Bitcoin Core изменил политику раскрытия уязвимостей из-за нейросетей
Разработчики Bitcoin Core пересмотрели подход к раскрытию информации об уязвимостях: большие языковые модели упростили поиск программных ошибок. Об этом в рассылке для коллег сообщил Антуан Пуансо.
По словам разработчика официального ПО Биткоина Антуана Пуансо, ранее информация об уязвимостях долго оставалась закрытой, чтобы пользователи успели обновить ПО до публичного раскрытия подробностей. Однако сохранение секретности часто задерживало исправление старых версий, а пользователям приходилось ждать следующего крупного обновления.
Пуансо отметил, что LLM настолько упростили поиск уязвимостей, что период неразглашения теряет смысл, задерживая выход исправленной версии. С учетом новых реалий в Bitcoin Core обновили политику раскрытия информации.
Для уязвимостей, которые можно легко обнаружить с помощью простого запроса к нейросетям, исправления планируется выпускать максимально быстро для всех поддерживаемых основных версий ПО вместе с рекомендациями по безопасности.
Для остальных уязвимостей сохранится прежний график раскрытия, зависящий от степени серьезности — будь то критические угрозы безопасности Биткоина или ошибки, влияющие лишь на отдельные узлы сети.
- Информация о незначительных уязвимостях будет раскрываться через две недели после выхода крупного обновления с патчем.
- Данные об уязвимостях среднего и высокого уровня обнародуют через две недели после завершения жизненного цикла последней затронутой версии ПО — обычно через год после выхода исправления в новой основной версии.
- Стандартная политика не распространяется на критические уязвимости, поскольку они требуют особых процедур.
В августе группа волонтеров Bitcoin Red Team обнаружила около 5000 потенциальных проблем в 390 связанных с первой криптовалютой проектах. В том же месяце разработчики Core Lightning, ПО протокола Lightning Network для блокчейна Биткоина, призвали операторов узлов обновить ПО или отключить ноды от сети после получения отчетов об уязвимостях, созданных с помощью искусственного интеллекта. Технические подробности уязвимостей не раскрывались в течение двух недель.