AI 輕易就能重新找出漏洞，Bitcoin Core 加快漏洞揭露

重點摘要

Bitcoin Core 已變更安全政策，因應可透過人工智慧工具輕易重新找出的漏洞。維護者不再將這些缺陷長時間列為禁制公開事項，而是計畫將修補程式回補至仍受支援的版本，並盡快發布安全公告。這項變更是因應 AI 輔助漏洞通報增加，其中一項檢視了 390 個 Bitcoin 專案，記錄 4,962 個潛在缺陷，其中 85 個屬於重大缺陷。加快揭露有助使用者儘早安裝修補程式，但也代表修補程式發布前可接受的測試時間可能較少。當只需簡單提示就能重現缺陷時，長時間保密的效用便較低。

情緒分析

• 整體語氣：文章整體審慎而務實。文中將政策調整描述為因應安全環境變化，而非將其當作毫無缺點的改進。
• 正面之處：更快推出修補程式與安全公告，或能協助節點營運者及其他使用者，在漏洞容易被重新找出時迅速採取應對。這項政策也承認，過時的揭露時程對日益普及的漏洞發現工具，可能無法提供多少保護。
• 令人憂慮之處：維護者指出，加速發布的版本將有較少測試時間。文章也提及 BTCPay Server 通報漏洞遭實際利用，以及另一項 Coldcard 韌體漏洞，說明安全弱點可能造成的後果。
• 平衡觀點：開發者對於修補程式是否有時應在沒有詳細公告的情況下發布，意見不一。文章在說明政策理由的同時也呈現了這項分歧，並未聲稱新做法能消除風險。
• 情緒判讀：整體評估呈現複合情緒，略偏向肯定及時發布安全更新，但也受到測試、揭露方式與使用者暴露風險等疑慮所制衡。

文章內文

Bitcoin Core 是 Bitcoin 網路大多數參與者使用的軟體，現已修訂處理可透過人工智慧輕易重新找出的漏洞之方式。這項政策變更已於週四合併。維護者在分類漏洞時，可將某項缺陷判定為容易發現；實際上，這表示只需向大型語言模型（LLM）輸入簡單提示即可找到。對於此類漏洞，專案計畫為每個仍受支援的版本準備修補程式，並盡快發布小版本更新，同時附上包含部分細節的安全公告。

過去，Bitcoin Core 會依嚴重程度分類通報的漏洞，並配合軟體發布時程安排公開揭露。低嚴重程度問題會在下一個主要版本發布兩週後揭露。中度與高度嚴重程度的漏洞則會繼續列為禁制公開事項，直到最後一個受影響版本終止支援兩週後才揭露。這麼做是為了讓節點營運者有時間安裝修補程式，避免漏洞細節落入潛在攻擊者手中。節點是負責驗證及轉送 Bitcoin 交易的電腦。

專案維護者表示，這種做法背後的假設已經改變。人工智慧工具能讓某些類別的漏洞更容易被發現，也可能有助於揭露隱蔽修補程式的用途。提出政策變更的 Chaincode Labs 開發者 Antoine Poinsot 表示，專案收到的通報中，可輕易重新找出的漏洞數量有所增加。他將這股趨勢主要歸因於 LLM 降低了發現某些問題或辨識修補程式的門檻。

根據更新後的做法，若禁制公開不太可能讓漏洞長時間保密，專案便可優先迅速採取行動。政策指出，對於容易被發現的問題，延後處理幾乎沒有好處，卻會延遲修正版的推出。這並不代表所有通報的缺陷都會立即揭露：這項變更僅適用於維護者判定可透過 AI 輔助方法輕易找到的漏洞。

這種做法也有取捨。Poinsot 表示，修正這些問題的版本在送達使用者之前，將不會有那麼多「烘焙時間」可供測試。換句話說，新時程可能縮短檢查各個受支援軟體版本修補程式的時間。更快推出修補程式或許能縮短使用者暴露於風險的時間，但測試與謹慎溝通仍有助於避免回歸問題和混淆。

開發者對於政策是否應保留不附安全公告發布修補程式的選項，也有不同看法。長期研究 Bitcoin 安全的 Antoine Riard 主張，應保留逐案決定發布修補程式但暫不公開細節的做法。Poinsot 則反對這種方式，表示在不說明細節的情況下警告使用者有安全問題，可能造成不必要的風險。他提到，使用者可能因此倉促進行遷移，即使他們其實並未受到影響。這場辯論反映出各方對使用者需要多少資訊才能安全採取行動，有不同考量。

這項政策變更正值 AI 輔助安全檢視日益增加之際。7 月下旬，一個由 16 名開發者組成、名為 Bitcoin Red Team 的志願團隊，在大約一天內使用 AI 模型檢視了 390 個 Bitcoin 專案。該團隊記錄了 4,962 項發現，其中 85 項被列為重大問題。這些數字說明自動化分析能多快產生通報，也凸顯了評估這些發現是否為有效且可利用的缺陷之必要性。

部分通報的漏洞很快造成了實際後果。該團隊私下通報 BTCPay Server 的一項漏洞後，短短幾天內，攻擊者便在實際運作的商家伺服器上利用該漏洞。攻擊者竊取了商家用來接受小額 Bitcoin 付款的 Lightning 節點資金。Core Lightning 是主要的 Lightning 實作之一，在經 AI 產生的通報獲確認屬實後，建議營運者中斷連線。

另一起事件涉及一項不需要 AI 就能發現的缺陷。Coldcard 硬體錢包韌體中的一項漏洞自 2021 年起便未被發現。7 月 30 日，攻擊者利用該漏洞在 25 minutes 內竊走 594 BTC；分四次掃款的損失接近 $114 million。Coldcard 發布修補程式時表示，其團隊在處理過程中也藉助 AI 找出其他錯誤。這些事件顯示，政策討論的重點在於降低暴露風險，而非宣稱 AI 是安全威脅的唯一來源。

目前尚未有任何漏洞依據 Bitcoin Core 的新規則被指定類別。這項變更是為維護者認為 AI 模型只需簡單提示即可重現的缺陷，建立更快速的處理途徑。其成效取決於該類別是否能一致套用、加速推出的修補程式是否經過充分測試，以及使用者是否及時安裝更新。隨著發現及重現軟體缺陷的工具日益普及，這項政策反映了揭露慣例的轉變。

關鍵見解表