Bitcoin Core chỉnh chính sách bảo mật khi AI giúp phát hiện lỗ hổng dễ hơn

Bitcoin Core thay đổi chiến lược khi AI ngày càng thông minh hơn

Trong một thông điệp ngày 22 tháng 10 gửi đến Danh sách thư phát triển Bitcoin, nhà phát triển Bitcoin Core Antoine Poinsot đã công bố những thay đổi đối với chính sách công bố lỗ hổng của dự án, với lý do số lượng báo cáo bảo mật liên quan đến các lỗi có thể được phát hiện hoặc phát hiện lại với nỗ lực tối thiểu đang ngày càng tăng.

"Gần đây, chúng tôi đã chứng kiến sự gia tăng số lượng báo cáo về các lỗ hổng bảo mật có thể dễ dàng (tái)phát hiện," Poinsot viết. "Điều này phần lớn là do các mô hình ngôn ngữ lớn (LLMs) đã giảm đáng kể rào cản trong việc tìm ra một số loại vấn đề nhất định hoặc xác định các bản sửa lỗi ẩn."

Các mô hình ngôn ngữ lớn (LLMs) là công nghệ nền tảng cho các trợ lý AI như ChatGPT. Khả năng ngày càng cao của chúng trong việc phân tích mã nguồn phần mềm đang đặt ra thách thức cho các nhà phát triển khi phải cân bằng giữa tính minh bạch và nhu cầu bảo vệ người dùng khỏi các cuộc tấn công.

Trước đây, Bitcoin Core — phần mềm làm nền tảng cho mạng lưới phi tập trung của đồng tiền điện tử hàng đầu này — thường áp dụng các lệnh cấm công bố kéo dài, nhằm tạo điều kiện cho người dùng có thời gian nâng cấp phần mềm trước khi công chúng biết đến các lỗ hổng. Cách tiếp cận này phản ánh bản chất phi tập trung của Bitcoin và văn hóa nâng cấp tương đối chậm chạp trong cộng đồng các nhà điều hành nút.

Tuy nhiên, các khoảng thời gian cấm công bố này cũng đã gây khó khăn cho nỗ lực cung cấp các bản vá bảo mật cho người dùng đang chạy các phiên bản cũ của Bitcoin Core.

"Đối với những vấn đề dễ phát hiện này, đây là sự đánh đổi sai lầm," Poinsot nói. "Khoảng thời gian cấm công bố hầu như không mang lại lợi ích gì mà chỉ làm trì hoãn việc phát hành bản vá."

Theo chính sách sửa đổi, các nhà phát triển Bitcoin Core giờ đây có thể phân loại các lỗ hổng bảo mật là “dễ phát hiện” trong quá trình đánh giá ban đầu. Phân loại này bao gồm các lỗ hổng có thể được phát hiện chỉ bằng một lệnh AI đơn giản, mặc dù không giới hạn ở các lỗ hổng được phát hiện thông qua trí tuệ nhân tạo.

Thay vì giữ lại các bản vá cho đến phiên bản phần mềm chính tiếp theo, các nhà phát triển sẽ áp dụng các bản vá ngược lại cho mọi phiên bản chính đang được duy trì tích cực và phát hành các bản cập nhật càng sớm càng tốt. Một thông báo bảo mật công khai sẽ đi kèm với các bản phát hành đã được vá, bỏ qua các khoảng thời gian cấm công bố thông thường.

Các thay đổi này đã được chính thức hóa trong một yêu cầu pull trên GitHub do Poinsot gửi vào ngày 16 tháng 10 và được hợp nhất vào ngày 22 tháng 10. Ngoài việc tạo ra phân loại lỗ hổng bảo mật mới, bản sửa đổi còn điều chỉnh ngôn ngữ quy định phải thông báo trước hai tuần trước khi công bố công khai, làm rõ rằng yêu cầu này áp dụng cho các lỗ hổng vẫn đang trong giai đoạn cấm công bố.

Cuộc thảo luận kèm theo cũng nêu bật những đánh đổi tiềm năng. Poinsot thừa nhận rằng việc đẩy nhanh các bản phát hành bảo mật có thể làm giảm thời gian dành cho việc kiểm thử các bản sửa lỗi trong các nhánh phát triển, đồng thời lập luận rằng các bản vá đơn giản, dễ xác minh có thể là lựa chọn tốt hơn so với việc cố gắng che giấu các lỗ hổng mà các công cụ AI có thể phát hiện ra dù sao đi nữa.

Các nhà phát triển khác đã tranh luận về việc liệu người dùng có nên đôi khi nhận được cảnh báo trước khi các bản sửa lỗi được phát hành hay không, mặc dù chính sách đã được thông qua yêu cầu công bố các thông báo cùng với các bản phát hành đã được vá lỗi.

Cách thức thay đổi này ảnh hưởng đến việc công bố thông tin bảo mật như thế nào

Những thay đổi này thể hiện một sự thay đổi đáng kể so với cách tiếp cận trước đây của Bitcoin Core, vốn thường gắn việc công bố lỗ hổng bảo mật với mức độ nghiêm trọng của lỗi và vòng đời của các phiên bản phần mềm bị ảnh hưởng.

Theo khung quy định dựa trên mức độ nghiêm trọng hiện hành, các lỗ hổng có mức độ nghiêm trọng thấp sẽ được công bố công khai hai tuần sau khi bản phát hành chính thức chứa bản vá được phát hành. Các lỗ hổng có mức độ nghiêm trọng trung bình và cao phải chịu thời gian cấm công bố lâu hơn đáng kể, với việc công bố diễn ra hai tuần sau khi phiên bản phần mềm bị ảnh hưởng cuối cùng đạt trạng thái hết vòng đời, thường là khoảng một năm sau khi bản vá ban đầu được triển khai.

Các mốc thời gian này vẫn được áp dụng đối với các lỗ hổng không được coi là dễ phát hiện. Các lỗ hổng nghiêm trọng đe dọa đến an ninh cơ bản của Bitcoin, bao gồm các lỗi có khả năng tạo ra các đồng tiền không được phép hoặc gây ra sự phân tách chuỗi vĩnh viễn trên toàn mạng, vẫn tiếp tục yêu cầu xử lý đặc biệt ngoài chính sách tiêu chuẩn.

Sự điều chỉnh này có thể có tác động ngay lập tức đối với người dùng đang chạy phần mềm Bitcoin Core phiên bản cũ, vì tất cả các phiên bản chính đang được duy trì tích cực đều đủ điều kiện nhận bản vá khẩn cấp theo quy định mới.

Sự thay đổi chính sách này không cho thấy rằng hệ thống mật mã của Bitcoin đã bị xâm phạm hoặc một lỗ hổng khai thác mới cụ thể nào đó đã được phát hiện. Thay vào đó, nó phản ánh một môi trường bảo mật đang thay đổi, trong đó các nhà phát triển không thể tiếp tục giả định rằng việc giấu kín chi tiết lỗ hổng sẽ ngăn cản kẻ tấn công tự xác định được những điểm yếu tương tự.

Đối với Bitcoin Core, sự xuất hiện của các công cụ AI ngày càng mạnh mẽ đang làm thay đổi cách tiếp cận, hướng tới việc cung cấp phần mềm đã vá sớm hơn, thay vì dựa vào sự bí mật để bảo vệ người dùng.

Đầu năm nay, các nhà phát triển đứng sau mạng tiền điện tử Zcash cho biết AI đã được sử dụng để phát hiện một lỗ hổng cho phép đúc tiền không giới hạn, và thiết kế nhóm được bảo vệ tập trung vào quyền riêng tư của mạng khiến việc chứng minh rằng nó chưa bị khai thác trở nên bất khả thi vào thời điểm đó. Giá ZEC đã lao dốc vào thời điểm đó do lo ngại về khả năng xuất hiện các đồng tiền giả.

Vào tháng 7, các nhà phát triển đã nâng cấp Zcash để thay thế "shielded pool" bằng một hệ thống mới, được gia cố hơn, đồng thời bổ sung cơ chế xác minh độc lập nhằm đảm bảo nguồn cung ZEC không bị thổi phồng. Kể từ đó, giá Zcash đã tăng hơn gấp đôi.