Bitcoin Core ubah kebijakan keamanan, AI permudah temukan kerentanan

Bitcoin Core Mengubah Strategi Seiring AI yang Semakin Cerdas

Dalam pesan tanggal 22 Oktober kepada Milis Pengembangan Bitcoin, pengembang Bitcoin Core Antoine Poinsot mengumumkan perubahan pada kebijakan pengungkapan kerentanan proyek tersebut, dengan mengutip meningkatnya jumlah laporan keamanan yang melibatkan bug yang dapat ditemukan atau ditemukan kembali dengan sedikit usaha.

"Kami baru-baru ini mengalami peningkatan jumlah laporan mengenai kerentanan keamanan yang dapat dengan mudah (di)temukan kembali," tulis Poinsot. "Hal ini sebagian besar disebabkan oleh model bahasa besar (LLMs) yang secara drastis menurunkan ambang batas untuk menemukan kelas-kelas masalah tertentu atau mengidentifikasi perbaikan tersembunyi."

Model bahasa besar, atau LLM, adalah teknologi yang mendasari asisten AI seperti ChatGPT. Kemampuan mereka yang semakin meningkat dalam menganalisis kode perangkat lunak menghadirkan tantangan bagi para pengembang yang berusaha menyeimbangkan transparansi dengan kebutuhan untuk melindungi pengguna dari serangan.

Secara historis, Bitcoin Core—perangkat lunak yang mendasari jaringan terdesentralisasi mata uang kripto terkemuka ini—lebih memilih masa penundaan pengungkapan yang panjang, sehingga pengguna memiliki waktu untuk memperbarui perangkat lunak mereka sebelum publik mengetahui adanya kerentanan. Pendekatan ini mencerminkan sifat terdesentralisasi Bitcoin dan budaya pembaruan yang relatif lambat di kalangan operator node.

Namun, periode penundaan pengungkapan tersebut juga mempersulit upaya penyediaan tambalan keamanan bagi pengguna yang masih menjalankan versi lama Bitcoin Core.

"Untuk masalah-masalah yang mudah ditemukan ini, ini adalah pertukaran yang salah," kata Poinsot. "Periode penundaan pengungkapan tidak banyak membantu, tetapi justru menunda ketersediaan rilis yang telah diperbaiki."

Berdasarkan kebijakan yang telah direvisi, pengembang Bitcoin Core kini dapat mengklasifikasikan kerentanan sebagai "mudah ditemukan" selama penilaian awal mereka. Klasifikasi ini mencakup kelemahan yang dapat terungkap dengan perintah AI sederhana, meskipun tidak terbatas pada kerentanan yang ditemukan menggunakan kecerdasan buatan.

Alih-alih menahan perbaikan hingga rilis perangkat lunak utama berikutnya, pengembang akan menerapkan patch ke setiap versi utama yang masih dipelihara secara aktif dan merilis pembaruan secepat mungkin. Pemberitahuan keamanan publik akan menyertai rilis yang telah diperbaiki tersebut, melewati periode embargo yang biasa.

Perubahan tersebut diresmikan dalam permintaan pull GitHub yang diajukan oleh Poinsot pada 16 Oktober dan digabungkan pada 22 Oktober. Selain menciptakan klasifikasi kerentanan baru, revisi ini mengubah ketentuan yang mewajibkan pemberitahuan dua minggu sebelumnya sebelum pengungkapan publik, dengan menjelaskan bahwa persyaratan tersebut berlaku untuk kerentanan yang masih tunduk pada masa embargo.

Diskusi yang menyertai juga menyoroti potensi trade-off. Poinsot mengakui bahwa mempercepat rilis keamanan dapat mengurangi waktu yang tersedia untuk menguji perbaikan di cabang pengembangan, sementara ia berpendapat bahwa tambalan yang sederhana dan mudah diverifikasi mungkin lebih disukai daripada upaya menyembunyikan kerentanan yang pada akhirnya tetap dapat terungkap oleh alat AI.

Pengembang lain memperdebatkan apakah pengguna terkadang harus menerima peringatan sebelum perbaikan tersedia, meskipun kebijakan yang diadopsi mengharuskan penerbitan pemberitahuan bersamaan dengan rilis yang telah diperbaiki.

Bagaimana Langkah Ini Mengubah Pengungkapan Keamanan

Perubahan ini merupakan penyimpangan signifikan dari pendekatan Bitcoin Core sebelumnya, yang umumnya mengaitkan pengungkapan kerentanan dengan tingkat keparahan suatu kelemahan dan siklus hidup versi perangkat lunak yang terpengaruh.

Di bawah kerangka kerja berbasis tingkat keparahan yang ada, kerentanan dengan tingkat keparahan rendah diungkapkan secara publik dua minggu setelah rilis utama yang berisi perbaikan. Kerentanan dengan tingkat keparahan sedang dan tinggi menghadapi masa penundaan pengungkapan yang jauh lebih lama, dengan pengungkapan dilakukan dua minggu setelah rilis terakhir yang terpengaruh mencapai status akhir masa pakai (end-of-life), biasanya sekitar satu tahun setelah perbaikan awal.

Jadwal tersebut tetap berlaku untuk kerentanan yang tidak dianggap mudah ditemukan. Cacat kritis yang mengancam keamanan fundamental Bitcoin, termasuk bug yang mampu menciptakan koin tanpa izin atau menyebabkan pemisahan rantai permanen di seluruh jaringan, tetap memerlukan penanganan khusus di luar kebijakan standar.

Revisi ini dapat memiliki implikasi langsung bagi pengguna yang menjalankan perangkat lunak Bitcoin Core versi lama, karena semua versi utama yang masih dipelihara secara aktif akan memenuhi syarat untuk mendapatkan tambalan yang dipercepat berdasarkan aturan baru.

Perubahan kebijakan ini tidak menunjukkan bahwa kriptografi Bitcoin telah disusupi atau bahwa eksploit baru tertentu telah ditemukan. Sebaliknya, hal ini mencerminkan lingkungan keamanan yang terus berubah, di mana pengembang tidak lagi dapat berasumsi bahwa menyembunyikan detail kerentanan akan mencegah penyerang mengidentifikasi kelemahan yang sama secara mandiri.

Bagi Bitcoin Core, kemunculan alat AI yang semakin canggih mengubah pertimbangan ke arah penyediaan perangkat lunak yang telah diperbaiki lebih cepat, daripada mengandalkan kerahasiaan untuk melindungi pengguna.

Awal tahun ini, para pengembang di balik jaringan kripto Zcash mengatakan bahwa AI telah digunakan untuk menemukan kerentanan yang memungkinkan pencetakan koin tanpa batas, dan desain pool terlindung yang berfokus pada privasi jaringan tersebut membuatnya mustahil pada saat itu untuk membuktikan bahwa kerentanan tersebut belum dieksploitasi. Harga ZEC anjlok pada saat itu akibat kekhawatiran akan adanya koin palsu.

Pada bulan Juli, para pengembang memperbarui Zcash dengan mengganti "shielded pool" dengan sistem baru yang lebih aman, serta menambahkan verifikasi independen untuk memastikan bahwa pasokan ZEC tidak telah dibesar-besarkan. Sejak saat itu, harga Zcash telah meningkat lebih dari dua kali lipat.