Bitcoin Core cambia su política de divulgación de vulnerabilidades: los desarrolladores reconocieron que los modelos de lenguaje grandes han hecho que algunos errores de software sean demasiado fáciles de detectar, y los embargos prolongados ya no brindan la misma protección.
En una carta a la lista de correo de la Lista de Desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot explicó cómo funcionaba la práctica anterior. Las vulnerabilidades generalmente se mantenían bajo un embargo prolongado para dar tiempo a los usuarios a actualizar antes de que se publicaran los detalles. Mantener el secreto significaba que las correcciones no podían retroportarse a versiones anteriores, y los usuarios tenían que esperar la próxima versión importante. Sin embargo, los modelos de lenguaje han hecho que algunos errores sean tan fácilmente detectables que retrasar las correcciones ofrece poco beneficio.
“El período de embargo logra poco más que retrasar la disponibilidad de una versión corregida”, dijo Poinsot. “Por lo tanto, estamos actualizando la política de divulgación para tener en cuenta esto.”
Bajo la nueva política, las vulnerabilidades consideradas “fácilmente detectables” se corregirán lo antes posible en todas las versiones principales compatibles, y los avisos de seguridad se publicarán junto con las actualizaciones. Esta categoría incluye errores que se pueden encontrar con un esfuerzo mínimo, como a través de una consulta simple a un modelo de lenguaje.
Para otras vulnerabilidades, el cronograma de divulgación sigue vinculado a la gravedad. Los errores de baja gravedad se divulgarán dos semanas después del lanzamiento de una versión principal con la corrección. Las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después del fin de vida de la última versión afectada, generalmente aproximadamente un año después de que se publique la corrección en una nueva versión principal. Los errores críticos no están incluidos en la política estándar; según los desarrolladores, probablemente requerirán un procedimiento separado.
Luke de Wolfe, presentador del Bitcoin Infinity Show y autor de “Defendiendo Bitcoin”, calificó la actualización como un buen movimiento, señalando que anteriormente no estaba de acuerdo con el enfoque de Poinsot sobre la seguridad.
El cambio se produce en medio de la presión que la investigación de IA está ejerciendo sobre los desarrolladores en todo el ecosistema de Bitcoin. En agosto, el equipo voluntario Bitcoin Red Team informó casi 5,000 problemas potenciales en 390 proyectos, aunque solo alrededor de una quinta parte de los hallazgos se había reproducido en ese momento. En el mismo mes, los desarrolladores de Core Lightning instaron a los operadores a actualizar o cerrar nodos después de recibir varios informes de vulnerabilidades generados por IA, reteniendo detalles técnicos durante dos semanas.
Este material se ha preparado exclusivamente con fines informativos y no constituye asesoramiento ni recomendación financiera.
Artículos relacionados
