Yapay zeka güvenlik açıklarını tespit ediyor; Bitcoin Core güvenlik politikasını değiştirdi

Yapay Zeka Akıllandıkça Bitcoin Core Stratejisini Değiştiriyor

22 Ekim'de Bitcoin Geliştirme Posta Listesi'ne gönderilen bir mesajda, Bitcoin Core geliştiricisi Antoine Poinsot, minimum çabayla keşfedilebilen veya yeniden keşfedilebilen hataları içeren güvenlik raporlarının sayısının artmasını gerekçe göstererek, projenin güvenlik açığı bildirim politikasında yapılan değişiklikleri duyurdu.

Poinsot, "Son zamanlarda, kolayca (yeniden) keşfedilebilen güvenlik açıklarına ilişkin raporların sayısında bir artış yaşadık," diye yazdı. "Bu durum, büyük ölçüde büyük dil modellerinin (LLM'ler) belirli sorun türlerini bulma veya gizli düzeltmeleri tespit etme eşiğini önemli ölçüde düşürmesinden kaynaklanıyor."

Büyük dil modelleri (LLM’ler), ChatGPT gibi yapay zeka asistanlarının temelini oluşturan teknolojidir. Yazılım kodunu analiz etme yeteneklerinin giderek artması, şeffaflık ile kullanıcıları saldırılardan koruma ihtiyacı arasında denge kurmaya çalışan geliştiriciler için bir zorluk teşkil etmektedir.

Tarihsel olarak, önde gelen kripto para biriminin merkeziyetsiz ağının temelini oluşturan Bitcoin Core yazılımı, uzun süreli açıklama ambargolarını tercih ederek, kamuoyu güvenlik açıklarından haberdar olmadan önce kullanıcıların yazılımlarını güncelleyebilmeleri için zaman tanımıştır. Bu yaklaşım, Bitcoin’in merkeziyetsiz doğasını ve düğüm operatörleri arasında nispeten yavaş bir güncelleme kültürünü yansıtmaktadır.

Ancak bu yayın yasakları, Bitcoin Core’un eski sürümlerini kullanan kullanıcılara güvenlik yamaları sunma çabalarını da zorlaştırmıştır.

Poinsot, “Kolayca tespit edilebilen bu sorunlar için bu, yanlış bir ödünleşmedir,” dedi. “Yayın yasağı süresi pek bir fayda sağlamaz, ancak düzeltilmiş sürümün kullanıma sunulmasını geciktirir.”

Revize edilen politika kapsamında, Bitcoin Core geliştiricileri artık ilk değerlendirmeleri sırasında güvenlik açıklarını "kolayca tespit edilebilir" olarak sınıflandırabilirler. Bu sınıflandırma, yapay zeka kullanılarak bulunan güvenlik açıklarıyla sınırlı olmamakla birlikte, basit bir yapay zeka komutuyla ortaya çıkarılabilen kusurları da kapsamaktadır.

Geliştiriciler, düzeltmeleri bir sonraki büyük yazılım sürümüne kadar bekletmek yerine, yamaları aktif olarak bakımı yapılan tüm ana sürümlere geriye dönük olarak uygulayacak ve güncellemeleri mümkün olduğunca çabuk yayınlayacak. Yamalı sürümlerle birlikte, olağan ambargo sürelerini atlayarak halka açık bir güvenlik bildirisi yayınlanacak.

Değişiklikler, 16 Ekim'de Poinsot tarafından gönderilen ve 22 Ekim'de birleştirilen bir GitHub çekme isteği (pull request) ile resmileştirildi. Yeni güvenlik açığı sınıflandırmasının oluşturulmasının yanı sıra, bu revizyon, kamuya açıklanmadan önce iki haftalık ön bildirim gerektiren ifadeyi değiştirerek, bu şartın hâlâ ambargo kapsamındaki güvenlik açıkları için de geçerli olduğunu netleştirmektedir.

Konuyla ilgili tartışmada olası artılar ve eksiler de vurgulanmıştır. Poinsot, güvenlik sürümlerinin hızlandırılmasının geliştirme dallarında düzeltmelerin test edilmesi için ayrılan süreyi azaltabileceğini kabul ederken, yapay zeka araçlarının zaten ortaya çıkarabileceği güvenlik açıklarını gizlemeye çalışmaktansa, basit ve kolayca doğrulanabilir yamaların tercih edilebileceğini savunmuştur.

Diğer geliştiriciler, düzeltmeler kullanıma sunulmadan önce kullanıcılara bazen uyarı verilmesi gerekip gerekmediğini tartıştılar; ancak kabul edilen politika, yamalı sürümlerle birlikte güvenlik bildirimlerinin de yayınlanmasını öngörüyor.

Bu Adım Güvenlik Açıklamalarını Nasıl Değiştiriyor?

Bu değişiklikler, güvenlik açıklarının açıklanmasını genellikle bir kusurun ciddiyetine ve etkilenen yazılım sürümlerinin yaşam döngüsüne bağlayan Bitcoin Core'un önceki yaklaşımından önemli bir sapma teşkil ediyor.

Mevcut ciddiyet temelli çerçeveye göre, düşük ciddiyetli güvenlik açıkları, düzeltmeyi içeren büyük bir sürümün yayınlanmasından iki hafta sonra kamuya açıklanır. Orta ve yüksek ciddiyetli güvenlik açıkları ise çok daha uzun bir gizlilik süresiyle karşı karşıyadır; bu açıkların açıklanması, etkilenen son sürümün kullanım ömrü sonu durumuna ulaşmasından iki hafta sonra, genellikle ilk düzeltmeden yaklaşık bir yıl sonra gerçekleşir.

Kolayca tespit edilemeyen güvenlik açıkları için bu zaman çizelgeleri geçerliliğini korumaktadır. Yetkisiz coinler yaratabilen veya ağ genelinde kalıcı zincir bölünmelerine neden olabilecek hatalar da dahil olmak üzere, Bitcoin’in temel güvenliğini tehdit eden kritik kusurlar, standart politikanın dışında özel bir ele alınmayı gerektirmeye devam etmektedir.

Bu revizyon, eski Bitcoin Core yazılımını kullanan kullanıcılar için hemen etkiler yaratabilir; zira yeni kurallar kapsamında aktif olarak bakımı yapılan tüm ana sürümler, hızlandırılmış yamalar için uygun hale gelecektir.

Politika değişikliği, Bitcoin’in kriptografisinin tehlikeye girdiğini veya belirli bir yeni istismar yönteminin keşfedildiğini göstermez. Bunun yerine, bu değişiklik, geliştiricilerin artık güvenlik açığı ayrıntılarını gizlemenin saldırganların aynı zayıflıkları bağımsız olarak tespit etmesini engelleyeceğini varsayamayacakları, değişen bir güvenlik ortamını yansıtmaktadır.

Bitcoin Core için, giderek daha yetenekli hale gelen yapay zeka araçlarının ortaya çıkması, kullanıcıları korumak için gizliliğe güvenmek yerine, yamalı yazılımın daha erken kullanıma sunulmasına yönelik bir yaklaşımı teşvik etmektedir.

Bu yılın başlarında, Zcash kripto ağının arkasındaki geliştiriciler, sınırsız sayıda coin basılmasını mümkün kılan bir güvenlik açığının keşfedilmesinde yapay zekanın kullanıldığını ve ağın gizlilik odaklı korumalı havuz tasarımının, o dönemde bu açığın istismar edilmediğinin kanıtlanmasını imkansız hale getirdiğini açıklamıştı. O dönemde, potansiyel sahte coin'lere ilişkin endişeler nedeniyle ZEC'in fiyatı ani bir düşüş yaşadı.

Temmuz ayında geliştiriciler, korumalı havuzu yeni ve daha güvenli bir havuzla değiştirmek üzere Zcash’i güncelledi ve ZEC arzının şişirilmediğinden emin olmak için bağımsız doğrulama mekanizması ekledi. O zamandan bu yana Zcash’in fiyatı iki katından fazla arttı.