بیت‌کوین کور سیاست امنیتی را تغییر داد؛ هوش مصنوعی یافتن باگ‌ها را آسان‌تر کرد

بیت‌کوین کور: آسیب‌پذیری‌های نرم‌افزاری با هوش مصنوعی آسان‌تر کشف می‌شوند؛ سیاست افشاگری تغییر می‌کند

بیت‌کوین کور (Bitcoin Core) در حال تغییر رویکرد خود در قبال افشای آسیب‌پذیری‌های امنیتی است. این تغییر با توجه به سهولت کشف برخی از نقص‌های نرم‌افزاری در پی استفاده از مدل‌های زبانی بزرگ (LLM) صورت می‌گیرد.

آنتوان پوانسو، توسعه‌دهنده بیت‌کوین کور، روز پنجشنبه در ایمیلی به فهرست پستی توسعه‌دهندگان بیت‌کوین اعلام کرد که در گذشته، آسیب‌پذیری‌ها معمولاً برای مدت طولانی مخفی نگه داشته می‌شدند تا به کاربران فرصت کافی برای به‌روزرسانی پیش از عمومی شدن جزئیات داده شود. وی افزود که حفظ این پنهان‌کاری اغلب مانع از اعمال اصلاحات در نسخه‌های قدیمی‌تر نرم‌افزار می‌شد و کاربران مجبور بودند تا انتشار نسخه اصلی بعدی منتظر بمانند. اما اکنون، پوانسو معتقد است که مدل‌های زبانی بزرگ کشف برخی از این نقص‌ها را آنقدر آسان کرده‌اند که تأخیر در اعمال اصلاحات، حفاظت چندانی ارائه نمی‌دهد.

پوانسو گفت: «دوره پنهان‌کاری کمترین فایده را دارد و تنها دسترسی به نسخه اصلاح‌شده را به تأخیر می‌اندازد. بنابراین، ما سیاست افشای خود را برای انطباق با این شرایط به‌روز می‌کنیم.»

این تغییر در حالی صورت می‌گیرد که تحقیقات امنیتی با کمک هوش مصنوعی، توسعه‌دهندگان در سراسر اکوسیستم نرم‌افزاری بیت‌کوین را تحت فشار قرار داده است.

بر اساس سیاست به‌روز شده، آسیب‌پذیری‌هایی که «به راحتی قابل کشف» تلقی می‌شوند، در اسرع وقت در تمام نسخه‌های اصلی پشتیبانی‌شده، اصلاح خواهند شد و مشاوره‌های امنیتی همزمان با انتشار به‌روزرسانی‌ها منتشر می‌شوند. در این سیاست آمده است: «این طبقه‌بندی برای آسیب‌پذیری‌هایی اعمال می‌شود که با حداقل تلاش، مانند یک درخواست ساده از مدل زبانی بزرگ، قابل کشف هستند.»

سایر آسیب‌پذیری‌ها همچنان از برنامه‌های افشای مبتنی بر شدت پیروی خواهند کرد؛ این شدت از نقص‌های حیاتی که امنیت بنیادی بیت‌کوین را تهدید می‌کنند تا باگ‌های کم‌خطرتر با تأثیر محدود بر گره‌های منفرد را شامل می‌شود.

بیت‌کوین کور اعلام کرده است که آسیب‌پذیری‌های کم‌خطر دو هفته پس از انتشار نسخه اصلی حاوی اصلاحیه، افشا خواهند شد. در حالی که آسیب‌پذیری‌های متوسط و پرخطر، دو هفته پس از پایان عمر آخرین نسخه تحت تأثیر (معمولاً یک سال پس از انتشار اصلاحیه در نسخه اصلی جدید) افشا می‌شوند.

این سیاست در مورد «باگ‌های حیاتی» صدق نمی‌کند، زیرا این موارد به احتمال زیاد نیازمند رویه‌های خاص و خارج از چارچوب استاندارد خواهند بود.

لوک دی ولف، مجری برنامه Bitcoin Infinity Show و نویسنده کتاب «دفاع از بیت‌کوین»، این تغییر را مثبت ارزیابی کرد و گفت: «من در گذشته با رویکرد آنتوان به امنیت مخالف بودم، اما این یک به‌روزرسانی خوب است.»

در ماه اوت، تیم داوطلب بیت‌کوین رد تیم (Bitcoin Red Team) نزدیک به ۵۰۰۰ مسئله بالقوه را در ۳۹۰ پروژه گزارش کرد، اگرچه در آن زمان تنها حدود یک پنجم یافته‌های آن‌ها تکرار شده بود. در همان ماه، توسعه‌دهندگان Core Lightning از اپراتورها خواستند تا گره‌های خود را به‌روز کنند یا آن‌ها را آفلاین کنند، پس از دریافت چندین گزارش آسیب‌پذیری تولید شده توسط هوش مصنوعی، در حالی که جزئیات فنی را برای دو هفته مخفی نگه داشتند.