Bitcoin Core encerra embargo de bugs enquanto IA descobre vulnerabilidades mais rápido que humanos

Desenvolvedores mesclaram uma mudança de política que encerra o embargo de meses para falhas que um chatbot poderia redescobrir, depois que a IA encontrou centenas de bugs de bitcoin antes dos pesquisadores humanos.

Os desenvolvedores do Bitcoin Core mudaram fundamentalmente a forma como lidam com vulnerabilidades de segurança, abandonando o período de embargo tradicional de vários meses para bugs que ferramentas de inteligência artificial podem redescobrir facilmente. A mudança de política, mesclada na base de código do Bitcoin Core esta semana, reconhece uma nova realidade: a análise de código impulsionada por IA tornou-se tão eficaz que manter certas falhas em segredo já não protege os usuários.

A decisão segue um verão em que chatbots de IA identificaram centenas de bugs anteriormente desconhecidos no código do Bitcoin antes que pesquisadores de segurança humanos os sinalizassem. Os desenvolvedores descobriram que modelos de linguagem sofisticados podiam escanear o repositório de código aberto do Bitcoin Core, identificar vulnerabilidades potenciais e até sugerir caminhos de exploração — tudo em questão de horas após uma falha ser relatada privadamente à equipe central.

Sob a política anterior, os mantenedores do Bitcoin Core coordenariam um embargo de divulgação durando de três a seis meses, dando aos operadores de nós e provedores de carteiras tempo para corrigir sistemas antes que os detalhes se tornassem públicos. Essa abordagem assumia que adversários precisavam de experiência e tempo significativos para descobrir os mesmos bugs independentemente. A IA destruiu essa suposição.

As novas regras criam um sistema de dois níveis. Vulnerabilidades críticas que requerem conhecimento criptográfico profundo ou insights únicos ainda receberão embargos de até 90 dias. Mas falhas que um modelo de linguagem grande poderia identificar através de revisão automatizada de código — como vazamentos de memória, condições de corrida ou erros de validação de entrada — serão divulgadas em questão de dias após o lançamento de um patch.

O pesquisador de segurança e colaborador do Bitcoin Core Antoine Riard, que defendeu a mudança, observou que manter bugs detectáveis por IA em segredo na verdade aumenta o risco. «Se nosso chatbot pode encontrá-lo em três horas, o de um atacante também pode», explicou em uma postagem na lista de discussão. «O embargo dá uma falsa sensação de segurança enquanto deixa os usuários expostos».

A mudança de política tem implicações mais amplas para todos os projetos de criptomoedas de código aberto. Ethereum, Solana e outras bases de código blockchain enfrentam o mesmo cenário de vulnerabilidades impulsionado por IA. Vários projetos começaram a realizar auditorias internas de IA, encarregando modelos de linguagem de encontrar bugs antes que atores hostis o façam. A corrida não é mais apenas humano versus humano — é humano-mais-IA versus adversários equipados com IA, e os prazos de divulgação devem refletir esse novo equilíbrio.