Bitcoin Core меняет политику безопасности: ИИ упрощает поиск уязвимостей

Bitcoin Core меняет стратегию по мере совершенствования ИИ

В сообщении от 22 октября, направленном в рассылку разработчиков Bitcoin, разработчик Bitcoin Core Антуан Пуансо (Antoine Poinsot) объявил об изменениях в политике раскрытия уязвимостей проекта, сославшись на растущее число отчетов о безопасности, касающихся ошибок, которые можно обнаружить или повторно обнаружить с минимальными усилиями.

«В последнее время мы наблюдаем рост числа сообщений об уязвимостях безопасности, которые можно легко (повторно) обнаружить», — написал Пуансо. «Это в значительной степени связано с тем, что большие языковые модели (LLM) резко снижают порог обнаружения определенных классов проблем или выявления скрытых исправлений».

Крупные языковые модели (LLM) — это технология, лежащая в основе таких ИИ-помощников, как ChatGPT. Их растущая способность анализировать программный код представляет собой вызов для разработчиков, пытающихся найти баланс между прозрачностью и необходимостью защищать пользователей от атак.

Исторически сложилось так, что Bitcoin Core — программное обеспечение, лежащее в основе децентрализованной сети ведущей криптовалюты — предпочитало длительные сроки запрета на раскрытие информации, давая пользователям время обновить программное обеспечение до того, как общественность узнает об уязвимостях. Такой подход отражает децентрализованную природу Биткойна и относительно медленную культуру обновлений среди операторов узлов.

Однако эти сроки также затрудняют доставку патчей безопасности пользователям, использующим старые версии Bitcoin Core.

«В случае таких легко обнаруживаемых проблем это неверный компромисс», — сказал Пуансо. «Срок засекречивания мало что дает, но задерживает выпуск исправленной версии».

В соответствии с пересмотренной политикой разработчики Bitcoin Core теперь могут классифицировать уязвимости как «легко обнаруживаемые» на этапе первоначальной оценки. Эта классификация включает недостатки, которые можно выявить с помощью простого запроса к ИИ, хотя она не ограничивается уязвимостями, обнаруженными с помощью искусственного интеллекта.

Вместо того чтобы откладывать исправления до следующего крупного выпуска программного обеспечения, разработчики будут обратно портировать патчи на каждую активно поддерживаемую основную версию и выпускать обновления как можно быстрее. К исправленным выпускам будет прилагаться публичное уведомление о безопасности, что позволит обойти обычные периоды эмбарго.

Эти изменения были официально зафиксированы в пул-реквесте на GitHub, отправленном Поинсо 16 октября и слиянном 22 октября. Помимо введения новой классификации уязвимостей, в пересмотренной версии изменена формулировка, требующая уведомления за две недели до публичного раскрытия информации, с уточнением, что это требование применяется к уязвимостям, на которые по-прежнему распространяется эмбарго.

В сопутствующей дискуссии также были отмечены потенциальные компромиссы. Поинсо признал, что ускорение выпуска обновлений безопасности может сократить время, доступное для тестирования исправлений в ветках разработки, при этом утверждая, что простые, легко проверяемые исправления могут быть предпочтительнее попыток скрыть уязвимости, которые инструменты искусственного интеллекта всё равно могут обнаружить.

Другие разработчики обсуждали, следует ли в некоторых случаях предупреждать пользователей до того, как исправления станут доступны, хотя принятая политика предусматривает публикацию рекомендаций одновременно с выпусками исправленных версий.

Как это решение меняет практику раскрытия информации о безопасности

Эти изменения представляют собой значительное отклонение от прежнего подхода Bitcoin Core, который, как правило, увязывал раскрытие уязвимостей со степенью серьезности недостатка и жизненным циклом затронутых версий программного обеспечения.

В рамках существующей системы, основанной на степени серьезности, уязвимости низкой степени серьезности раскрываются публично через две недели после выпуска основной версии, содержащей исправление. Уязвимости средней и высокой степени серьезности подлежат значительно более длительным ограничениям на раскрытие информации: их раскрытие происходит через две недели после того, как последняя затронутая версия достигает статуса «конец срока поддержки», что обычно происходит примерно через год после первоначального исправления.

Эти сроки остаются в силе для уязвимостей, которые не считаются легко обнаруживаемыми. Критические уязвимости, угрожающие фундаментальной безопасности Биткойна, включая ошибки, способные привести к созданию несанкционированных монет или вызвать необратимые расколы цепочки по всей сети, по-прежнему требуют особого подхода, выходящего за рамки стандартной политики.

Данное изменение может иметь непосредственные последствия для пользователей, использующих устаревшее программное обеспечение Bitcoin Core, поскольку все активно поддерживаемые основные версии будут иметь право на ускоренное исправление в соответствии с новыми правилами.

Изменение политики не означает, что криптография Биткойна была скомпрометирована или что был обнаружен какой-либо конкретный новый эксплойт. Напротив, оно отражает меняющуюся обстановку в сфере безопасности, в которой разработчики больше не могут полагать, что сокрытие сведений об уязвимостях помешает злоумышленникам самостоятельно выявить те же слабые места.

Что касается Bitcoin Core, появление всё более мощных инструментов искусственного интеллекта склоняет разработчиков к тому, чтобы быстрее выпускать исправленное программное обеспечение, а не полагаться на секретность для защиты пользователей.

Ранее в этом году разработчики криптовалютной сети Zcash заявили, что с помощью ИИ была обнаружена уязвимость, позволявшая чеканить неограниченное количество монет, а ориентированная на конфиденциальность архитектура защищенного пула сети на тот момент не позволяла доказать, что эта уязвимость не была использована. В то время цена ZEC резко упала из-за опасений по поводу потенциальных поддельных монет.

В июле разработчики обновили Zcash, заменив защищенный пул новым, более надежным, и добавили независимую проверку, чтобы гарантировать, что объем ZEC не был завышен. С тех пор цена Zcash выросла более чем вдвое.