Bitcoin Core ปรับเปลี่ยนวิธีการจัดการช่องโหว่ด้านความปลอดภัย
Bitcoin Core ประกาศว่า การเก็บรักษาช่องโหว่บางอย่างเป็นความลับไม่สามารถให้การป้องกันที่มีประสิทธิภาพในยุคที่การค้นหาข้อบกพร่องด้วย AI ได้รับความนิยมมากขึ้น โดย Bitcoin Core กำลังปรับเปลี่ยนวิธีการจัดการกับช่องโหว่ด้านความปลอดภัย โดยระบุว่า โมเดลภาษาขนาดใหญ่ (LLMs) ทำให้การค้นพบข้อบกพร่องซอฟต์แวร์บางอย่างง่ายขึ้นอย่างมีนัยสำคัญ
การเปลี่ยนแปลงนโยบายการเปิดเผย
ในอีเมลถึง Bitcoin Development Mailing List เมื่อวันพฤหัสบดี นักพัฒนาของ Bitcoin Core, Antoine Poinsot กล่าวว่า ในอดีต ช่องโหว่มักจะถูกเก็บเป็นความลับภายใต้การห้ามเปิดเผยที่ยาวนาน เพื่อให้ผู้ใช้มีเวลาในการอัปเกรดก่อนที่รายละเอียดจะถูกเปิดเผยต่อสาธารณะ การรักษาความลับนี้ทำให้การแก้ไขไม่สามารถนำกลับไปใช้กับเวอร์ชันซอฟต์แวร์เก่าได้ ส่งผลให้ผู้ใช้ต้องรอจนกว่าจะมีการปล่อยเวอร์ชันหลักถัดไป
“ระยะเวลาการห้ามเปิดเผยแทบจะไม่มีประโยชน์ แต่กลับทำให้การปล่อยเวอร์ชันที่แก้ไขล่าช้า” Poinsot กล่าว
อย่างไรก็ตาม Poinsot กล่าวว่า LLMs ทำให้การค้นพบข้อบกพร่องบางอย่างง่ายมากจนการเลื่อนการแก้ไขไม่สามารถให้การป้องกันที่เพียงพอได้ ดังนั้นเราจึงกำลังปรับปรุงนโยบายการเปิดเผยของเราเพื่อตอบสนองต่อสถานการณ์นี้
การจัดการช่องโหว่ที่ค้นพบได้ง่าย
การเปลี่ยนแปลงนี้เกิดขึ้นในขณะที่การวิจัยด้านความปลอดภัยที่ได้รับความช่วยเหลือจาก AI กดดันนักพัฒนาทั่วทั้งระบบซอฟต์แวร์ของ Bitcoin ภายใต้นโยบายที่ปรับปรุงแล้ว ช่องโหว่ที่ถือว่าค้นพบได้ “ง่าย” จะได้รับการแก้ไขโดยเร็วที่สุดในทุกเวอร์ชันหลักที่ดูแลอยู่ โดยมีการเผยแพร่คำแนะนำด้านความปลอดภัยควบคู่ไปกับการอัปเดต
“การจำแนกประเภทนี้ใช้กับช่องโหว่ที่สามารถค้นพบได้ด้วยความพยายามน้อยที่สุด เช่น ผ่านการใช้ LLM prompt ที่ง่าย” Poinsot กล่าว
ช่องโหว่อื่น ๆ จะยังคงปฏิบัติตามกำหนดการเปิดเผยตามความรุนแรง ตั้งแต่ข้อบกพร่องที่สำคัญซึ่งคุกคามความปลอดภัยพื้นฐานของ Bitcoin ไปจนถึงข้อบกพร่องที่มีความเสี่ยงต่ำซึ่งมีผลกระทบจำกัดต่อโหนดแต่ละตัว Bitcoin Core กล่าวว่า ช่องโหว่ที่มีความรุนแรงต่ำจะถูกเปิดเผยสองสัปดาห์หลังจากการปล่อยเวอร์ชันหลักที่มีการแก้ไข ในขณะที่ช่องโหว่ที่มีความรุนแรงปานกลางและสูงจะถูกเปิดเผยสองสัปดาห์หลังจากการปล่อยเวอร์ชันที่ได้รับผลกระทบล่าสุดถึง “End of Life” ซึ่งมักจะเป็นหนึ่งปีหลังจากการปล่อยการแก้ไขในเวอร์ชันหลักใหม่
“ข้อบกพร่องที่สำคัญจะไม่ถูกพิจารณาในนโยบายมาตรฐาน เนื่องจากอาจต้องการกระบวนการเฉพาะ” Poinsot กล่าว
“ฉันไม่เห็นด้วยกับแนวทางด้านความปลอดภัยของ Antoine ในอดีต แต่การอัปเดตนี้ถือว่าดี” กล่าวโดย Luke de Wolf ผู้ดำเนินรายการ Bitcoin Infinity Show และผู้เขียน “Defending Bitcoin”
การรายงานปัญหาที่เกิดขึ้น
ในเดือนสิงหาคม ทีมงาน Bitcoin Red Team ที่เป็นอาสาสมัครรายงานปัญหาที่อาจเกิดขึ้นเกือบ 5,000 รายการใน 390 โครงการ แม้ว่าจะมีเพียงประมาณหนึ่งในห้าของการค้นพบที่ถูกสร้างขึ้นในขณะนั้น ในเดือนนั้น นักพัฒนาของ Core Lightning ได้กระตุ้นให้ผู้ดำเนินการอัปเกรดหรือปิดโหนดของตนหลังจากได้รับรายงานช่องโหว่ที่สร้างขึ้นโดย AI หลายฉบับ ในขณะที่เก็บรายละเอียดทางเทคนิคไว้เป็นเวลา 2 สัปดาห์
