Bitcoin Core skraćuje embargo za sigurnosne propuste koje umjetna inteligencija lako pronalazi

Programeri Bitcoin Corea, softvera na kojem radi većina čvorova Bitcoin mreže, 22. listopada izmijenili su pravila o objavi sigurnosnih propusta. Propusti koje se može pronaći jednostavnim upitom jezičnom modelu više neće čekati i do godinu dana pod embargom, nego će se ispravljati i objavljivati što je prije moguće.

Što se mijenja

Izmjenu je predložio Antoine Poinsot, programer iz tvrtke Chaincode Labs, a održavatelji projekta prihvatili su je nakon tjedan dana rasprave. Nova politika uvodi kategoriju „lako otkrivenih” propusta: onih koje se može naći uz minimalan trud, primjerice jednostavnim upitom jezičnom modelu. O tome odlučuju programeri pri prvoj procjeni prijave.

Za takve propuste Bitcoin Core će ispravak prenijeti u svaku glavnu verziju koja je još podržana i objaviti ga u izvanrednom izdanju što je prije moguće, zajedno sa sigurnosnom obavijesti.

Kako je bilo dosad

Propusti niske ozbiljnosti objavljivali su se dva tjedna nakon izlaska glavne verzije s ispravkom. Propusti srednje i visoke ozbiljnosti ostajali su tajni do dva tjedna nakon kraja podrške za posljednju pogođenu verziju, što je otprilike godinu dana nakon prvog ispravka. Kritični propusti, koji prijete cijeloj mreži, i dalje se rješavaju posebnim postupkom.

Takav pristup trebao je dati korisnicima vrijeme za nadogradnju prije nego što napadači saznaju za propust. Ispravci su često stizali tek s idućom glavnom verzijom.

Zašto sada

Poinsot u prijedlogu navodi porast prijava propusta koje je lako ponovno otkriti i piše da jezični modeli „drastično spuštaju letvicu” za pronalaženje određenih vrsta grešaka. Ako napadač isti propust može naći jednim upitom, tajnost malo štiti, a odgađa ispravak.

Prema CoinDesku, skupina od 16 dobrovoljaca nazvana Bitcoin Red Team krajem srpnja u otprilike jedan dan pregledala je alatima umjetne inteligencije 390 projekata iz Bitcoin ekosustava i zabilježila 4.962 nalaza, od čega 85 kritičnih.

Što je sporno

Istraživač sigurnosti Antoine Riard predložio je da se ubrzana izdanja mogu objaviti i bez detalja o propustu. Poinsot je to odbio uz obrazloženje da bi upozorenje bez detalja moglo potaknuti nepotrebne žurne nadogradnje kod korisnika koje propust uopće ne pogađa. Održavatelji priznaju i da brža izdanja znače manje vremena za testiranje zakrpa.

Za vlasnike bitcoina koji ne vode vlastiti čvor izmjena ne traži nikakvu radnju. Oni koji ga vode trebali bi pratiti sigurnosne obavijesti i nadograđivati na najnovije izdanje svoje verzije.