Bitcoin Core 改革安全政策，針對易被 AI 發現的漏洞

Bitcoin Core 的安全揭露政策已更新，以便大型語言模型容易發現的漏洞能更快修補，終止了過去對此類缺陷適用的長時間封鎖。

Bitcoin Core 安全政策的更新已於星期四由維護人員合併。Chaincode Labs 的開發者 Antoine Poinsot 提出了該提案，並於同日通知了 Bitcoin Development Mailing List。

Poinsot 指出：「我們近期發現，容易（重新）發現的安全性漏洞報告數量有所增加。」他寫道：「這主要是因為 LLM 大幅降低了發現某些類型問題或辨識隱藏修補的門檻。」

舊政策的運作方式

Bitcoin Core 運行於大多數比特幣網路節點上，會根據漏洞的嚴重性進行分類並安排揭露時間。低嚴重性問題會在下一個主要版本發布兩週後公開。

對於中等到高嚴重性的漏洞，封鎖期會持續到受影響的最後一個版本結束支援後兩週，這段時間可能長達一年。

節點運營者通常升級速度較慢，長時間的封鎖期讓他們有時間在漏洞公開之前套用修補。實際上，這意味著修補不會針對較舊的維護版本發布，只會隨著下一個主要版本的軟體發布一起推出。

Poinsot 認為，這種妥協對於容易重新發現的錯誤並不奏效。根據政策，「封鎖期幾乎無用，反而延遲了包含修補的版本發布。」

變更內容

在分類過程中，Bitcoin Core 可以將漏洞標記為「容易發現」，根據政策定義，這類問題可以「用最少努力辨識，例如透過簡單的 LLM 提示」。這個標籤也可應用於透過其他方法發現的缺陷。

對於此類別的漏洞，專案會將修補反向移植到所有已維護的主要版本，立即發布次要版本，並在發布修補的同時發表資訊有限的保安通告。

Poinsot 承認，這些修補在到達用戶之前會經過較少測試。

未被分類為容易發現的漏洞仍按照現行基於嚴重性的時間表處理。關鍵問題，例如可在協定層面允許竊幣、人為增加比特幣供應量或導致不可逆轉的鏈條分裂等，則不受標準政策約束，會個別處理。

開發者 Antoine Riard 提議提供一個選項，可在不發表保安通告的情況下發布修補，並按個別情況隱藏細節。Poinsot 拒絕了，他表示在未提供具體細節的情況下通知用戶「可能會造成不必要的風險」，因為這會讓原本不受影響的用戶倉促遷移。

人工智慧驅動報告的夏季

這項政策更新是在比特幣開源專案壓力增長的數月後推出的。七月底，由16名開發者組成的自願團體 Bitcoin Red Team，使用 AI 模型在約24小時內掃描了390個比特幣儲存庫，記錄了4,962項發現，其中85項被視為關鍵。

幾天內，該團隊私下揭露的一個 BTCPay Server 漏洞在生產商務伺服器上被利用，導致 Lightning 節點被耗盡。

八月，Core Lightning 開發者建議營運者升級或中斷連線，因為該專案收到了準確的 AI 生成報告。

Bitcoin Red Team 的這項行動是在7月30日 Coldcard 硬體錢包漏洞之後發生，攻擊者在25分鐘內取出594 BTC。四次獨立掃蕩的損失接近 $114 million。