Bitcoin Core меняет политику раскрытия уязвимостей: разработчики признали, что большие языковые модели сделали часть ошибок в программном обеспечении слишком простыми для обнаружения, и длительные эмбарго больше не дают прежней защиты.
В письме в список рассылки Bitcoin Development List разработчик Bitcoin Core Антуан Пуансо объяснил, как работала прежняя практика. Уязвимости обычно держали под длительным эмбарго, чтобы пользователи успели обновиться до публикации деталей. Соблюдение секретности означало, что исправления нельзя было переносить на старые версии, и пользователям приходилось ждать следующего крупного релиза. Однако языковые модели сделали некоторые ошибки настолько легко обнаруживаемыми повторно, что задержка с исправлением почти ничего не дает.
«Период эмбарго мало что достигает, кроме задержки доступности исправленного релиза, – сказал Пуансо. – Поэтому мы обновляем политику раскрытия, чтобы учесть это».
По новой политике уязвимости, которые считаются «легко обнаруживаемыми», будут исправляться как можно скорее во всех поддерживаемых основных версиях, а советы по безопасности будут публиковаться вместе с обновлениями. Под эту категорию попадают ошибки, которые можно найти с минимальными усилиями – например, с помощью простого запроса к языковой модели.
Для остальных уязвимостей сохраняется график раскрытия, привязанный к серьезности. Ошибки низкой серьезности раскроют через две недели после выпуска основной версии с исправлением. Уязвимости средней и высокой серьезности раскроют через две недели после завершения жизненного цикла последней затронутой версии – обычно примерно через год после выхода исправления в новой основной версии. Критические ошибки в стандартную политику не входят: по словам разработчиков, они, скорее всего, потребуют отдельной процедуры.
Люк де Вулф, ведущий Bitcoin Infinity Show и автор книги «Defending Bitcoin», назвал обновление хорошим, отметив, что в прошлом не соглашался с подходом Пуансо к безопасности.
Изменение происходит на фоне давления, которое AI-исследования оказывают на разработчиков по всей экосистеме Биткоина. В августе волонтерская Bitcoin Red Team сообщила о почти 5000 потенциальных проблемах в 390 проектах, хотя на тот момент была воспроизведена лишь примерно пятая часть находок. В том же месяце разработчики Core Lightning призвали операторов обновляться или отключать ноды после получения нескольких отчетов об уязвимостях, сгенерированных AI, придерживая технические детали две недели.
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.
Похожие статьи
