Bitcoin Core ปรับปรุงนโยบายความปลอดภัยสำหรับช่องโหว่ที่ AI ค้นหาได้ง่าย

นโยบายการเปิดเผยช่องโหว่ด้านความปลอดภัยของ Bitcoin Core ได้รับการอัปเดตให้ช่องโหว่ที่แบบจำลองภาษาขนาดใหญ่สามารถค้นพบได้ง่ายได้รับการแก้ไขได้เร็วขึ้น ทำให้การเผยแพร่ที่ล่าช้าเป็นเวลานานซึ่งเคยใช้กับช่องโหว่ดังกล่าวสิ้นสุดลง

การอัปเดตนโยบายความปลอดภัยของ Bitcoin Core ถูกรวมเข้าสู่ระบบโดยผู้ดูแลเมื่อวันพฤหัสบดี Antoine Poinsot นักพัฒนาจาก Chaincode Labs เป็นผู้เขียนข้อเสนอและแจ้งให้ Bitcoin Development Mailing List ทราบในวันเดียวกัน

Poinsot กล่าวว่า “เราเพิ่งพบว่าจำนวนรายงานช่องโหว่ด้านความปลอดภัยที่สามารถค้นพบ (ซ้ำ) ได้ง่ายเพิ่มขึ้น” เขาเขียนว่า “สาเหตุส่วนใหญ่มาจาก LLMs ที่ลดเกณฑ์ในการค้นหาปัญหาบางประเภทหรือระบุการแก้ไขที่ซ่อนอยู่อย่างมาก”

นโยบายทำงานอย่างไรก่อนหน้านี้

Bitcoin Core ซึ่งทำงานบนโหนดส่วนใหญ่ของเครือข่าย Bitcoin จัดประเภทช่องโหว่ที่เปิดเผยแต่ละรายการตามความรุนแรงและกำหนดการเปิดเผยตามนั้น ปัญหาที่มีความรุนแรงต่ำจะถูกเผยแพร่สองสัปดาห์หลังจากเวอร์ชันหลักถัดไปออก

สำหรับช่องโหว่ที่มีความรุนแรงปานกลางและสูง การเผยแพร่จะล่าช้าจนถึงสองสัปดาห์หลังจากเวอร์ชันที่ได้รับผลกระทบล่าสุดหมดอายุการใช้งาน ซึ่งอาจนานถึงหนึ่งปี

ผู้ดูแลโหนดซึ่งมักจะอัปเกรดช้า ได้รับเวลาจากการเผยแพร่ที่ล่าช้าเป็นเวลานานเพื่อใช้แพตช์ก่อนที่ช่องโหว่จะเปิดเผยต่อสาธารณะ โดยผลก็คือการแก้ไขไม่ได้ถูกปล่อยสำหรับเวอร์ชันที่ดูแลรักษาเก่า และจะมาพร้อมกับการปล่อยซอฟต์แวร์หลักครั้งถัดไปเท่านั้น

Poinsot แย้งว่าการประนีประนอมเช่นนี้ใช้ไม่ได้กับบักที่สามารถค้นพบซ้ำได้ง่าย ตามนโยบาย “ระยะเวลาเผยแพร่ที่ล่าช้าแทบไม่ได้อะไรเลยนอกจากทำให้การปล่อยเวอร์ชันที่แก้ไขแล้วล่าช้าออกไป”

สิ่งที่เปลี่ยนแปลงไป

ภายใต้การคัดแยก Bitcoin Core สามารถทำเครื่องหมายช่องโหว่ว่า “ค้นพบได้ง่าย” ซึ่งเป็นประเภทที่กำหนดโดยนโยบายว่าปัญหาที่สามารถระบุได้ “ด้วยความพยายามเพียงเล็กน้อย เช่น ผ่านการพรอมต์ LLM ง่ายๆ” ป้ายกำกับนี้ยังสามารถใช้กับข้อบกพร่องที่พบผ่านวิธีการอื่นได้

สำหรับช่องโหว่ในหมวดนี้ โปรเจกต์จะ backport แพตช์ไปยังเวอร์ชันหลักที่ดูแลรักษาทั้งหมด ปล่อยเวอร์ชันย่อยทันที และเผยแพร่คำแนะนำด้านความปลอดภัยพร้อมข้อมูลจำกัดพร้อมกับการแก้ไข

Poinsot ยอมรับว่าการแก้ไขเหล่านี้จะผ่านการทดสอบน้อยลงก่อนถึงมือผู้ใช้

ช่องโหว่ที่ไม่ได้จัดประเภทว่าค้นพบได้ง่ายยังคงดำเนินตามกำหนดเวลาตามความรุนแรงที่มีอยู่ ปัญหาสำคัญ เช่น ที่อาจอนุญาตให้ขโมยเหรียญในชั้นโปรโตคอล เพิ่มอุปทานเหรียญเทียม หรือทำให้เกิดการแยกเครือข่ายอย่างถาวร ยังคงอยู่นอกนโยบายมาตรฐานและได้รับการจัดการเป็นรายกรณี

Antoine Riard นักพัฒนา สนับสนุนตัวเลือกในการออกแพตช์โดยไม่มีคำแนะนำด้านความปลอดภัยและระงับรายละเอียดเป็นรายกรณี Poinsot ปฏิเสธ โดยระบุว่าการแจ้งผู้ใช้โดยไม่ให้รายละเอียด “อาจสร้างความเสี่ยงเพิ่มขึ้นโดยไม่จำเป็น” โดยทำให้เกิดการย้ายระบบอย่างเร่งด่วนในหมู่ผู้ใช้ที่อาจไม่ได้รับผลกระทบ

ฤดูร้อนของรายงานที่ขับเคลื่อนด้วย AI

การอัปเดตนโยบายนี้เกิดขึ้นหลังจากหลายเดือนที่โครงการโอเพนซอร์สของ Bitcoin เผชิญกับความเครียดที่เพิ่มขึ้น ปลายเดือนกรกฎาคม Bitcoin Red Team กลุ่มอาสาสมัครนักพัฒนา 16 คน ใช้โมเดล AI สแกนคลังข้อมูล bitcoin 390 แห่งในเวลาประมาณ 24 ชั่วโมง บันทึกผลการค้นพบ 4,962 รายการ โดย 85 รายการถือว่าสำคัญ

ภายในไม่กี่วัน ช่องโหว่ของ BTCPay Server ที่กลุ่มได้เปิดเผยเป็นการส่วนตัวถูกนำไปใช้ประโยชน์บนเซิร์ฟเวอร์ผู้ค้าที่ใช้งานจริง ทำให้โหนด Lightning สูญเสียเงิน

ในเดือนสิงหาคม นักพัฒนา Core Lightning แนะนำให้ผู้ปฏิบัติงานอัปเกรดหรือตัดการเชื่อมต่อหลังจากโปรเจกต์ได้รับรายงานที่ถูกต้องซึ่งสร้างโดย AI

การริเริ่มของ Bitcoin Red Team เกิดขึ้นหลังจากการโจมตีกระเป๋าฮาร์ดแวร์ Coldcard เมื่อวันที่ 30 กรกฎาคม ซึ่งผู้โจมตีสามารถดึง BTC 594 ออกมาได้ใน 25 นาที ความเสียหายจากการกวาดล้างสี่ครั้งแยกกันมีมูลค่าใกล้ 114 ล้านดอลลาร์