AIで脆弱性発見が容易に、ビットコイン・コアがセキュリティポリシーを変更

AIの高度化に伴い、ビットコイン・コアが戦略を転換

10月22日、ビットコイン開発メーリングリストへのメッセージで、ビットコイン・コア開発者のアントワーヌ・ポワノ氏は、最小限の労力で発見または再発見可能なバグに関するセキュリティ報告が増加していることを理由に、プロジェクトの脆弱性開示ポリシーの変更を発表しました。

「最近、容易に（再）発見可能なセキュリティ脆弱性に関する報告件数が増加しています」とポワソは記した。「これは主に、LLM（大規模言語モデル）によって、特定の種類の問題を見つけたり、隠された修正を特定したりするためのハードルが劇的に低下したためです。」

LLMはChatGPTなどのAIアシスタントを支える基盤技術であり、そのコード分析能力の向上は、透明性とユーザー保護のバランスを取ろうとする開発者にとって課題となっている。

これまで、主要な暗号資産の分散型ネットワークを支えるソフトウェアであるBitcoin Coreは、長い開示差し止め期間を設けることを好んできました。これにより、一般に脆弱性が知られる前に、ユーザーがソフトウェアをアップグレードする時間を確保できます。このアプローチは、ビットコインの分散型という性質と、ノード運営者の間でアップグレードのペースが比較的遅いという文化を反映しています。

しかし、こうした公開差し止め期間は、古いバージョンのBitcoin Coreを実行しているユーザーにセキュリティパッチを届ける取り組みを複雑化させてきました。「発見しやすいこれらの問題に関しては、これは誤ったトレードオフです」とポワノ氏は述べました。「公開差し止め期間はほとんど効果をもたらさない一方で、修正版のリリースを遅らせるだけです。」

改定されたポリシーでは、ビットコイン・コア開発者は初期評価の段階で脆弱性を「容易に発見可能」と分類できるようになりました。この分類には単純なAIプロンプトで発見できる欠陥が含まれますが、人工知能を用いて発見された脆弱性に限定されるわけではありません。

開発者は次のメジャーリリースまで修正を保留するのではなく、アクティブにメンテナンスされているすべてのメジャーバージョンにパッチをバックポートし、できるだけ迅速にアップデートをリリースします。パッチが適用されたリリースには、通常の公開禁止期間を省略して、公開セキュリティアドバイザリが添付されます。

これらの変更は、10月16日にポワノ氏が提出し、10月22日にマージされたGitHubのプルリクエストで正式に確定しました。この改訂では新たな脆弱性分類が設けられたほか、公開前に2週間の事前通知を義務付ける文言が修正され、この要件が依然として公開禁止期間の対象となっている脆弱性にも適用されることが明確化されました。

付随する議論では、潜在的なトレードオフも指摘されました。ポワノ氏は、セキュリティリリースの迅速化によって開発ブランチでの修正プログラムのテスト時間が短縮される可能性を認めつつも、AIツールによっていずれ発見されてしまう脆弱性を隠蔽しようとする試みよりも、単純で検証しやすいパッチの方が望ましいと主張しました。

他の開発者たちは、修正プログラムが利用可能になる前にユーザーに警告を発すべきかどうかについて議論したが、採択された方針では、修正済みのリリースと同時にアドバイザリを公開することが求められている。

この変更がセキュリティ開示に与える影響

これらの変更は、脆弱性の開示を一般的に欠陥の深刻度や影響を受けるソフトウェアバージョンのライフサイクルに結びつけていたBitcoin Coreの従来のアプローチからの大幅な転換を意味します。

従来の深刻度に基づく枠組みでは、低深刻度の脆弱性は修正を含むメジャーリリースの2週間後に公開されます。中・高深刻度の脆弱性については公開までの保留期間がかなり長く、影響を受ける最後のリリースがサポート終了（EOL）状態になってから2週間後、通常は最初の修正から約1年後に公開されます。

これらのスケジュールは、容易に発見されないと見なされる脆弱性については引き続き適用されます。不正なコインの生成やネットワーク全体にわたる恒久的なチェーンの分岐を引き起こす可能性のあるバグなど、ビットコインの根本的なセキュリティを脅かす重大な欠陥については、引き続き標準的なポリシーとは異なる特別な対応が必要となります。

この改定は、古いBitcoin Coreソフトウェアを実行しているユーザーに即座に影響を及ぼす可能性があります。なぜなら、新しい規則の下では、アクティブにメンテナンスされているすべてのメジャーバージョンが、迅速なパッチ適用の対象となるからです。このポリシー変更は、ビットコインの暗号技術が侵害されたことや、特定の新しいエクスプロイトが発見されたことを示すものではありません。 むしろこれはセキュリティ環境の変化を反映したものであり、開発者はもはや脆弱性の詳細を伏せることで攻撃者が独自に同じ弱点を特定することを防げるとは想定できなくなっています。ビットコイン・コアにとって、ますます高性能化するAIツールの登場により、ユーザーを保護するために秘密主義に頼るのではなく、パッチを適用したソフトウェアをより早く公開するという判断へと方針がシフトしつつあります。

今年初め、暗号資産ネットワーク「Zcash」の開発者らは、AIが利用され、無制限にコインを鋳造できる脆弱性が発見されたと述べました。また、同ネットワークのプライバシー重視の「シールドプール」設計により、当時はその脆弱性が悪用されていないことを証明することが不可能でした。 当時、偽造コインの懸念からZEC価格は急落しました。

7月には開発チームがZcashをアップグレードし、シールドプールを新たな強化型プールに置き換えたほか、ZECの供給量が水増しされていないことを保証するための独立検証機能を追加しました。それ以降、Zcashの価格は2倍以上に上昇しています。