Новая политика раскрытия уязвимостей в Bitcoin Core: как изменились правила

.Разработчики Bitcoin Core пересмотрели подход к раскрытию информации об уязвимостях. Причина — большие языковые модели нейросетей (LLM) существенно упростили поиск программных ошибок. Об этом в рассылке для коллег рассказал Антуан Пуансо (Antoine Poinsot), разработчик официального программного обеспечения Биткоина. Ранее данные об уязвимостях долгое время не разглашались. Это делалось для того, чтобы пользователи успели обновить ПО до публичного раскрытия деталей. Но такой подход имел недостатки: исправление старых версий ПО часто задерживалось, и пользователям приходилось ждать следующего крупного обновления. Антуан Пуансо отметил, что из‑за простоты поиска уязвимостей с помощью LLM период неразглашения утратил прежний смысл — он лишь тормозит выпуск исправленных версий. В связи с этим в Bitcoin Core обновили политику раскрытия информации. Теперь для уязвимостей, которые легко обнаружить с помощью простого запроса к нейросетям, исправления будут выпускать максимально быстро — для всех поддерживаемых основных версий ПО. Вместе с исправлениями будут предоставлять рекомендации по соблюдению безопасности. Для других уязвимостей сохранят прежний график раскрытия информации — он зависит от степени серьёзности проблемы. Речь идёт как о критических угрозах безопасности Биткоина, так и об ошибках, затрагивающих лишь отдельные узлы сети. В команде Bitcoin Core заявили: информацию о незначительных уязвимостях будут раскрывать через две недели после выхода крупного обновления с патчем. Данные об уязвимостях среднего и высокого уровня обнародуют через две недели после окончания жизненного цикла последней затронутой версии ПО. Как правило, это происходит через год после выпуска исправления в новой основной версии. При этом критические уязвимости остаются вне стандартной политики — для них действуют особые процедуры, уточнил Пуансо. В августе волонтёры из Bitcoin Red Team выявили около 5000 потенциальных проблем в 390 проектах, связанных с первой криптовалютой. В том же месяце разработчики Core Lightning (ПО протокола Lightning Network для блокчейна Биткоина) призвали операторов узлов обновить ПО или отключить ноды от сети после получения отчётов об уязвимостях, сгенерированных с помощью ИИ. При этом технические подробности уязвимостей не раскрывали в течение двух недель.