Bitcoin Core schimbă politica de securitate, AI ușurează găsirea vulnerabilităților

Bitcoin Core își schimbă strategia pe măsură ce IA devine mai inteligentă

Într-un mesaj din 22 octombrie adresat listei de discuții a dezvoltatorilor Bitcoin, dezvoltatorul Bitcoin Core, Antoine Poinsot, a anunțat modificări ale politicii de divulgare a vulnerabilităților proiectului, invocând un număr tot mai mare de rapoarte de securitate privind bug-uri care pot fi descoperite sau redescoperite cu efort minim.

„Am înregistrat recent o creștere a numărului de rapoarte privind vulnerabilități de securitate care pot fi ușor (re)descoperite”, a scris Poinsot. „Acest lucru se datorează în mare parte modelelor lingvistice de mari dimensiuni (LLM), care reduc drastic pragul necesar pentru a identifica anumite categorii de probleme sau pentru a descoperi remedieri ascunse.”

Modelele lingvistice de mari dimensiuni (LLM) reprezintă tehnologia care stă la baza asistenților AI, precum ChatGPT. Capacitatea lor tot mai mare de a analiza codul software reprezintă o provocare pentru dezvoltatorii care încearcă să găsească un echilibru între transparență și necesitatea de a proteja utilizatorii împotriva atacurilor.

În trecut, Bitcoin Core — software-ul care stă la baza rețelei descentralizate a celei mai importante criptomonede — a preferat embargouri îndelungate privind divulgarea informațiilor, oferind utilizatorilor timp să-și actualizeze software-ul înainte ca publicul să afle despre vulnerabilități. Această abordare reflectă natura descentralizată a Bitcoin și o cultură relativ lentă a actualizărilor în rândul operatorilor de noduri.

Cu toate acestea, aceste embargouri au complicat, de asemenea, eforturile de a furniza patch-uri de securitate utilizatorilor care rulează versiuni mai vechi ale Bitcoin Core.

„Pentru aceste probleme ușor de identificat, acesta este un compromis greșit”, a spus Poinsot. „Perioada de embargo nu aduce mari beneficii, ci doar întârzie disponibilitatea unei versiuni corectate.”

Conform politicii revizuite, dezvoltatorii Bitcoin Core pot acum clasifica vulnerabilitățile ca fiind „ușor de descoperit” în timpul evaluării inițiale. Această clasificare include defecte care pot fi descoperite printr-o simplă solicitare către IA, deși nu se limitează la vulnerabilitățile identificate cu ajutorul inteligenței artificiale.

În loc să amâne remedierea până la următoarea versiune majoră a software-ului, dezvoltatorii vor integra patch-urile în fiecare versiune majoră întreținută activ și vor lansa actualizările cât mai repede posibil. Versiunile remediate vor fi însoțite de un aviz public de securitate, ocolind perioadele obișnuite de embargou.

Modificările au fost formalizate într-o cerere de pull pe GitHub trimisă de Poinsot pe 16 octombrie și integrată pe 22 octombrie. Pe lângă crearea noii clasificări a vulnerabilităților, revizuirea modifică formularea care impunea un preaviz de două săptămâni înainte de divulgarea publică, clarificând faptul că această cerință se aplică vulnerabilităților care fac încă obiectul unui embargo.

Discuția care a însoțit această inițiativă a evidențiat, de asemenea, potențialele compromisuri. Poinsot a recunoscut că accelerarea lansărilor de securitate ar putea reduce timpul disponibil pentru testarea remediilor în ramurile de dezvoltare, argumentând totodată că patch-urile simple și ușor de verificat pot fi preferabile încercărilor de a ascunde vulnerabilități pe care instrumentele de IA le-ar putea descoperi oricum.

Alți dezvoltatori au dezbătut dacă utilizatorii ar trebui să primească uneori avertismente înainte ca remediile să devină disponibile, deși politica adoptată prevede publicarea de avize odată cu lansările care conțin remediile.

Cum schimbă această măsură modul de divulgare a informațiilor de securitate

Modificările reprezintă o abatere semnificativă de la abordarea anterioară a Bitcoin Core, care, în general, lega divulgarea vulnerabilităților de gravitatea unei defecte și de ciclul de viață al versiunilor de software afectate.

În cadrul actual bazat pe gravitate, vulnerabilitățile cu gravitate redusă sunt dezvăluite public la două săptămâni după o versiune majoră care conține o remediere. Vulnerabilitățile cu gravitate medie și ridicată se confruntă cu perioade de embargou considerabil mai lungi, dezvăluirea având loc la două săptămâni după ce ultima versiune afectată ajunge la statutul de sfârșit de viață, de obicei la aproximativ un an după remedierea inițială.

Aceste termene rămân în vigoare pentru vulnerabilitățile care nu sunt considerate ușor de descoperit. Defectele critice care amenință securitatea fundamentală a Bitcoin, inclusiv erorile capabile să creeze monede neautorizate sau să provoace divizări permanente ale lanțului la nivelul întregii rețele, continuă să necesite o tratare specială, în afara politicii standard.

Revizuirea ar putea avea implicații imediate pentru utilizatorii care rulează versiuni mai vechi ale software-ului Bitcoin Core, întrucât toate versiunile majore întreținute activ ar fi eligibile pentru patch-uri accelerate în conformitate cu noile reguli.

Modificarea politicii nu indică faptul că criptografia Bitcoin a fost compromisă sau că a fost descoperit un nou exploit specific. Dimpotrivă, aceasta reflectă un mediu de securitate în schimbare, în care dezvoltatorii nu mai pot presupune că ascunderea detaliilor privind vulnerabilitățile îi va împiedica pe atacatori să identifice în mod independent aceleași puncte slabe.

În cazul Bitcoin Core, apariția unor instrumente de IA din ce în ce mai performante determină o reorientare a strategiei către punerea la dispoziție mai rapidă a software-ului remediat, în loc să se bazeze pe secretizare pentru a proteja utilizatorii.

La începutul acestui an, dezvoltatorii din spatele rețelei criptografice Zcash au declarat că IA a fost utilizată pentru a descoperi o vulnerabilitate care făcea posibilă emiterea unui număr nelimitat de monede, iar designul bazinului protejat al rețelei, centrat pe confidențialitate, a făcut imposibilă, la momentul respectiv, dovedirea faptului că aceasta nu fusese exploatată. Prețul ZEC a scăzut brusc la acea vreme din cauza îngrijorărilor legate de potențialele monede contrafăcute.

În iulie, dezvoltatorii au actualizat Zcash pentru a înlocui „shielded pool”-ul cu unul nou, mai securizat, și au adăugat o verificare independentă pentru a se asigura că oferta de ZEC nu fusese umflată artificial. De atunci, prețul Zcash s-a dublat cu mult.