Bitcoin Core будет быстрее раскрывать уязвимости, которые находят нейросети

Разработчики Bitcoin Core изменили правила, по которым рассказывают публике о найденных ошибках в коде. Причина — большие языковые модели (LLM) удешевили поиск уязвимостей. Об этом в рассылке для коллег написал Антуан Пуансо (Antoine Poinsot), разработчик официального программного обеспечения биткоина.

Раньше сведения об уязвимостях подолгу оставались закрытыми: предполагалось, что пользователи успеют обновить программу до того, как детали попадут в открытый доступ. На практике секретность тормозила выпуск исправлений для старых версий, и людям приходилось ждать следующего крупного релиза.

Что меняется для легко находимых ошибок

Пуансо указал, что LLM настолько упростили поиск дефектов, что период неразглашения теряет смысл и только оттягивает выход исправленной версии. Поэтому для уязвимостей, которые выявляются простым запросом к нейросети, патчи планируют выпускать как можно быстрее — сразу для всех поддерживаемых основных версий ПО — вместе с рекомендациями по безопасности.

Для остальных ошибок график прежний

Раскрытие остальных уязвимостей по-прежнему зависит от серьёзности — будь то критические угрозы безопасности биткоина или ошибки, затрагивающие отдельные узлы сети. О незначительных ошибках сообщат через две недели после выхода крупного обновления с патчем. О уязвимостях среднего и высокого уровня — через две недели после того, как последняя затронутая версия ПО завершит жизненный цикл; обычно это происходит через год после выпуска исправления в новой основной версии. На критические уязвимости стандартная политика не распространяется: для них нужны отдельные процедуры, добавил Пуансо.

В августе группа волонтёров Bitcoin Red Team обнаружила около 5000 потенциальных проблем в 390 проектах, связанных с первой криптовалютой. В том же месяце разработчики Core Lightning — программного обеспечения протокола Lightning Network для блокчейна биткоина — призвали операторов узлов обновить ПО или отключить свои ноды от сети, получив отчёты об уязвимостях, созданных с помощью искусственного интеллекта. Технические подробности этих уязвимостей не раскрывались две недели.