比特币核心在AI工具识别出数千个潜在漏洞后修改安全规则

区块链文库报道：

核心要点

比特币核心（Bitcoin Core）加速修复易于发现的漏洞。AI研究人员在比特币相关项目中发现了4,962个问题。开发者面临着速度与测试之间的新权衡。

比特币核心因人工智能工具暴露传统保密机制失效而修改安全规则

随着人工智能工具帮助研究人员在整个更广泛的比特币生态系统中识别出数千个潜在漏洞，比特币核心的开发者们改变了其安全策略。这一变化引发了担忧：传统的软件缺陷保密方法正变得不再有效。

10月22日合并的政策更新引入了一项新规，针对那些只需极少量努力即可发现的安全漏洞（包括通过简单的AI提示词），将加快披露和补丁发布流程。根据最新的比特币核心安全政策，开发者现在将在受维护的软件版本中发布这些易于发现的漏洞的修复程序，而无需再等待此前适用的漫长保密期。

为何比特币核心放弃长期安全保密期

长期以来，比特币核心会延迟公开某些漏洞，以便节点操作员在攻击者得知如何利用这些漏洞之前有时间进行更新。中等和高严重性的漏洞可能会保持不公开状态约一年时间，具体取决于受影响软件版本的结束支持时间。

然而，人工智能正在改变这一计算方式。比特币核心贡献者Antoine Poinsot在10月22日的开发者公告中指出，大型语言模型使得一些安全漏洞更容易被独立发现或重新发现。

在修订后的方法下，开发者可以将漏洞归类为“易于发现”，向所有受维护的主要版本分发修复程序，并随更新一起发布安全公告。该GitHub提案于10月16日提交，六天后合并。其他漏洞将继续遵循基于严重程度的披露时间表，而关键的比特币网络安全问题则需要单独处理。

这一变更紧随此前关于比特币核心升级的辩论之后，在这些辩论中，开发者一直在新功能、安全性和网络稳定性之间寻求平衡。

AI安全审查标记近5,000个潜在比特币Bug

今年早些时候进行的一次大规模AI辅助安全审查凸显了这一问题的紧迫性。在一个由16名开发人员组成的志愿者比特币红队（Bitcoin Red Team）历时约30小时审查了390个与比特币相关的软件项目后，研究人员报告了4,962个潜在安全问题，其中最初有85个被归类为关键级别，635个为高严重性级别。

此前的报道记录了比特币红队的发现结果，展示了自动化分析如何在极短时间内产生大量漏洞报告。然而，这些数据需要做一个重要的区分：这些发现涵盖的是数百个与比特币相关的项目，而非比特币核心本身的已确认漏洞。许多问题需要进一步验证，且分类仅为初步结果。

尽管如此，通过更广泛的安全工作识别出的部分漏洞依然严重。8月份，支付处理器BTCPay Server面临一个被积极利用的漏洞，导致关联闪电网络节点的凭据泄露。该事件迫使采取紧急安全响应措施，包括限制远程闪电网络访问权限。另一家比特币基础设施提供商Boltz在报告涉及AI辅助技术的自动化攻击后，暂时禁用了交换服务。

更快的比特币安全更新是否会引入新风险？

修订后的披露规则可能有助于节点操作员更早获得重要修复程序，但加速发布也带来了自身的挑战。Poinsot承认，快速分发的补丁在到达用户手中之前可能接受的测试较少。开发者还曾讨论过，是否应在提供额外保护措施之前保持某些安全公告的私密性。

最终确定的方案倾向于对于被认为容易重新发现的漏洞，在发布加速修复程序的同时发布安全公告，而不是仅发出警告而无可用更新。

这种担忧不仅限于运行比特币节点的软件。今年早些时候，Coldcard硬件钱包的一个漏洞导致了重大比特币被盗事件，这引发了对钱包安全的 renewed 关注。虽然该事件不涉及比特币核心本身的漏洞，但它证明了即使底层区块链正常运行，周围基础设施中的弱点仍可能危及加密货币资产。相关的硬件钱包分析也解释了为何安全的密钥生成和更新的固件仍然是必不可少的保护措施。