Bitcoin Core pone fin a los largos embargos para bugs que la IA puede redescubrir

Bitcoin Magazine Bitcoin Core pone fin a los largos embargos para bugs que la IA puede redescubrir Bitcoin Core ha cambiado su política de divulgación de seguridad para acelerar las correcciones de vulnerabilidades que los grandes modelos de lenguaje pueden encontrar con poco esfuerzo, poniendo fin a los embargos de meses que esos bugs recibían antes. Los mantenedores fusionaron el cambio en la política de seguridad del proyecto el jueves. El desarrollador de Chaincode Labs Antoine Poinsot, quien escribió la propuesta, lo anunció en un mensaje a la Bitcoin Development Mailing List el mismo día.

"Recientemente experimentamos un aumento en el número de reportes de vulnerabilidades de seguridad que pueden ser fácilmente (re)descubiertas", escribió Poinsot. "Esto se debe en gran medida a que los LLM reducen drásticamente la barrera para encontrar ciertas clases de problemas o identificar correcciones encubiertas". Cómo funcionaba la política antes Bitcoin Core, el software que se ejecuta en la mayoría de los nodos de la red Bitcoin, había clasificado cada vulnerabilidad reportada por severidad y cronometrado su divulgación en consecuencia. Las fallas de baja severidad se hacían públicas dos semanas después del lanzamiento de la siguiente versión principal.

Los problemas de severidad media y alta permanecían bajo embargo hasta dos semanas después de que la última versión afectada alcanzara el fin de su vida útil, un período que podía extenderse hasta un año. Los plazos extendidos daban a los operadores de nodos, muchos de los cuales actualizan a un ritmo lento, tiempo para migrar a software parcheado antes de que los detalles se hicieran públicos. En la práctica, el enfoque significaba que las correcciones no se publicaban para versiones antiguas mantenidas y llegaban con la siguiente versión principal. Poinsot argumentó que esta compensación falla para bugs que son fáciles de redescubrir.

"El período de embargo logra poco pero retrasa la disponibilidad de una versión corregida", dice la política. Qué cambia Durante el triaje, Bitcoin Core puede marcar una vulnerabilidad como "fácilmente descubrible", una categoría que la política define como problemas que pueden encontrarse "con un esfuerzo mínimo, como mediante un simple prompt de LLM". La etiqueta también está abierta a fallas encontradas por otros medios. Para esos problemas, el proyecto hará backport de una corrección a cada versión principal mantenida, publicará point releases lo antes posible y publicará un aviso de seguridad con algunos detalles al mismo tiempo que el software corregido.

Poinsot reconoció que tales correcciones tendrán menos tiempo de prueba antes de llegar a los usuarios. Las vulnerabilidades fuera de esa categoría mantienen el calendario existente basado en severidad. Los bugs críticos, aquellos que podrían permitir el robo de monedas a nivel de protocolo, inflar el suministro o causar una división permanente de la cadena, permanecen fuera de la política estándar y se manejarán caso por caso. El desarrollador Antoine Riard abogó por una opción para publicar una corrección sin un aviso y retener detalles caso por caso. Poinsot declinó, escribiendo que alertar a los usuarios sin detalles "podría crear más riesgo innecesariamente" al provocar una migración apresurada entre usuarios que de otro modo no se verían afectados.

Un verano de reportes impulsados por IA El cambio sigue a meses de mayor presión sobre los proyectos de código abierto de Bitcoin. A fines de julio, un grupo voluntario de 16 desarrolladores conocido como el Bitcoin Red Team ejecutó modelos de IA en 390 repositorios de bitcoin en aproximadamente un día y registró 4.962 hallazgos, incluidos 85 calificados como críticos. En cuestión de días, una falla de BTCPay Server que el grupo había reportado en privado fue explotada en servidores de comerciantes en vivo, drenando nodos Lightning. En agosto, los desarrolladores de Core Lightning dijeron a los operadores que actualizaran o se desconectaran después de que los reportes generados por IA al proyecto resultaron precisos.

El esfuerzo del Red Team siguió a un exploit de la hardware wallet Coldcard en el que los atacantes drenaron 594 BTC en 25 minutos el 30 de julio. Las pérdidas en cuatro barridos se acercaron a los 114 millones de dólares. Esta publicación Bitcoin Core pone fin a los largos embargos para bugs que la IA puede redescubrir apareció primero en Bitcoin Magazine y está escrita por Micah Zimmerman.