Bitcoin Core 结束对 AI 能重新发现的漏洞的长期披露禁令

Bitcoin Magazine

Bitcoin Core 结束对 AI 能重新发现的漏洞的长期披露禁令

Bitcoin Core 已更改其安全披露政策，以加快修复大语言模型几乎不费力气就能发现的漏洞，并结束这些漏洞此前受到的、长达数月的披露禁令。

周四，维护者将该变更合并到项目安全政策中。提出该提案的 Chaincode Labs 开发者 Antoine Poinsot 同日在致 Bitcoin Development Mailing List 的消息中宣布了此事。

“我们最近发现，可被轻易（重新）发现的安全漏洞报告数量有所增加，”Poinsot 写道。“这很大程度上是因为 LLM 大幅降低了发现某些类别问题或识别隐蔽修复的门槛。”

此前政策如何运作

Bitcoin Core 是运行在 Bitcoin 网络大多数节点上的软件，其会按严重程度对每个上报漏洞进行分级，并据此安排披露时间。低严重性漏洞会在下一个主要版本发布两周后公开。

中危和高危问题则一直处于保密状态，直到最后一个受影响版本生命周期结束后两周才解禁，这一时间跨度可能长达一年。

这些更长的时间窗口让节点运营者有时间在细节公开前迁移到已修补的软件，而许多节点运营者的升级速度较慢。在实践中，这种做法意味着针对仍在维护的旧版本，修复程序不会单独发布，而是随下一个主要版本一同推出。

Poinsot 认为，对于容易被重新发现的漏洞，这种权衡并不奏效。政策中写道：“保密期几乎收效甚微，却会推迟修复版本的可用性。”

有哪些变化

在漏洞分类过程中，Bitcoin Core 可以将某个漏洞标记为“易于发现”，该政策将这一类别定义为“以最少的努力即可发现的问题，例如通过简单的 LLM 提示词”。该标签同样适用于通过其他方式发现的漏洞。

对于这类问题，项目方会将修复回溯移植到所有仍在维护的主版本，尽快发布点版本，并在发布修复软件的同时发布包含部分细节的安全公告。

Poinsot 承认，此类修复在到达用户之前所经历的测试时间会更短。

不属于该类别的漏洞仍沿用现有的基于严重程度的时间表。严重漏洞——即在协议层面可能导致盗币、增发供应量或造成永久性链分叉的漏洞——仍不适用标准政策，将逐案处理。

开发者 Antoine Riard 主张增加一个选项，允许在不发布公告的情况下推送修复，并逐案决定是否保留细节。Poinsot 拒绝了这一提议，他写道，在未提供细节的情况下提醒用户“可能会不必要地制造更多风险”，因为这会导致原本不受影响的用户匆忙迁移。

AI 驱动报告的夏天

这一变化出台之前，Bitcoin 的开源项目经历了数月的高压。7 月下旬，一个由 16 名开发者组成的志愿者团体——Bitcoin Red Team——在大约一天内对 390 个比特币代码库运行了 AI 模型，记录了 4,962 项发现，其中 85 项被评为严重级别。

数天之内，该团体此前私下报告的一个 BTCPay Server 漏洞就在活跃的商户服务器上被利用，导致 Lightning 节点资金被耗尽。

8 月，Core Lightning 开发者告知运营者要么升级要么断开连接，此前提交给该项目的 AI 生成报告被证实是准确的。

红队此次行动是在7月30日Coldcard硬件钱包遭攻击之后开展的，该攻击中攻击者在25分钟内盗走了594枚BTC。四轮清扫造成的损失接近1.14亿美元。

这篇文章《Bitcoin Core Ends Long Embargoes for Bugs AI Can Rediscover》最初发表于Bitcoin Magazine，作者是Micah Zimmerman。