Bitcoin Core изменил правила раскрытия уязвимостей из-за ИИ

Команда Bitcoin Core 22 октября утвердила обновленный регламент, согласно которому публикация данных о легко выявляемых брешах в безопасности, включая те, что находятся элементарным запросом к искусственному интеллекту, и выпуск соответствующих патчей будут ускорены.

Инициатор нововведений Антуан Пуансо связал корректировку процедур с участившимися отчетами о багах, поддающихся простому повторному обнаружению. Использование больших языковых моделей упростило поиск определенных типов дефектов и дало возможность выявлять исправления, внедренные разработчиками без публичной огласки.

Как полагает разработчик, затягивание режима секретности вокруг подобных недочетов лишается целесообразности и препятствует оперативному обеспечению безопасности пользователей.

По словам Пуансо, «Период эмбарго мало что дает, но задерживает выпуск версии с исправлением».

В рамках обновленного процесса специалисты при анализе поступившего отчета получают право квалифицировать дефект как легко выявляемый. Обычный запрос к языковой модели выступает лишь одной из иллюстраций такого сценария и не исчерпывает параметров данной группы проблем.

Устраняющие подобные неполадки патчи станут выкатывать в максимально сжатые сроки для всех актуальных поддерживаемых основных релизов Bitcoin Core. Параллельно с этим разработчики начнут публиковать бюллетени безопасности с описанием выявленной проблемы, полностью отменяя действие стандартного периода эмбарго для подобных случаев.

В отношении прочих классов угроз правила обнародования сведений по-прежнему определяются уровнем опасности: при низком уровне информация раскрывается спустя две недели после релиза исправленной базовой версии; при среднем и высоком — через две недели после завершения жизненного цикла последней уязвимой версии, что как правило наступает ориентировочно через год после выхода патча; в критических ситуациях действует специальный регламент, учитывающий конкретные обстоятельства.

Обычно обнародование деталей уязвимостей откладывается для предоставления операторам нод времени на установку защитных обновлений до момента обнаружения проблемы злоумышленниками. Тем не менее в ситуациях, когда брешь может быть выявлена без значительных усилий, временной мораторий фактически теряет защитную функцию.

Ранее в октябре критике аналитиков подверглось предложение исследователя Ethereum Foundation Джастина Дрейка о переносе биткоинов на новые адреса вследствие потенциальных рисков со стороны ИИ, а компания Coinbase выступила с призывом заблаговременно начать подготовку биткоина к переходу на постквантовые стандарты.