„Bitcoin Core“ baigiasi ilgus embargus dėl klaidų, kurias AI gali atrasti iš naujo
„Bitcoin Core“ pakeitė savo saugumo atskleidimo politiką, kad paspartintų pažeidžiamumų, kuriuos dideli kalbiniai modeliai gali rasti be pastangų, pataisymai, užbaigiant kelis mėnesius trukusius embargus, kai buvo gautos šios klaidos.
Prižiūrėtojai ketvirtadienį sujungė projekto saugumo politikos pakeitimą. „Chaincode Labs“ kūrėjas Antoine’as Poinsotas, parašęs pasiūlymą, tą pačią dieną paskelbė apie tai žinute „Bitcoin Development“ adresų sąrašui.
„Neseniai padaugėjo pranešimų apie saugumo spragas, kurias galima lengvai (iš naujo) atrasti“, – rašė Poinsotas. „Tai daugiausia dėl to, kad LLM drastiškai sumažino kartelę, kad surastų tam tikras problemas arba nustatytų slaptus pataisymus.
Kaip politika veikė anksčiau
„Bitcoin Core“, programinė įranga, veikianti daugumoje „Bitcoin“ tinklo mazgų, įvertino kiekvieną praneštą pažeidžiamumą pagal sunkumo laipsnį ir nustatė, kad jo atskleidimo laikas atitiktų. Mažo sunkumo trūkumai buvo paskelbti viešai praėjus dviem savaitėms po kitos pagrindinės versijos pristatymo.
Vidutinio ir didelio sunkumo problemoms buvo taikomas embargas, kol praėjus dviem savaitėms po paskutinio paveikto išleidimo galiojimo pabaigos, laikotarpis gali trukti iki metų.
Pailginti terminai suteikė mazgų operatoriams, kurių daugelis atnaujina lėtai, laiko pereiti prie pataisytos programinės įrangos, kol informacija tapo vieša. Praktiškai šis metodas reiškė, kad senesnėse prižiūrimose versijose pataisymai nebuvo išleisti ir buvo pateikti kartu su kita svarbia versija.
Poinsot teigė, kad šis kompromisas nepavyksta dėl klaidų, kurias lengva atrasti iš naujo. „Ebargo laikotarpis mažai pasiekiamas, tačiau atitolina fiksuoto leidimo prieinamumą“, – rašoma politikoje.
Kas keičiasi
Triago metu „Bitcoin Core“ gali pažymėti pažeidžiamumą kaip „lengvai aptinkamą“, kategoriją, kurią politika apibrėžia kaip problemas, kurias galima rasti „su minimaliomis pastangomis, pavyzdžiui, naudojant paprastą LLM raginimą“. Etiketėje gali būti ir kitais būdais aptiktų trūkumų.
Dėl šių problemų projektas grąžins pataisymą į kiekvieną palaikomą pagrindinę versiją, kuo greičiau sumažins leidimus ir paskelbs saugos įspėjimą su tam tikra informacija tuo pačiu metu kaip ir fiksuota programinė įranga.
Poinsot pripažino, kad tokie pataisymai turės mažiau laiko išbandyti, kol pasieks vartotojus.
Pažeidžiamumas, nepriklausantis šiai kategorijai, išlaiko esamą sunkumu pagrįstą tvarkaraštį. Kritinės klaidos, kurios gali įgalinti monetų vagystę protokolo lygiu, išpūsti tiekimą arba sukelti nuolatinį grandinės suskaidymą, nepatenka į standartinę politiką ir bus sprendžiamos kiekvienu konkrečiu atveju.
Kūrėjas Antoine’as Riardas pasiūlė galimybę pristatyti pataisą be patarimo ir kiekvienu konkrečiu atveju neteikti informacijos. Poinsot atsisakė, rašydamas, kad naudotojų perspėjimas be išsamios informacijos „gali be reikalo sukelti didesnę riziką“, nes sukels skubotą vartotojų, kurie kitu atveju nebūtų paveikti, migraciją.
AI pagrįstų ataskaitų vasara
Šis pokytis po kelis mėnesius trukusio padidėjusio spaudimo Bitcoin atvirojo kodo projektams. Liepos pabaigoje 16 kūrėjų savanorių grupė, žinoma kaip „Bitcoin Red Team“, maždaug per dieną paleido AI modelius 390 bitkoinų saugyklų ir užregistravo 4 962 radinius, iš kurių 85 buvo įvertinti kaip kritiniai.
Per kelias dienas „BTPCay“ serverio trūkumas, apie kurį grupė pranešė privačiai, buvo panaudotas tiesioginiuose prekybininkų serveriuose, išeikvodamas „Lightning“ mazgus.
Rugpjūčio mėnesį „Core Lightning“ kūrėjai liepė operatoriams atnaujinti arba atsijungti, kai AI sukurtos projekto ataskaitos pasirodė tikslios.
Raudonosios komandos pastangos po „Coldcard“ aparatinės piniginės išnaudojimo, kai liepos 30 d. užpuolikai per 25 minutes išnaudojo 594 BTC. Nuostoliai per keturis veiksmus priartėjo prie 114 mln. USD.
