Bitcoin Core изменил правила раскрытия уязвимостей из-за ИИ
Разработчики Bitcoin Core ускорят выпуск исправлений и раскрытие уязвимостей, которые легко обнаружить, в том числе простым запросом к ИИ. Соответствующее изменение политики приняли 22 октября.
Автор предложения Антуан Пуансо объяснил пересмотр правил ростом числа сообщений о проблемах, которые несложно обнаружить повторно. Большие языковые модели снизили порог поиска некоторых классов ошибок и позволяют распознавать исправления, внесенные без публичного оповещения.
По мнению разработчика, длительное сохранение таких проблем в тайне теряет смысл и мешает быстрее предоставлять пользователям защиту.
«Период эмбарго мало что дает, но задерживает выпуск версии с исправлением», — отметил Пуансо.
Как работают новые правила?
При разборе сообщения команда сможет отнести уязвимость к категории легко обнаруживаемых. Простой запрос к языковой модели — один из примеров, но этим критерием категория не ограничивается.
Для таких ошибок разработчики будут максимально быстро выпускать исправления для каждой поддерживаемой основной версии Bitcoin Core. Одновременно появится бюллетень безопасности с информацией о проблеме.
Согласно обновленной политике, стандартные сроки эмбарго к этой категории применяться не будут.
Для остальных уязвимостей сроки раскрытия по-прежнему зависят от оценки рисков:
- низкая — через две недели после выхода основной версии с исправлением;
- средняя и высокая — через две недели после прекращения поддержки последней уязвимой версии (обычно это происходит примерно через год после выхода патча);
- критическая — предусмотрена отдельная процедура с учетом обстоятельств.
Разработчики откладывают публикацию подробностей уязвимости, чтобы операторы узлов успели установить исправление до того, как об ошибке узнают злоумышленники. Но если ее легко найти самостоятельно, такая отсрочка почти не помогает защитить пользователей.
Напомним, в октябре эксперты раскритиковали призыв исследователя Ethereum Foundation Джастина Дрейка переводить биткоины на новые адреса из-за угрозы ИИ.