एआई से कमजोरियाँ ढूँढना आसान, बिटकॉइन कोर ने सुरक्षा नीति बदली

एआई के स्मार्ट होने के साथ बिटकॉइन कोर की रणनीति में बदलाव

22 अक्टूबर को बिटकॉइन डेवलपमेंट मेलिंग लिस्ट को भेजे गए एक संदेश में, बिटकॉइन कोर डेवलपर एंटोइन पॉइंसोट ने प्रोजेक्ट की भेद्यता प्रकटीकरण नीति में बदलाव की घोषणा की, जिसमें उन बग्स से संबंधित सुरक्षा रिपोर्टों की बढ़ती संख्या का हवाला दिया गया जिन्हें न्यूनतम प्रयास से खोजा या फिर से खोजा जा सकता है।

पॉइंसेट ने लिखा, "हाल ही में हमने उन सुरक्षा कमजोरियों की रिपोर्टों की संख्या में वृद्धि देखी है जिन्हें आसानी से (फिर से) खोजा जा सकता है।" "यह काफी हद तक एलएलएम (LLMs) के कारण है जो कुछ प्रकार की समस्याओं को खोजने या छिपे हुए समाधानों की पहचान करने की बाधा को काफी कम कर देते हैं।"

लार्ज लैंग्वेज मॉडल, या एलएलएम, ChatGPT जैसे एआई सहायकों के पीछे की तकनीक हैं। सॉफ्टवेयर कोड का उनका बढ़ता हुआ विश्लेषण करने का कौशल, पारदर्शिता और उपयोगकर्ताओं को हमलों से बचाने की आवश्यकता के बीच संतुलन बनाने की कोशिश कर रहे डेवलपर्स के लिए एक चुनौती पेश करता है।

ऐतिहासिक रूप से, बिटकॉइन कोर—जो प्रमुख क्रिप्टोकरेंसी के विकेंद्रीकृत नेटवर्क को आधार देने वाला सॉफ्टवेयर है—ने लंबे समय से प्रकटीकरण प्रतिबंधों को प्राथमिकता दी है, जिससे उपयोगकर्ताओं को कमजोरियों के बारे में सार्वजनिक रूप से पता चलने से पहले अपना सॉफ्टवेयर अपग्रेड करने का समय मिल जाता है। यह तरीका बिटकॉइन की विकेंद्रीकृत प्रकृति और नोड ऑपरेटरों के बीच अपग्रेडिंग की अपेक्षाकृत धीमी संस्कृति को दर्शाता है।

हालांकि, उन प्रतिबंधों ने बिटकॉइन कोर के पुराने संस्करण चलाने वाले उपयोगकर्ताओं को सुरक्षा पैच प्रदान करने के प्रयासों को भी जटिल बना दिया है।

पॉइंसेट ने कहा, "इन मुद्दों के लिए जिन्हें खोजना आसान है, यह गलत समझौता है।" "प्रतिबंध अवधि से कुछ हासिल नहीं होता है, लेकिन यह एक ठीक किए गए संस्करण की उपलब्धता में देरी करता है।"

संशोधित नीति के तहत, बिटकॉइन कोर डेवलपर्स अब अपनी प्रारंभिक मूल्यांकन के दौरान कमजोरियों को "आसानी से खोजी जा सकने वाली" के रूप में वर्गीकृत कर सकते हैं। इस श्रेणी में वे खामियां शामिल हैं जिन्हें एक सरल एआई प्रॉम्प्ट से उजागर किया जा सकता है, हालांकि यह केवल कृत्रिम बुद्धिमत्ता का उपयोग करके पाई गई कमजोरियों तक ही सीमित नहीं है।

अगले प्रमुख सॉफ्टवेयर रिलीज़ तक फिक्स को रोकने के बजाय, डेवलपर्स हर सक्रिय रूप से बनाए जा रहे प्रमुख संस्करण में पैच को बैकपोर्ट करेंगे और अपडेट को जल्द से जल्द जारी करेंगे। पैच किए गए रिलीज़ के साथ एक सार्वजनिक सुरक्षा सलाह जारी की जाएगी, जो सामान्य प्रतिबंध अवधि को बाईपास करेगी।

इन परिवर्तनों को 16 अक्टूबर को पॉइंसेट द्वारा सबमिट किए गए एक गिटहब पुल रिक्वेस्ट में औपचारिक रूप दिया गया और 22 अक्टूबर को मर्ज किया गया। नई भेद्यता वर्गीकरण बनाने के अलावा, यह संशोधन सार्वजनिक प्रकटीकरण से पहले दो सप्ताह की अग्रिम सूचना की आवश्यकता को संशोधित करता है, और यह स्पष्ट करता है कि यह आवश्यकता उन भेद्यताओं पर भी लागू होती है जो अभी भी प्रतिबंध के अधीन हैं।

इससे जुड़ी चर्चा में संभावित समझौतों पर भी प्रकाश डाला गया। पॉइंसेट ने स्वीकार किया कि सुरक्षा रिलीज़ को गति देने से डेवलपमेंट ब्रांच में फिक्स का परीक्षण करने के लिए उपलब्ध समय कम हो सकता है, जबकि यह तर्क दिया कि सीधे और आसानी से सत्यापित किए जा सकने वाले पैच उन प्रयासों की तुलना में बेहतर हो सकते हैं जिनसे कमजोरियों को छिपाया जाए, जिन्हें एआई टूल वैसे भी उजागर कर सकते हैं।

अन्य डेवलपर्स ने इस पर बहस की कि क्या उपयोगकर्ताओं को कभी-कभी फिक्स उपलब्ध होने से पहले चेतावनियाँ मिलनी चाहिए, हालांकि अपनाई गई नीति पैच किए गए रिलीज़ के साथ सलाह प्रकाशित करने का आह्वान करती है।

यह कदम सुरक्षा प्रकटीकरण को कैसे बदलता है

ये बदलाव बिटकॉइन कोर के पिछले दृष्टिकोण से एक महत्वपूर्ण विचलन को दर्शाते हैं, जो आम तौर पर भेद्यता प्रकटीकरण को एक खामी की गंभीरता और प्रभावित सॉफ्टवेयर संस्करणों के जीवनचक्र से जोड़ता था।

मौजूदा गंभीरता-आधारित ढांचे के तहत, कम-गंभीरता वाली कमजोरियों का खुलासा एक प्रमुख रिलीज़ के दो सप्ताह बाद सार्वजनिक रूप से किया जाता है जिसमें एक फिक्स शामिल होता है। मध्यम- और उच्च-गंभीरता वाली कमजोरियों के लिए काफी लंबा प्रतिबंध होता है, और उनका खुलासा अंतिम प्रभावित रिलीज़ के जीवन-चक्र के अंत तक पहुंचने के दो सप्ताह बाद होता है, जो आमतौर पर शुरुआती फिक्स के लगभग एक साल बाद होता है।

जो कमजोरियाँ आसानी से खोजे जाने योग्य नहीं मानी जाती हैं, उनके लिए वे समय-सीमाएँ लागू रहती हैं। बिटकॉइन की मौलिक सुरक्षा के लिए खतरा पैदा करने वाले गंभीर दोष, जिनमें अनधिकृत कॉइन बनाने या पूरे नेटवर्क में स्थायी चेन विभाजन का कारण बनने में सक्षम बग शामिल हैं, के लिए मानक नीति के बाहर विशेष व्यवस्था की आवश्यकता जारी रहती है।

इस संशोधन का पुराने बिटकॉइन कोर सॉफ्टवेयर चलाने वाले उपयोगकर्ताओं पर तत्काल प्रभाव पड़ सकता है, क्योंकि नए नियमों के तहत सक्रिय रूप से रखरखाव किए जाने वाले सभी प्रमुख संस्करण त्वरित पैच के लिए पात्र होंगे।

यह नीति परिवर्तन इस बात का संकेत नहीं देता है कि बिटकॉइन की क्रिप्टोग्राफी से समझौता हुआ है या कोई विशिष्ट नया एक्सप्लॉइट खोजा गया है। इसके बजाय, यह एक बदलते सुरक्षा माहौल को दर्शाता है जिसमें डेवलपर्स अब यह मान नहीं सकते कि भेद्यता के विवरण को रोकने से हमलावरों को स्वतंत्र रूप से उसी कमजोरियों की पहचान करने से रोका जा सकेगा।

बिटकॉइन कोर के लिए, तेजी से सक्षम हो रहे एआई उपकरणों का उदय, उपयोगकर्ताओं की सुरक्षा के लिए गुप्तता पर निर्भर रहने के बजाय, पैच किए गए सॉफ्टवेयर को जल्द उपलब्ध कराने की ओर गणना को बदल रहा है।

इस साल की शुरुआत में, क्रिप्टो नेटवर्क ज़कैश के डेवलपर्स ने कहा कि एक भेद्यता (vulnerability) खोजने के लिए एआई (AI) का इस्तेमाल किया गया था, जिससे असीमित सिक्के बनाने (mint unlimited coins) की संभावना पैदा हो गई थी, और नेटवर्क के गोपनीयता-केंद्रित शील्डिड पूल डिज़ाइन (privacy-centric shielded pool design) के कारण उस समय यह साबित करना असंभव था कि इसका फायदा नहीं उठाया गया था। संभावित नकली सिक्कों को लेकर चिंताओं के कारण उस समय ZEC की कीमत में भारी गिरावट आई थी।

जुलाई में, डेवलपर्स ने शील्ड किए गए पूल को एक नए, अधिक सुरक्षित पूल से बदलने के लिए ज़कैश को अपग्रेड किया, और यह सुनिश्चित करने के लिए स्वतंत्र सत्यापन जोड़ा कि ZEC की आपूर्ति में वृद्धि नहीं हुई है। तब से ज़कैश की कीमत दोगुनी से भी अधिक हो गई है।