Bitcoin Core调整漏洞披露策略以应对AI

Bitcoin Core维护者于周四合并安全政策修改，对可通过AI工具再次发现的漏洞不再长期保密后才公开。

此前政策按严重程度安排披露：低危漏洞在下一个主要版本发布两周后公开；中危与高危漏洞则保密至最后一个受影响版本停止维护两周后才披露。该机制旨在先发布修复，再延后详情，避免节点运营者完成升级前被利用。

新政策引入“容易发现”类别，涵盖仅需简单提示词即可被大语言模型找出的漏洞。对此类问题，团队将立即向所有仍维护的主要版本回移植修复，并尽快发布带有安全公告的点版本，不再适用原有分级保密期。

维护者Antoine Poinsot在比特币开发邮件列表中说明，近期容易被重新发现的漏洞报告增加，主要因大语言模型大幅降低发现门槛。长期保密期对此类问题作用有限，反而延迟修复版本的可用时间。相关修复在发布前测试时间将减少。

其余严重程度漏洞仍按原时间表披露。关键漏洞不纳入标准政策，仍单独处理。比特币节点负责验证与转发交易，政策调整发生在AI辅助安全报告增加的背景下。

该变化属于披露节奏的重新分配。容易被AI重新发现的漏洞加速进入公开修复路径，缩短攻击者独占信息的窗口；受益方为已升级节点的运营者与防御方，承压方为依赖长期保密期获取时间优势的潜在攻击者。当前为政策调整，尚未针对具体漏洞发布新公告。

来源：公开信息

ABAB AI 解读

Bitcoin Core作为比特币网络多数节点运行的核心软件，长期采用分级披露以平衡透明与用户升级时间。其政策此前倾向于较长保密期，因节点升级文化较慢。此次由Chaincode Labs开发者Antoine Poinsot推动并合并的修改，是在报告量因AI工具上升后对既有框架的调整。

资本路径上，政策变化将“容易发现”漏洞从最长约一年的保密路径转向即时回移植与同步公告。修复代码更早进入维护版本，节点运营者可更快获得补丁，但测试周期缩短。资源调动体现在维护者需加速多版本回移植与发布节奏，而非继续依赖下一主版本周期。

类似案例包括其他开源基础设施项目在自动化工具普及后缩短漏洞保密期的调整。Bitcoin Core当前处于将部分漏洞从“专业技能门槛”假设下的长期保密，转向“低门槛可重复发现”下的快速公开阶段。

本质属于技术替代。大语言模型降低了特定类别漏洞的发现与重现成本，使原有基于专业门槛的保密机制失效。机制在于简单提示即可定位问题，长期保密无法阻止攻击者自行发现，反而延迟修复版本的分发；因此政策将此类问题移出保密期，以更快的补丁可用性替代原先的时间缓冲。

ABAB News · 认知定律