Bitcoin Core cambia la politica di sicurezza mentre l’IA rende più facile trovare i bug

Bitcoin Core sta modificando il modo in cui gestisce le vulnerabilità di sicurezza, spiegando che i modelli linguistici di grandi dimensioni hanno reso significativamente più facile individuare alcuni difetti software. 

In un’email inviata giovedì alla mailing list Bitcoin Development, lo sviluppatore di Bitcoin Core Antoine Poinsot ha dichiarato che in passato le vulnerabilità venivano generalmente mantenute sotto lunghi periodi di embargo sulla divulgazione, per dare agli utenti il tempo di aggiornare i propri sistemi prima che i dettagli diventassero pubblici.

Mantenere il segreto significava generalmente che le correzioni non potevano essere retroportate alle versioni software più vecchie, lasciando gli utenti in attesa del successivo rilascio principale. Tuttavia, Poinsot ha affermato che i modelli linguistici di grandi dimensioni hanno reso alcuni difetti così facili da riscoprire che ritardare le correzioni offre poca protezione.

«Il periodo di embargo fa poco più che ritardare la disponibilità di una versione corretta», ha dichiarato Poinsot. «Stiamo pertanto aggiornando la nostra politica di divulgazione per tenerne conto».

Il cambiamento arriva mentre la ricerca sulla sicurezza assistita dall’IA mette sotto pressione gli sviluppatori dell’intero ecosistema software di Bitcoin.

In base alla politica aggiornata, le vulnerabilità ritenute «facilmente individuabili» riceveranno correzioni il prima possibile in tutte le principali versioni ancora mantenute, con avvisi di sicurezza pubblicati insieme agli aggiornamenti. 

«Questa classificazione si applica alle vulnerabilità che possono essere scoperte con uno sforzo minimo, ad esempio tramite un semplice prompt per un modello linguistico», si legge. 

Articolo correlato: Il difetto di PHP attira milioni di tentativi di exploit, avverte il CEO di Cloudflare

Le altre vulnerabilità continueranno a seguire programmi di divulgazione basati sulla gravità, dalle falle critiche che minacciano la sicurezza fondamentale di Bitcoin ai bug a rischio più basso, con un impatto limitato sui singoli nodi. 

Bitcoin Core ha dichiarato che le vulnerabilità di bassa gravità saranno divulgate due settimane dopo il rilascio di una versione principale contenente la correzione, mentre le vulnerabilità di gravità media e alta saranno divulgate due settimane dopo che l’ultima versione interessata avrà raggiunto la sua «fine del ciclo di vita», in genere un anno dopo il rilascio della correzione nella nuova versione principale. 

«I bug critici non sono considerati nella politica standard, poiché molto probabilmente richiederebbero una procedura ad hoc», si legge.

«In passato non ero d’accordo con l’approccio di Antoine alla sicurezza, ma questo è un buon aggiornamento», ha dichiarato Luke de Wolf, conduttore del Bitcoin Infinity Show e autore di «Defending Bitcoin».  

 Ad agosto, il Bitcoin Red Team, composto da volontari, ha segnalato quasi 5.000 potenziali problemi in 390 progetti, sebbene a quel punto fosse stato riprodotto solo circa un quinto dei suoi risultati.

Nello stesso mese, gli sviluppatori di Core Lightning hanno esortato gli operatori ad aggiornare i sistemi o a mettere offline i propri nodi dopo aver ricevuto diverse segnalazioni di vulnerabilità generate dall’IA, mentre trattenevano i dettagli tecnici per due settimane.

Rivista: Nuovo divieto di DeepSeek negli Stati Uniti, i legami crypto tra Asia e Svizzera si rafforzano: Asia Express