比特币核心更新安全政策，AI加速漏洞发现

区块链文库报道：

Bitcoin Core 更新安全漏洞披露政策：AI 加速漏洞发现

Bitcoin Core 宣布将调整其安全漏洞的披露方式，承认现代人工智能工具——尤其是大型语言模型（LLM）——使得某些安全缺陷更容易被发现和复现。在致 Bitcoin 开发邮件列表的一封电子邮件中，Bitcoin Core 开发者 Antoine Poinsot 指出，传统的长期保密 embargo（禁运期）方法在某些情况下已无法提供实质性的安全保障。

根据新政策，被判定为“易于发现”的漏洞将在所有受维护的主要版本中获得更快的修复，同时发布安全公告。其他类型的漏洞仍将遵循基于严重性和软件发布周期的时间表。

核心要点

• 摒弃长期保密期：对于“易于发现”的漏洞（包括可通过“简单的 LLM 提示词”找到的问题），Bitcoin Core 不再采用长期的披露保密期。
• 快速修复与同步公告：针对此类新类别，修复程序应尽快在所有受维护的主要版本中部署，且安全公告将与修复程序同步发布。
• 基于严重性的披露时间：低severity（严重程度）漏洞将在包含修复程序的主要版本发布两周后披露；中等/高 severity 漏洞则在最后一个受影响版本达到“生命周期结束”（End of Life）两周后披露。
• 关键漏洞特殊处理：Bitcoin Core 表示，关键漏洞的处理不在标准政策范围内，可能通过临时流程进行处置。

为何改变披露策略？

历史上，许多开源项目采用披露保密期机制：在漏洞细节公开前保持私密，以便用户在更广泛的大众知晓之前有时间升级。Poinsot 向 Bitcoin 开发邮件列表表示，当漏洞容易被重新发现时，这种方法不仅未能提供有意义的保护，反而延迟了修复版本的可用性。

Poinsot 在邮件中指出，保密期“除了延迟修复版本的发布外，几乎没有任何成效”，因此 Bitcoin Core 将调整披露政策以适应这一现实。

这一转变的根本原因在于安全研究方式的变革。Poinsot 注意到，AI 辅助的发现工作可以迅速暴露漏洞，压缩了从“未知缺陷”到“实际可用攻击路径”之间的时间窗口。在这种环境下，隐瞒信息的价值发生了变化：如果攻击者无论如何都能快速复现问题，延迟披露主要推迟的是防御性更新，而非真正降低风险。

新政策如何运作

Bitcoin Core 在其安全公告页面上发布的更新后的安全公告政策，明确区分了需要传统排期的漏洞和不需要排期的漏洞。

在新的分类下，“易于发现”的漏洞将在所有受维护的主要版本中迅速修复，相应的安全公告也将与更新一同发布。Bitcoin Core 明确指出，此类漏洞涵盖那些只需极少努力即可发现的问题，包括通过“简单的 LLM 提示词”即可找到的问题。

该政策还保留了基于严重性和发布生命周期的其他漏洞披露时间表：

• 低 severity 漏洞：在包含修复程序的主要版本发布两周后披露。
• 中等和高 severity 漏洞：在最后一个受影响版本达到“生命周期结束”两周后披露（通常是在新主要版本发布修复程序的一年后）。

Bitcoin Core 还表示，关键漏洞不受标准时间表约束，可能需要采取临时程序。这表明该项目预计最危险的问题将触发不同于常规补丁和定时公告发布的操作响应。

这对运行旧版本的用户意味着什么？

披露时机最具影响力的实际后果之一是升级压力，特别是对于那些没有立即更新系统的用户。此前，Bitcoin Core 的做法是围绕漏洞细节保持秘密，这可能会限制修复程序向后移植的速度，导致用户必须等待下一个主要版本周期才能获得解决。Poinsot 的论点集中在消除这种摩擦上，因为 AI 工具降低了保密的保护价值。

通过优先对“易于发现”的问题进行快速的后向移植，Bitcoin Core 实际上试图缩短因节点停留在旧版本线而暴露的时间窗口。对于节点运营商、钱包集成商以及任何依赖 Bitcoin Core 发布的下游系统而言，这一更新强调对于某些类型的错误，“等待下一个主要版本”可能不再是合理的辩护理由。

话虽如此，这项政策变更并非对所有漏洞都实行即时披露。Bitcoin Core 按严重性进行的区分表明，它仍旨在平衡透明度和运营准备状态，最大的加速仅保留在寻找缺陷难度已经很低的情况下。

更广泛的背景：AI 安全研究对整个技术栈施加压力

Bitcoin Core 政策更新的时机与比特币生态系统中关于 AI 生成漏洞发现的报告增多相吻合。今年8月，志愿者组成的比特币红队报告称，在390个项目中发现近5,000个潜在问题，并指出当时只有约五分之一的发现得到了复现。其他开发圈子对 AI 驱动的报告作出回应，敦促运营商升级，甚至在等待验证修复期间让节点下线。

此前有报道指出，Core Lightning 开发者在收到多份 AI 生成的漏洞报告后，敦促运营商升级或将节点下线，而其他报道则强调了某些技术细节被扣留两周的情况。虽然这些故事涉及不同的软件组件和披露决策，但它们反映了一种共同的紧张关系：当 AI 工具迅速产生看似合理的漏洞时，开发人员必须决定如何防止过早披露引起恐慌或不必要的干扰，同时又不让防御时间线拖延。

Bitcoin Core 修订后的立场表明，它认为对于某些类型的漏洞，平衡点已经转移。如果对手可以使用广泛可用的工具快速找到相同的弱点，那么延迟修复所带来的责任要比立即发布带有补丁的细节更大。

展望未来：观察“易于发现”的定义与应用

Bitcoin Core 的政策引入了一个依赖于实际分类的类别——即什么是“易于发现”的，以及该标准应用的一致性如何。接下来在更新方法下发布的安全公告将是该项目如何操作化执行规则以及受维护版本接收同步修复速度的最清晰测试。