год после выпуска исправления в новой основной версии.
«Критические ошибки не подпадают под стандартные правила, поскольку для них, скорее всего, потребуется особая процедура», — говорится в сообщении.
«Раньше я не соглашался с подходом Антуана к безопасности, но это хорошее обновление», — сказал Люк де Вулф, ведущий подкаста Bitcoin Infinity Show и автор книги «Защита Bitcoin».
В августе волонтёрская команда Bitcoin Red Team сообщила почти о 5 000 потенциальных проблем в 390 проектах, хотя на тот момент удалось воспроизвести лишь около пятой части выявленных проблем.
В том же месяце разработчики Core Lightning призвали операторов обновить ПО или отключить узлы после получения нескольких отчётов об уязвимостях, созданных ИИ, при этом технические подробности не раскрывались в течение двух недель.
Журнал: Новый запрет DeepSeek в США, укрепление связей криптоиндустрии Швейцарии и Азии: Asia Express