Команда разработчиков Core Lightning заявила о получении множества отчетов об обнаруженных уязвимостях, составленных с помощью технологий искусственного интеллекта. Core Lightning представляет собой программную реализацию Lightning Network для сети биткоина – открытый проект, который развивается при поддержке сообщества и организации Blockstream. В течение последних десяти дней разработчики получили значительное количество автоматически сгенерированных CVE-отчетов, некоторые из которых были подтверждены как реальные и могут нести определенные риски для безопасности сети.
Информация о необходимости обновления узлов первоначально появилась в Discord-канале проекта, а затем получила подтверждение на официальной странице Core Lightning в социальной сети X. Разработчики отметили, что работают над комплексной стратегией по устранению обнаруженных уязвимостей. Первым шагом станет выпуск промежуточного обновления для узлов. Операторам рекомендуется либо обновить программное обеспечение до актуальной версии, либо перевести ноды в режим офлайн до выхода патча.
Для перевода узла в безопасный режим разработчики рекомендуют перезапустить его с флагом --offline. Данная команда останавливает peer-соединения и прекращает маршрутизацию платежей через узел, однако позволяет ему продолжать отслеживать состояние сети и корректно работать при принудительном закрытии каналов. Такой подход обеспечивает минимальную функциональность, необходимую для мониторинга состояния каналов, при одновременном снижении рисков эксплуатации уязвимостей.
В официальном сообщении подчеркивается, что более старые версии программного обеспечения поддерживаться не будут, что делает обновление критически важным для всех операторов узлов. При этом плановый релиз обновления, запланированный на конец сентября, пройдет по установленному графику независимо от текущей ситуации с безопасностью. Детальная информация касательно обнаруженных уязвимостей будет раскрыта разработчиками после завершения двухнедельного эмбарго на публикацию, что является стандартной практикой в индустрии кибербезопасности для предотвращения преждевременной эксплуатации уязвимостей злоумышленниками.
Ситуация с Core Lightning отражает более широкую тенденцию в индустрии кибербезопасности. С выходом более продвинутых версий ИИ-моделей растет количество автоматически обнаруживаемых уязвимостей, в том числе в уже действующих или даже закрытых проектах. Ранее сообщалось о краже 2 миллионов долларов из протокола Aztec Connect, что также было связано с эксплуатацией уязвимостей в смарт-контрактах. Рост возможностей ИИ-инструментов для автоматического аудита кода создает новые вызовы для разработчиков, которым необходимо оперативно реагировать на увеличивающийся поток отчетов о потенциальных проблемах безопасности.