Bitcoin Core отменяет эмбарго на ошибки, поскольку ИИ обнаруживает уязвимости быстрее людей

Разработчики внедрили изменение политики, прекращающее многомесячное эмбарго на уязвимости, которые чат-бот может переобнаружить, после того как ИИ нашёл сотни ошибок bitcoin раньше исследователей-людей.

Разработчики Bitcoin Core фундаментально изменили способ обработки уязвимостей безопасности, отказавшись от традиционного многомесячного эмбарго на ошибки, которые инструменты искусственного интеллекта могут легко переобнаружить. Изменение политики, внедрённое в кодовую базу Bitcoin Core на этой неделе, признаёт новую реальность: анализ кода на основе ИИ стал настолько эффективным, что сокрытие определённых недостатков больше не защищает пользователей.

Решение последовало после лета, когда чат-боты на основе ИИ выявили сотни ранее неизвестных ошибок в коде Bitcoin раньше, чем их обнаружили исследователи безопасности-люди. Разработчики обнаружили, что сложные языковые модели могут сканировать репозиторий Bitcoin Core с открытым исходным кодом, выявлять потенциальные уязвимости и даже предлагать пути эксплуатации — всё это в течение часов после того, как уязвимость была конфиденциально сообщена основной команде.

По старой политике сопровождающие Bitcoin Core координировали эмбарго на раскрытие информации длительностью от трёх до шести месяцев, давая операторам узлов и поставщикам кошельков время для исправления систем до того, как детали станут публичными. Этот подход предполагал, что противники нуждаются в значительной экспертизе и времени для самостоятельного обнаружения тех же ошибок. ИИ разрушил это предположение.

Новые правила создают двухуровневую систему. Критические уязвимости, требующие глубоких криптографических знаний или уникальных идей, по-прежнему будут получать эмбарго до 90 дней. Но недостатки, которые большая языковая модель может выявить через автоматизированный обзор кода — такие как утечки памяти, состояния гонки или ошибки проверки ввода — будут раскрыты в течение дней после выпуска патча.

Исследователь безопасности и участник Bitcoin Core Антуан Риар, который выступал за изменение, отметил, что сохранение обнаруживаемых ИИ ошибок в секрете фактически увеличивает риск. «Если наш чат-бот может найти это за три часа, то и чат-бот злоумышленника может», — объяснил он в сообщении списка рассылки. «Эмбарго создаёт ложное чувство безопасности, оставляя пользователей незащищёнными».

Изменение политики имеет более широкие последствия для всех криптовалютных проектов с открытым исходным кодом. Ethereum, Solana и другие блокчейн-кодовые базы сталкиваются с тем же ландшафтом уязвимостей, управляемым ИИ. Несколько проектов начали проводить внутренние аудиты ИИ, поручая языковым моделям находить ошибки раньше враждебных акторов. Гонка больше не только человек против человека — это человек-плюс-ИИ против противников, оснащённых ИИ, и сроки раскрытия информации должны отражать этот новый баланс.