Bitcoin Core調整漏洞披露策略以應對AI

Bitcoin Core維護者於週四合併安全政策修改，對可通過AI工具再次發現的漏洞不再長期保密後才公開。

此前政策按嚴重程度安排披露：低危漏洞在下一個主要版本發佈兩週後公開；中危與高危漏洞則保密至最後一個受影響版本停止維護兩週後才披露。該機制旨在先發布修復，再延後詳情，避免節點運營者完成升級前被利用。

新政策引入“容易發現”類別，涵蓋僅需簡單提示詞即可被大語言模型找出的漏洞。對此類問題，團隊將立即向所有仍維護的主要版本回移植修復，並儘快發佈帶有安全公告的點版本，不再適用原有分級保密期。

維護者Antoine Poinsot在比特幣開發郵件列表中說明，近期容易被重新發現的漏洞報告增加，主要因大語言模型大幅降低發現門檻。長期保密期對此類問題作用有限，反而延遲修復版本的可用時間。相關修復在發佈前測試時間將減少。

其餘嚴重程度漏洞仍按原時間表披露。關鍵漏洞不納入標準政策，仍單獨處理。比特幣節點負責驗證與轉發交易，政策調整發生在AI輔助安全報告增加的背景下。

該變化屬於披露節奏的重新分配。容易被AI重新發現的漏洞加速進入公開修復路徑，縮短攻擊者獨佔信息的窗口；受益方爲已升級節點的運營者與防禦方，承壓方爲依賴長期保密期獲取時間優勢的潛在攻擊者。當前爲政策調整，尚未針對具體漏洞發佈新公告。

來源：公開信息

ABAB AI 解讀

Bitcoin Core作爲比特幣網絡多數節點運行的核心軟件，長期採用分級披露以平衡透明與用戶升級時間。其政策此前傾向於較長保密期，因節點升級文化較慢。此次由Chaincode Labs開發者Antoine Poinsot推動併合並的修改，是在報告量因AI工具上升後對既有框架的調整。

資本路徑上，政策變化將“容易發現”漏洞從最長約一年的保密路徑轉向即時回移植與同步公告。修復代碼更早進入維護版本，節點運營者可更快獲得補丁，但測試周期縮短。資源調動體現在維護者需加速多版本回移植與發佈節奏，而非繼續依賴下一主版本週期。

類似案例包括其他開源基礎設施項目在自動化工具普及後縮短漏洞保密期的調整。Bitcoin Core當前處於將部分漏洞從“專業技能門檻”假設下的長期保密，轉向“低門檻可重複發現”下的快速公開階段。

本質屬於技術替代。大語言模型降低了特定類別漏洞的發現與重現成本，使原有基於專業門檻的保密機制失效。機制在於簡單提示即可定位問題，長期保密無法阻止攻擊者自行發現，反而延遲修復版本的分發；因此政策將此類問題移出保密期，以更快的補丁可用性替代原先的時間緩衝。

ABAB News · 認知定律