Bitcoin Core пересматривает раскрытие уязвимостей из-за ИИ
Разработчики Bitcoin Core отказываются от длительных эмбарго для уязвимостей, которые легко найти с помощью языковых моделей. Такие баги будут закрываться как можно раньше во всех поддерживаемых основных версиях, а сообщения о них публиковаться вместе с обновлениями.
Главное в цифрах
- Раскрытие низкоопасных уязвимостей: через две недели после выхода версии с исправлением
- Раскрытие уязвимостей средней и высокой опасности: через две недели после окончания поддержки последней затронутой версии, обычно около года
- Bitcoin Red Team в августе: почти 5000 потенциальных проблем в 390 проектах
Об изменении сообщил разработчик Bitcoin Core Антуан Пуанзо в рассылке Bitcoin Development Mailing List. По его словам, раньше уязвимости обычно держали под длительным эмбарго, чтобы пользователи успели обновиться до раскрытия деталей. Из-за этого исправления часто не переносились в старые версии ПО, и пользователям приходилось ждать следующего крупного релиза.
Пуанзо считает, что языковые модели позволяют переоткрывать многие уязвимости так легко, что задержка исправлений почти не даёт защиты. «Эмбарго почти ничего не достигает, но оно задерживает выпуск исправленной версии», сказал он.
Новые сроки раскрытия
Уязвимости, которые можно обнаружить минимальными усилиями, например простым запросом к LLM, будут исправляться как можно скорее во всех поддерживаемых основных версиях, а предупреждения о безопасности будут выходить вместе с обновлениями.
Для остальных уязвимостей сохраняется график раскрытия по степени опасности. Низкоприоритетные баги будут раскрываться через две недели после выхода версии с исправлением. Уязвимости средней и высокой опасности будут раскрываться через две недели после окончания поддержки последней затронутой версии, обычно это около года после выхода исправления в новой основной версии. Критические баги в стандартную политику не входят, так как для них, по словам разработчиков, скорее потребуется специальная процедура.
Контекст
Изменение появилось на фоне роста числа ИИ-исследований в сфере безопасности. В августе добровольная группа Bitcoin Red Team сообщила почти о 5000 потенциальных проблемах в 390 проектах, однако на тот момент воспроизвели только около пятой части находок. В том же месяце разработчики Core Lightning призвали операторов обновиться или отключить узлы после получения нескольких отчётов об уязвимостях, сгенерированных ИИ, и на две недели придержали технические детали.
Для операторов узлов это означает более быстрые патчи: исправления для простых в обнаружении багов будут приходить сразу, без ожидания следующего крупного релиза.
