比特币核心因AI易发现漏洞而调整安全政策

随着人工智能日益智能化，比特币核心调整策略

10月22日，比特币核心开发者安托万·波因索（Antoine Poinsot）在发给比特币开发邮件列表的一则消息中，宣布了该项目漏洞披露政策的变更，并指出涉及只需极少努力即可发现或重新发现的漏洞的安全报告数量正在增加。

“我们最近收到大量关于可轻松（重新）发现的安全漏洞的报告，”波因索写道，“这在很大程度上是因为大型语言模型（LLMs）大幅降低了发现特定类别问题或识别隐蔽修复的门槛。”

大型语言模型（LLM）是ChatGPT等AI助手背后的核心技术。随着其分析软件代码的能力不断提升，这给试图在透明度与保护用户免受攻击之间寻求平衡的开发者带来了挑战。

从历史上看，比特币核心（Bitcoin Core）——这款支撑领先加密货币去中心化网络的软件——一直倾向于设置较长的披露禁令期，以便在公众知晓漏洞之前，用户有时间升级软件。这种做法既体现了比特币的去中心化特性，也反映了节点运营商相对缓慢的升级文化。

然而，这些披露禁令也使向运行旧版本比特币核心的用户提供安全补丁的工作变得复杂。“对于这些容易发现的问题，这种权衡是错误的，”波因索特表示。“披露禁令几乎起不到什么作用，却延迟了修复版本的发布。”

根据修订后的政策，比特币核心开发者现在可以在初步评估阶段将漏洞归类为“易于发现”。该分类包括可通过简单的AI提示发现的缺陷，但并不限于使用人工智能发现的漏洞。

开发者将不再将修复程序保留至下一个主要软件版本发布，而是将补丁回溯移植到每个正在维护的主要版本中，并尽快发布更新。修补后的版本将附带公开安全公告，从而绕过通常的禁发期。

这些变更已通过 Poinsot 于 10 月 16 日提交、并于 10 月 22 日合并的 GitHub 拉取请求正式确立。除创建新的漏洞分类外，此次修订还修改了关于公开披露前需提前两周通知的规定，明确指出该要求仅适用于仍受保密期限制的漏洞。

随附的讨论还突显了潜在的权衡取舍。Poinsot承认，加快安全更新的发布可能会减少在开发分支中测试修复程序的时间，但他同时认为，相比试图隐瞒那些人工智能工具最终仍会发现的漏洞，直接发布且易于验证的补丁或许更为可取。

其他开发者则就用户是否应在修复程序发布前收到警告展开了讨论，尽管最终通过的政策要求在发布修补版本的同时发布安全公告。

此举如何改变安全披露方式

这些变化与比特币核心（Bitcoin Core）此前的做法形成了显著差异，此前该做法通常将漏洞披露与缺陷的严重程度以及受影响软件版本的生命周期挂钩。

在现有的基于严重程度的框架下，低严重性漏洞会在包含修复程序的重大版本发布两周后公开披露。中、高严重性漏洞则面临更长的披露禁令期，通常在最后一个受影响版本达到生命周期终止状态两周后才予以披露，这通常是在初始修复程序发布约一年之后。

对于那些被认为不易被发现的漏洞，上述时间表仍然有效。威胁比特币基本安全的关键缺陷——包括能够生成未经授权的币或导致全网永久性链分叉的漏洞——仍需在标准政策之外进行特殊处理。

此次修订可能对运行旧版比特币核心（Bitcoin Core）软件的用户产生直接影响，因为根据新规则，所有仍在积极维护的主版本都将有资格获得加急补丁。 该政策变更并不意味着比特币的加密机制已遭破坏，也不意味着发现了特定的新漏洞。 相反，它反映了安全环境的变化——开发者不能再假设隐瞒漏洞细节就能阻止攻击者独立发现相同的弱点。 对于比特币核心（Bitcoin Core）而言，日益强大的AI工具的出现，正促使开发者将重心转向尽早发布修补软件，而非依赖保密来保护用户。

今年早些时候，加密货币网络 Zcash 的开发者表示，有人利用人工智能发现了一个漏洞，该漏洞使得无限量铸造代币成为可能，而该网络以隐私为中心的“屏蔽池”设计，使得当时无法证明该漏洞未被利用。 当时，由于市场担忧可能出现伪造币，ZEC价格应声暴跌。

7月，开发人员对Zcash进行了升级，用一个新的、更安全的池取代了原有的屏蔽池，并增加了独立验证机制，以确保ZEC的供应量未被虚增。自那以来，Zcash的价格已翻了一番多。