" Ранее компания Core классифицировала каждую обнаруженную уязвимость по серьезности и соответственно времени раскрытия. Ошибки низкой степени серьезности были обнаружены через две недели после выхода следующей основной версии. Средние и высокие версии оставались под эмбарго до двух недель после того, как истек срок службы последней затронутой версии.
Логика заключалась в том, что тихая доставка исправления и его объяснение гораздо позже не позволяли злоумышленникам узнать о дыре до того, как люди, управляющие узлами, компьютерами, которые проверяют и ретранслируют каждую транзакцию с биткоинами, не обновятся.
Но старое правило было создано для мира, где поиск ошибки требовал навыков, а распространение инструментов искусственного интеллекта нарушило работу этого процесса.
«Недавно мы столкнулись с увеличением количества отчетов об уязвимостях безопасности, которые можно легко (повторно) обнаружить, - сказал в своем предложении разработчик Chaincode Labs Антуан Пуансо, который написал изменение. - Во многом это связано с тем, что LLM резко снижают планку для поиска определенных классов проблем или выявления скрытых решений».
Как это работает
Core теперь может помечать ошибку как легко обнаруживаемую во время сортировки. На практике это означает, что «можно найти с помощью простого запроса на LLM». Исправления для этих ошибок копируются обратно во все версии, которые Core все еще поддерживает, и поставляются в точечном выпуске «как можно скорее» вместе с рекомендациями по безопасности, содержащими некоторые подробности.
«Для тех проблем, которые легко обнаружить, это неправильный компромисс, - говорится в политике о старом эмбарго. - Период эмбарго мало что дает, но он задерживает доступность фиксированного выпуска».
Однако, как пишет Пуансо, «исправлениям не потребуется столько времени на тестирование, прежде чем они дойдут до пользователей».
Не все разработчики согласились с тем, как далеко следует зайти. Антуан Риар, давний исследователь безопасности биткоинов, хотел, чтобы Core сохранила возможность выпуска исправлений без рекомендаций и сохраняла детали в каждом конкретном случае. Пуансо отказался.
«Предупреждение пользователей об уязвимости безопасности без каких-либо подробностей может привести к неоправданному увеличению риска», - написал он, указывая на «спешную миграцию пользователей, которая в противном случае не пострадала бы».
Группа добровольцев из 16 разработчиков, называющая себя Bitcoin Red Team, в конце июля протестировала модели искусственного интеллекта в 390 биткоин-проектах примерно за день и зарегистрировала 4962 вывода, 85 из которых являются критическими.
Через несколько дней группа BTCPay Server сообщила, что уязвимость в сервере BTCPay использовалась на действующих торговых серверах. В результате атак были истощены узлы Lightning, которые продавцы используют для приема небольших платежей в биткоинах. Core Lightning, одна из основных реализаций Lightning, приказала операторам отключиться после того, как отчеты, сгенерированные ИИ для ее небольшой команды, оказались реальными.
Еще большая потеря произошла из-за ошибки, которую ИИ не должен был искать. Ошибка в прошивке аппаратного Coldcard Wallet, недействующая с 2021 года, позволила злоумышленникам истощить 594 BTC за 25 минут 30 июля, а потери приблизились к $114 млн за четыре проверки. Когда компания Coldcard выпустила свое исправление, она заявила, что искусственный интеллект помог обнаружить больше ошибок.
В соответствии с новым правилом пока не было отмечено ни одной ошибки, но секрет, который любая модель может восстановить в одном запросе, никогда не защитит пользователей надолго.
