Bitcoin Core Thay Đổi Chính Sách Bảo Mật
Bitcoin Core vừa thông báo rằng việc giữ bí mật về một số lỗ hổng bảo mật không còn mang lại nhiều lợi ích trong bối cảnh việc săn lỗi được hỗ trợ bởi trí tuệ nhân tạo (AI). Họ đang thay đổi cách thức xử lý các lỗ hổng bảo mật, với lý do rằng các mô hình ngôn ngữ lớn (LLM) đã làm cho một số lỗi phần mềm trở nên dễ phát hiện hơn đáng kể.
Thay Đổi Trong Chính Sách Công Bố
Trong một email gửi đến Danh sách Thư phát triển Bitcoin vào thứ Năm, nhà phát triển Bitcoin Core Antoine Poinsot cho biết, trong quá khứ, các lỗ hổng thường được giữ kín trong một khoảng thời gian dài để người dùng có thời gian nâng cấp trước khi thông tin chi tiết trở nên công khai. Việc duy trì sự bí mật này thường có nghĩa là các bản sửa lỗi không thể được chuyển về các phiên bản phần mềm cũ hơn, khiến người dùng phải chờ đợi cho đến khi phát hành phiên bản lớn tiếp theo.
Tuy nhiên, Poinsot cho biết rằng các LLM đã làm cho một số lỗi trở nên dễ phát hiện đến mức việc trì hoãn sửa lỗi không còn mang lại nhiều bảo vệ.
“Thời gian giữ bí mật chỉ đạt được rất ít nhưng lại trì hoãn việc phát hành bản sửa lỗi,” Poinsot nói. “Do đó, chúng tôi đang cập nhật chính sách công bố của mình để phù hợp với điều đó.”
Áp Dụng Chính Sách Mới
Sự thay đổi này diễn ra khi nghiên cứu bảo mật hỗ trợ bởi AI đang gây áp lực lên các nhà phát triển trong toàn bộ hệ sinh thái phần mềm của Bitcoin. Theo chính sách cập nhật, các lỗ hổng được coi là “dễ phát hiện” sẽ nhận được các bản sửa lỗi càng sớm càng tốt trên tất cả các phiên bản lớn đang được duy trì, với các thông báo bảo mật được công bố cùng với các bản cập nhật.
“Phân loại này áp dụng cho các lỗ hổng có thể được phát hiện với nỗ lực tối thiểu, chẳng hạn như thông qua một lệnh nhắc LLM đơn giản,” chính sách cho biết. Các lỗ hổng khác sẽ tiếp tục tuân theo lịch công bố dựa trên mức độ nghiêm trọng, từ các lỗi nghiêm trọng đe dọa đến bảo mật cơ bản của Bitcoin đến các lỗi có rủi ro thấp hơn với tác động hạn chế đến các nút cá nhân.
Bitcoin Core cho biết các lỗ hổng có mức độ nghiêm trọng thấp sẽ được công bố hai tuần sau khi phát hành một phiên bản lớn chứa bản sửa lỗi, trong khi các lỗ hổng trung bình và cao sẽ được công bố hai tuần sau khi phiên bản cuối cùng bị ảnh hưởng đạt “Cuối đời” của nó, thường là một năm sau khi bản sửa lỗi được phát hành trong phiên bản lớn mới.
“Các lỗi nghiêm trọng không được xem xét trong chính sách tiêu chuẩn, vì chúng có thể yêu cầu một quy trình đặc biệt,”
chính sách cho biết.
Ý Kiến Từ Cộng Đồng
“Tôi đã không đồng ý với cách tiếp cận bảo mật của Antoine trong quá khứ, nhưng đây là một cập nhật tốt,”
Luke de Wolf, người dẫn chương trình Bitcoin Infinity Show và tác giả của “Bảo vệ Bitcoin” cho biết.
Vào tháng Tám, nhóm tình nguyện Bitcoin Red Team đã báo cáo gần 5.000 vấn đề tiềm năng trên 390 dự án, mặc dù chỉ khoảng một phần năm trong số các phát hiện của họ đã được tái tạo tại thời điểm đó. Trong tháng đó, các nhà phát triển Core Lightning đã kêu gọi các nhà điều hành nâng cấp hoặc đưa các nút của họ ngoại tuyến sau khi nhận được nhiều báo cáo lỗ hổng do AI tạo ra, trong khi giữ kín các chi tiết kỹ thuật trong hai tuần.
