Разработчики Bitcoin Core пересматривают подход проекта к раскрытию информации об уязвимостях безопасности, учитывая новую реальность: большие языковые модели (LLM) могут значительно ускорить поиск некоторых уязвимостей. В письме в рассылку Bitcoin Development разработчик Bitcoin Core Антуан Пуансо отметил, что традиционная практика длительных отсрочек раскрытия информации становится менее эффективной, поскольку злоумышленники могут почти мгновенно повторно обнаружить ошибки.
Обновление, описываемое как часть нового подхода Bitcoin Core к раскрытию информации, призвано быстрее предоставлять пользователям исправленное программное обеспечение для поддерживаемых версий. При этом для некоторых категорий проблем рекомендации по безопасности будут публиковаться одновременно с обновлениями.
Главное
В Bitcoin Core заявили, что большие языковые модели (LLM) могут снижать эффективность эмбарго на раскрытие информации, поскольку некоторые уязвимости становятся «легко обнаруживаемыми» за короткое время.
Согласно обновлённой политике, исправления для «легко обнаруживаемых» уязвимостей будут выпускаться как можно скорее для всех поддерживаемых основных версий.
Рекомендации по безопасности для этих проблем будут публиковаться одновременно с выпусками исправлений, а не после задержки.
Для других типов уязвимостей сохранятся сроки раскрытия информации, зависящие от уровня опасности, включая конкретные правила о двухнедельной задержке для уязвимостей низкого, среднего и высокого уровня риска.
Почему Bitcoin Core меняет практику раскрытия информации
Исторически при раскрытии информации об уязвимостях безопасности часто применялось эмбарго — подробности не разглашали, пока у пользователей не появлялось время обновить ПО. По мнению Пуансо, этот подход может работать, если повторное обнаружение уязвимости затруднено или требует много времени. Но если дефект можно быстро найти с помощью ИИ, задержка может не обеспечить значимой защиты.
В своём письме Пуансо отметил, что период эмбарго «даёт мало пользы, но откладывает выпуск исправленной версии», пояснив, что раньше перенос исправлений в старые версии программного обеспечения был затруднён. В результате пользователям порой приходилось ждать следующего крупного выпуска, чтобы получить исправленный код.
Он сказал, что проект обновляет политику, чтобы учесть изменения в среде угроз, где исследования с помощью ИИ ускоряют повторное обнаружение уязвимостей.
Что означает категория «легко обнаруживаемых» уязвимостей
Обновлённая политика Bitcoin Core уточняет, как будут классифицироваться уязвимости и какие меры будут приниматься. Согласно странице проекта с политикой рекомендаций по безопасности, для проблем, признанных «легко обнаруживаемыми», исправления будут быстрее выпускаться для всех поддерживаемых основных версий.
Согласно политике, к этой категории относятся уязвимости, которые можно обнаружить с минимальными усилиями. В качестве примера прямо упоминается поиск ошибок с помощью простого запроса к LLM.
Вместо того чтобы скрывать подробности до более позднего срока, Bitcoin Core будет публиковать рекомендации по безопасности одновременно с исправленными выпусками для этой категории. На практике это означает, что операторам не придётся ждать окончания традиционного периода раскрытия информации, чтобы спланировать обновления с учётом конкретных исправлений и связанных с ними рисков.
Для остальных проблем сохраняются сроки, зависящие от уровня опасности
Хотя для категории «легко обнаруживаемых» уязвимостей сроки станут короче, Bitcoin Core отмечает, что не все уязвимости будут рассматриваться одинаково. Для остальных дефектов продолжат действовать графики раскрытия информации, основанные на уровне опасности: от критических проблем, угрожающих базовой безопасности Bitcoin, до ошибок с низким уровнем риска и ограниченным воздействием на отдельные узлы.
Согласно политике, информация об уязвимостях низкого уровня опасности будет раскрываться через две недели после выпуска основной версии, содержащей исправление. Информация об уязвимостях среднего и высокого уровня опасности будет раскрываться через две недели после окончания срока поддержки последнего затронутого выпуска. Обычно это происходит примерно через год после включения исправления в новую основную версию.
В политике также указано исключение: на критические ошибки стандартный график не распространяется, поскольку для них, вероятно, потребуется специальная процедура.
Такой подход предполагает поиск баланса: действовать быстро, когда злоумышленники могут оперативно воспроизвести ту же уязвимость, но сохранять устоявшийся подход с учётом уровня опасности для тех проблем, при раскрытии которых у пользователей ещё остаётся время обновить ПО и защититься.
Растущее давление со стороны тестирования безопасности с помощью ИИ
Изменение порядка раскрытия информации происходит на фоне повышенного внимания к поиску уязвимостей с помощью ИИ и его последствиям для безопасной эксплуатации программного обеспечения во всей экосистеме Bitcoin.
В публикациях, на которые ссылалось сообщество Bitcoin, упоминался августовский отчёт волонтёрской команды Bitcoin Red Team: в нём было выявлено почти 5 000 потенциальных проблем в 390 проектах, хотя на тот момент удалось воспроизвести лишь около пятой части обнаруженных случаев. Этот масштаб показал, насколько быстро можно расширить проверку программного обеспечения с помощью автоматизированных методов и ИИ.
В том же месяце разработчики Core Lightning призвали операторов обновить ПО или отключить узлы после получения нескольких отчётов об уязвимостях, созданных с помощью ИИ. В других публикациях того периода также сообщалось, что Core Lightning не раскрывала технические подробности в течение двух недель. Это отражает общую для разных частей экосистемы Bitcoin дилемму: ускорение поиска уязвимостей против необходимости координировать раскрытие информации и выпуск исправлений.
Обновлённую политику Bitcoin Core можно рассматривать как попытку привести механизмы раскрытия информации в соответствие с реальностью, в которой время уже не обязательно ограничивает поиск уязвимостей. Если промежуток между состояниями «мало кому известна» и «превращена в оружие или широко известна» сокращается, эмбарго, возможно, придётся сделать короче — или в некоторых случаях фактически заменить немедленным раскрытием информации одновременно с выпуском исправлений.
За чем следить дальше
Операторам следует внимательно следить за тем, как Bitcoin Core будет помечать будущие рекомендации как касающиеся «легко обнаруживаемых» уязвимостей и как быстро исправления будут появляться в поддерживаемых выпусках нескольких основных версий. В долгосрочной перспективе важно понять, позволит ли этот подход снизить риски, не перегружая пользователей преждевременной информацией, или же он изменит способы координации выпуска исправлений во всех проектах экосистемы Bitcoin, когда поиск уязвимостей с помощью ИИ станет нормой.
Изначально эта статья была опубликована под заголовком «Bitcoin Core обновляет политику безопасности на фоне улучшения поиска ошибок с помощью ИИ» на сайте Crypto Breaking News — вашем надёжном источнике новостей о криптовалютах, Bitcoin и блокчейне.