Perubahan Kebijakan Pengungkapan Kerentanan Bitcoin Core
Bitcoin Core mengumumkan bahwa menjaga kerentanan tertentu secara rahasia tidak lagi memberikan perlindungan yang signifikan setelah kemajuan teknologi kecerdasan buatan (AI) mempermudah penemuan bug. Dalam sebuah email kepada Daftar Surat Pengembangan Bitcoin pada hari Kamis, pengembang Bitcoin Core, Antoine Poinsot, menjelaskan bahwa di masa lalu, kerentanan umumnya disimpan di bawah embargo pengungkapan yang panjang untuk memberi pengguna waktu melakukan pembaruan sebelum rincian menjadi publik.
Namun, kerahasiaan tersebut sering kali mengakibatkan perbaikan tidak dapat diterapkan pada versi perangkat lunak yang lebih lama, sehingga pengguna harus menunggu hingga rilis besar berikutnya.
“Periode embargo tidak memberikan banyak manfaat, tetapi justru menunda ketersediaan rilis yang telah diperbaiki,” kata Poinsot. “Oleh karena itu, kami memperbarui kebijakan pengungkapan kami untuk mengakomodasi perubahan ini.”
Tekanan pada Pengembang dan Kebijakan Baru
Perubahan kebijakan ini muncul di tengah meningkatnya tekanan pada pengembang di seluruh ekosistem perangkat lunak Bitcoin akibat penelitian keamanan yang dibantu AI. Di bawah kebijakan yang diperbarui, kerentanan yang dianggap “mudah ditemukan” akan segera diperbaiki di semua versi utama yang dipelihara, dengan advis keamanan diterbitkan bersamaan dengan pembaruan.
“Klasifikasi ini berlaku untuk kerentanan yang dapat ditemukan dengan usaha minimal, seperti melalui prompt LLM yang sederhana,” tambahnya.
Sementara itu, kerentanan lainnya akan mengikuti jadwal pengungkapan berdasarkan tingkat keparahan, mulai dari cacat kritis yang mengancam keamanan fundamental Bitcoin hingga bug berisiko rendah dengan dampak terbatas pada node individu. Bitcoin Core menyatakan bahwa kerentanan dengan tingkat keparahan rendah akan diungkapkan dua minggu setelah rilis versi utama yang mengandung perbaikan, sedangkan kerentanan menengah dan tinggi akan diungkapkan dua minggu setelah rilis terakhir yang terpengaruh mencapai “Akhir Masa Layan”, biasanya satu tahun setelah perbaikan dirilis dalam versi utama baru.
“Cacat kritis tidak termasuk dalam kebijakan standar, karena kemungkinan besar akan memerlukan prosedur ad-hoc,” jelasnya.
Tanggapan dari Komunitas
Luke de Wolf, pembawa acara Bitcoin Infinity Show dan penulis buku “Defending Bitcoin”, menyatakan, “Saya tidak setuju dengan pendekatan Antoine terhadap keamanan di masa lalu, tetapi ini adalah pembaruan yang baik.”
Pada bulan Agustus, Tim Merah Bitcoin yang terdiri dari sukarelawan melaporkan hampir 5.000 masalah potensial di 390 proyek, meskipun hanya sekitar seperlima dari temuan tersebut yang telah direproduksi pada saat itu. Bulan yang sama, pengembang Core Lightning mendesak operator untuk memperbarui atau mematikan node mereka setelah menerima beberapa laporan kerentanan yang dihasilkan oleh AI, sambil menahan rincian teknis selama dua minggu.
