Коротко
- Bitcoin Core обновил политику безопасности из-за того, что большие языковые модели облегчили поиск уязвимостей.
- Разработчик Антуан Пуэнсо сообщил, что долгие эмбарго на раскрытие информации теперь неэффективны и лишь задерживают исправления.
- Уязвимости, легко обнаруживаемые с помощью ИИ, будут получать исправления во всех поддерживаемых версиях как можно быстрее.
- Изменение отражает растущее влияние ИИ-исследований на безопасность экосистемы биткоина и ускоряет защиту узлов.
Разработчики Bitcoin Core меняют подход к обработке уязвимостей безопасности, заявляя, что языковые модели значительно упростили поиск определенных программных ошибок.
В четверг в письме в список рассылки Bitcoin Development разработчик Bitcoin Core Антуан Пуэнсо упоминал, что ранее уязвимости обычно скрывали в рамках длительных периодов эмбарго, чтобы дать пользователям время на обновление до раскрытия деталей.
Поддержание такой секретности означало, что исправления часто нельзя было перенести на старые версии ПО, из-за чего пользователи ждали выхода следующего масштабного релиза. Тем не менее, по словам Пуэнсо, ИИ сделал некоторые баги настолько простыми для повторного обнаружения, что затягивание с патчами больше не обеспечивает должной защиты.
Период эмбарго практически ни к чему не приводит, кроме задержки выхода исправленного релиза, отметил Пуэнсо. Поэтому мы обновляем политику раскрытия информации, чтобы адаптироваться к новым условиям.
Данное изменение происходит на фоне того, как исследования безопасности с использованием искусственного интеллекта усиливают давление на разработчиков во всей экосистеме биткоина.
Согласно обновленной политике, для уязвимостей, классифицированных как легко обнаруживаемые, исправления будут выпускаться как можно быстрее для всех поддерживаемых мажорных версий, а предупреждения о безопасности станут публиковать одновременно с обновлениями.
Эта классификация применяется к уязвимостям, которые можно выявить с минимальными усилиями, например с помощью простого промта для языковой модели, отмечается в документе.
Остальные уязвимости по-прежнему будут проходить процедуру раскрытия по графику в зависимости от их степени тяжести: от критических ошибок, угрожающих фундаментальной безопасности биткоина, до менее рискованных багов с ограниченным влиянием на отдельные ноды.
В Bitcoin Core пояснили, что уязвимости низкой степени тяжести будут раскрываться спустя две недели после выпуска мажорной версии с патчем, в то время как средние и высокие уязвимости раскроют через две недели после того, как последняя затронутая версия достигнет конца своего жизненного цикла — как правило, через год после появления исправления в новом мажорном релизе.
Критические баги не подпадают под стандартную политику, поскольку для них, скорее всего, потребуется применение специализированных процедур, говорится в сообщении.
Ранее я был не согласен с подходом Антуана к безопасности, но это хорошее обновление, отметил Люк де Вульф, ведущий шоу Bitcoin Infinity Show и автор книги Защита биткоина.
В августе волонтерская организация Bitcoin Red Team сообщила о почти 5000 потенциальных проблем в 390 проектах, хотя на тот момент удалось воспроизвести лишь около пятой части найденного.
В том же месяце разработчики Core Lightning призвали операторов обновить софт или отключить свои ноды после получения множества сгенерированных ИИ отчетов об уязвимостях, при этом технические детали удерживались в тайне в течение двух недель.
Термины в новости
- Lightning Network
- Сеть платёжных каналов поверх биткоина для мгновенных переводов с комиссией в доли цента. В блокчейн записываются только открытие и закрытие каналов.
- Нода (узел)
- Компьютер, который хранит копию блокчейна, проверяет транзакции и передаёт их другим участникам сети.
