Các nhà phát triển Bitcoin Core đang điều chỉnh cách dự án xử lý việc công bố lỗ hổng bảo mật, trước thực tế ngày càng rõ rệt rằng các mô hình ngôn ngữ lớn (LLM) có thể giúp tìm ra một số lỗ hổng nhanh hơn nhiều. Trong email gửi đến danh sách thư Bitcoin Development, nhà phát triển Bitcoin Core Antoine Poinsot cho biết thông lệ truyền thống là trì hoãn công bố trong thời gian dài đang trở nên kém hữu ích hơn, khi kẻ tấn công có thể gần như lập tức tìm lại các lỗi.

Bản cập nhật, được mô tả là một phần trong cách tiếp cận mới của Bitcoin Core về việc công bố lỗ hổng, nhằm đưa phần mềm đã được vá đến người dùng các phiên bản vẫn còn được duy trì sớm hơn — đồng thời vẫn công bố các khuyến cáo bảo mật cùng lúc với những bản cập nhật này đối với một số nhóm vấn đề nhất định.

Điểm chính

• Bitcoin Core cho biết các mô hình ngôn ngữ lớn (LLM) có thể làm giảm hiệu quả của việc giữ kín thông tin về lỗ hổng bằng cách khiến một số lỗ hổng “dễ dàng được phát hiện” trong thời gian ngắn.

• Theo chính sách cập nhật, các bản sửa lỗi cho những lỗ hổng “dễ dàng được phát hiện” sẽ được phát hành sớm nhất có thể trên tất cả các phiên bản chính vẫn được duy trì.

• Các khuyến cáo bảo mật về những vấn đề này sẽ được công bố cùng với các bản phát hành đã khắc phục lỗi, thay vì sau một khoảng trì hoãn.

• Các loại lỗ hổng khác vẫn sẽ tuân theo lịch công bố dựa trên mức độ nghiêm trọng, bao gồm quy định cụ thể về thời hạn hai tuần đối với rủi ro thấp và trung bình/cao.

Vì sao Bitcoin Core thay đổi cách công bố thông tin

Trước đây, việc công bố lỗ hổng bảo mật thường dựa vào thời gian giữ kín thông tin — trì hoãn tiết lộ chi tiết cho đến khi người dùng có thời gian nâng cấp. Poinsot lập luận rằng cách tiếp cận này có thể hiệu quả khi việc phát hiện lại lỗ hổng khó khăn hoặc tốn nhiều thời gian. Nhưng nếu có thể dễ dàng tìm ra lỗi bằng các kỹ thuật có AI hỗ trợ, việc trì hoãn có thể không đem lại sự bảo vệ đáng kể.

Trong email, Poinsot cho biết thời gian giữ kín thông tin “hầu như chẳng mang lại lợi ích gì ngoài việc trì hoãn khả năng cung cấp bản phát hành đã sửa lỗi”, đồng thời giải thích rằng trước đây việc chuyển các bản sửa lỗi về những phiên bản phần mềm cũ khó thực hiện. Vì vậy, người dùng có thể phải chờ đến bản phát hành lớn tiếp theo mới nhận được mã đã khắc phục.

Ông cho biết dự án đang cập nhật chính sách để phản ánh sự thay đổi trong môi trường đe dọa, nơi nghiên cứu có AI hỗ trợ khiến các lỗ hổng có thể bị phát hiện lại nhanh hơn.

Danh mục “dễ dàng được phát hiện” có nghĩa là gì

Chính sách cập nhật của Bitcoin Core làm rõ cách phân loại và xử lý các lỗ hổng. Theo trang chính sách khuyến cáo bảo mật của dự án, những vấn đề được xem là “dễ dàng được phát hiện” sẽ được khắc phục nhanh hơn trên tất cả các phiên bản chính vẫn được duy trì.

Chính sách mô tả nhóm này là những lỗ hổng có thể được phát hiện với nỗ lực tối thiểu — trong đó nêu rõ các ví dụ như tìm ra lỗi bằng một câu lệnh đơn giản cho LLM.

Thay vì giữ kín thông tin đến một thời điểm sau đó, Bitcoin Core sẽ công bố khuyến cáo bảo mật cùng với các bản phát hành đã sửa lỗi thuộc nhóm này. Trên thực tế, điều đó có nghĩa là các đơn vị vận hành không cần chờ đến thời hạn công bố thông tin truyền thống mới có thể lên kế hoạch nâng cấp dựa trên các bản sửa lỗi cụ thể và bối cảnh rủi ro liên quan.

Các mốc thời gian dựa trên mức độ nghiêm trọng vẫn được áp dụng cho những vấn đề khác

Bitcoin Core cho biết không phải mọi lỗ hổng đều được xử lý như nhau, dù nhóm “dễ dàng được phát hiện” sẽ được xử lý nhanh hơn. Các lỗi khác vẫn tuân theo lịch công bố dựa trên mức độ nghiêm trọng, từ những vấn đề nghiêm trọng đe dọa an ninh nền tảng của Bitcoin đến các lỗi rủi ro thấp, chỉ gây ảnh hưởng hạn chế đến từng nút mạng.

Theo chính sách, các lỗ hổng mức độ nghiêm trọng thấp sẽ được công bố hai tuần sau khi phát hành phiên bản chính có chứa bản sửa lỗi. Các lỗ hổng mức độ trung bình và cao sẽ được công bố hai tuần sau khi bản phát hành cuối cùng bị ảnh hưởng kết thúc “Vòng đời”, thường là khoảng một năm sau khi bản sửa lỗi được đưa vào phiên bản chính mới.

Chính sách cũng nêu một ngoại lệ: các lỗi nghiêm trọng không thuộc lịch trình tiêu chuẩn, vì có thể cần một quy trình riêng tùy từng trường hợp.

Cách tiếp cận này cho thấy nỗ lực cân bằng: hành động nhanh khi kẻ tấn công có thể nhanh chóng tái tạo cùng một điểm yếu, nhưng vẫn duy trì phương thức dựa trên mức độ nghiêm trọng đã được thiết lập đối với các lỗ hổng mà thời điểm công bố vẫn tạo ra khoảng thời gian hữu ích để nâng cấp phòng vệ.

Áp lực rộng hơn từ hoạt động kiểm thử bảo mật có AI hỗ trợ

Thay đổi về cách công bố thông tin diễn ra trong bối cảnh ngày càng có nhiều chú ý đến nghiên cứu lỗ hổng có AI hỗ trợ và những hệ quả của hoạt động này đối với việc vận hành phần mềm an toàn trên toàn bộ hệ sinh thái Bitcoin.

Các thông tin trước đó được cộng đồng Bitcoin nhắc đến bao gồm báo cáo tháng 8 của nhóm tình nguyện Bitcoin Red Team, trong đó xác định gần 5.000 vấn đề tiềm ẩn trên 390 dự án, dù tại thời điểm đó chỉ khoảng một phần năm số phát hiện đã được tái hiện. Quy mô này cho thấy việc rà soát phần mềm có thể mở rộng nhanh đến mức nào khi áp dụng các kỹ thuật tự động hóa và có AI hỗ trợ.

Cũng trong tháng đó, các nhà phát triển Core Lightning đã thúc giục đơn vị vận hành nâng cấp — hoặc đưa các nút mạng ngoại tuyến — sau khi nhận được nhiều báo cáo lỗ hổng do AI tạo ra. Các bài đưa tin riêng trong cùng thời gian cũng cho biết Core Lightning đã giữ kín chi tiết kỹ thuật trong hai tuần, cho thấy những bộ phận khác nhau trong hệ sinh thái Bitcoin đang phải đối mặt với cùng một bài toán: phát hiện nhanh hơn trong khi vẫn cần phối hợp công bố thông tin và vá lỗi.

Có thể xem chính sách cập nhật của Bitcoin Core là nỗ lực điều chỉnh quy trình công bố thông tin cho phù hợp với thực tế rằng việc phát hiện lỗ hổng có thể không còn bị giới hạn bởi thời gian. Nếu khoảng thời gian từ lúc “chưa nhiều người biết” đến khi lỗ hổng “bị vũ khí hóa hoặc được hiểu rộng rãi” ngày càng thu hẹp, thời gian giữ kín có thể cần ngắn lại — hoặc trong một số trường hợp, được thay bằng việc công bố ngay cùng với các bản sửa lỗi.

Điều gì cần theo dõi tiếp theo

Các đơn vị vận hành nên chú ý cách Bitcoin Core gắn nhãn “dễ dàng được phát hiện” cho những khuyến cáo trong tương lai, cũng như tốc độ các bản phát hành đang được duy trì tích hợp bản sửa lỗi trên nhiều phiên bản chính. Câu hỏi dài hạn là liệu cách tiếp cận này có giảm rủi ro mà không khiến người dùng bị quá tải bởi thông tin được công bố sớm hơn hay không — hoặc liệu nó có làm thay đổi cách tất cả các dự án trong hệ sinh thái Bitcoin phối hợp vá lỗi khi việc phát hiện lỗ hổng có AI hỗ trợ trở thành thông lệ.

Bài viết này ban đầu được đăng với tiêu đề Bitcoin Core cập nhật chính sách bảo mật khi AI cải thiện khả năng phát hiện lỗi trên Crypto Breaking News — nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật blockchain.