Bitcoin Core ändert die Richtlinie zur Offenlegung von Sicherheitsanfälligkeiten aufgrund von KI

Bitcoin Core ändert seine Richtlinie zur Offenlegung von Schwachstellen: Entwickler erkannten an, dass große Sprachmodelle einige Softwarefehler zu leicht erkennbar gemacht haben und verlängerte Embargos nicht mehr den gleichen Schutz bieten.

In einem Schreiben an die Bitcoin Development List-Mailingliste erklärte Bitcoin Core-Entwickler Antoine Poinsot, wie die bisherige Praxis funktionierte. Schwachstellen wurden typischerweise unter einem verlängerten Embargo gehalten, um den Nutzern Zeit zum Aktualisieren zu geben, bevor Details veröffentlicht wurden. Die Geheimhaltung bedeutete, dass Korrekturen nicht auf ältere Versionen zurückportiert werden konnten und die Nutzer auf die nächste Hauptversion warten mussten. Allerdings haben Sprachmodelle einige Fehler so leicht erkennbar gemacht, dass das Verzögern von Korrekturen wenig Nutzen bietet.

„Die Embargoperiode erreicht wenig außer der Verzögerung der Verfügbarkeit einer korrigierten Version“, sagte Poinsot. „Daher aktualisieren wir die Offenlegungsrichtlinie, um dem Rechnung zu tragen.“

Unter der neuen Richtlinie werden Schwachstellen, die als „leicht erkennbar“ gelten, so schnell wie möglich in allen unterstützten Hauptversionen behoben, und Sicherheitswarnungen werden zusammen mit Updates veröffentlicht. Diese Kategorie umfasst Fehler, die mit minimalem Aufwand gefunden werden können, beispielsweise durch eine einfache Abfrage an ein Sprachmodell.

Für andere Schwachstellen bleibt der Offenlegungszeitplan an die Schwere gebunden. Fehler mit niedriger Schwere werden zwei Wochen nach der Veröffentlichung einer Hauptversion mit der Korrektur offengelegt. Schwachstellen mittlerer und hoher Schwere werden zwei Wochen nach dem Ende der Lebensdauer der letzten betroffenen Version offengelegt, typischerweise etwa ein Jahr nachdem die Korrektur in einer neuen Hauptversion veröffentlicht wurde. Kritische Fehler sind nicht in der Standardrichtlinie enthalten; laut Entwicklern werden sie wahrscheinlich ein separates Verfahren erfordern.

Luke de Wolfe, Moderator der Bitcoin Infinity Show und Autor von „Defending Bitcoin“, nannte die Aktualisierung einen guten Schritt und bemerkte, dass er zuvor mit Poinsots Ansatz zur Sicherheit nicht einverstanden war.

Die Änderung erfolgt unter dem Druck, den die KI-Forschung auf Entwickler im gesamten Bitcoin-Ökosystem ausübt. Im August meldete das freiwillige Bitcoin Red Team fast 5.000 potenzielle Probleme in 390 Projekten, obwohl zu diesem Zeitpunkt nur etwa ein Fünftel der Ergebnisse reproduziert worden war. Im selben Monat forderten Core Lightning-Entwickler Betreiber auf, Knoten zu aktualisieren oder abzuschalten, nachdem sie mehrere KI-generierte Schwachstellenberichte erhalten hatten, wobei technische Details zwei Wochen lang zurückgehalten wurden.