Bitcoin Core kończy embargo na błędy, ponieważ AI wykrywa luki szybciej niż ludzie

Deweloperzy scalili zmianę polityki kończącą wielomiesięczne embargo na wady, które chatbot mógłby ponownie odkryć, po tym jak AI znalazła setki błędów bitcoin przed ludzkimi badaczami.

Deweloperzy Bitcoin Core fundamentalnie zmienili sposób radzenia sobie z lukami bezpieczeństwa, porzucając tradycyjny wielomiesięczny okres embargo na błędy, które narzędzia sztucznej inteligencji mogą łatwo ponownie odkryć. Zmiana polityki, scalona z bazą kodu Bitcoin Core w tym tygodniu, uznaje nową rzeczywistość: analiza kodu napędzana przez AI stała się tak skuteczna, że utrzymywanie niektórych wad w tajemnicy nie chroni już użytkowników.

Decyzja nastąpiła po lecie, w którym chatboty AI zidentyfikowały setki wcześniej nieznanych błędów w kodzie Bitcoin, zanim ludzcy badacze bezpieczeństwa je oznakowali. Deweloperzy odkryli, że wyrafinowane modele językowe mogą skanować repozytorium open source Bitcoin Core, identyfikować potencjalne luki i nawet sugerować ścieżki wykorzystania — wszystko to w ciągu godzin od zgłoszenia wady prywatnie do głównego zespołu.

Zgodnie ze starą polityką opiekunowie Bitcoin Core koordynowaliby embargo ujawnienia trwające od trzech do sześciu miesięcy, dając operatorom węzłów i dostawcom portfeli czas na załatanie systemów, zanim szczegóły staną się publiczne. To podejście zakładało, że przeciwnicy potrzebują znacznej wiedzy specjalistycznej i czasu, aby samodzielnie odkryć te same błędy. AI zniszczyła to założenie.

Nowe zasady tworzą dwupoziomowy system. Krytyczne luki wymagające głębokiej wiedzy kryptograficznej lub unikalnych spostrzeżeń nadal będą otrzymywać embargo do 90 dni. Ale wady, które duży model językowy mógłby zidentyfikować poprzez zautomatyzowany przegląd kodu — takie jak wycieki pamięci, warunki wyścigu lub błędy walidacji danych wejściowych — zostaną ujawnione w ciągu dni od wydania łatki.

Badacz bezpieczeństwa i współtwórca Bitcoin Core Antoine Riard, który opowiadał się za zmianą, zauważył, że utrzymywanie w tajemnicy błędów wykrywalnych przez AI faktycznie zwiększa ryzyko. «Jeśli nasz chatbot może to znaleźć w ciągu trzech godzin, może to też chatbot atakującego» wyjaśnił w poście na liście mailingowej. «Embargo daje fałszywe poczucie bezpieczeństwa, pozostawiając użytkowników narażonych».

Zmiana polityki ma szersze implikacje dla wszystkich projektów kryptowalutowych typu open source. Ethereum, Solana i inne bazy kodu blockchain stoją przed tym samym krajobrazem luk napędzanym przez AI. Kilka projektów rozpoczęło przeprowadzanie wewnętrznych audytów AI, zlecając modelom językowym znalezienie błędów, zanim zrobią to wrodzy aktorzy. Wyścig to już nie tylko człowiek kontra człowiek — to człowiek-plus-AI kontra przeciwnicy wyposażeni w AI, a harmonogramy ujawniania muszą odzwierciedlać tę nową równowagę.