Bitcoin Core adopte une divulgation plus rapide pour les bugs découvrables par l’IA

Les mainteneurs de Bitcoin Core ont fusionné une mise à jour de politique le 22 octobre qui accélère la publication de correctifs pour les vulnérabilités facilement redécouvrables, y compris celles identifiées par les grands modèles de langage. Ce changement crée une voie plus rapide pour ces failles de sécurité spécifiques, en contournant les périodes d’embargo standard généralement liées aux niveaux de gravité.

L’IA modifie les délais de divulgation

Le développeur Antoine Poinsot a soutenu que les grands modèles de langage ont rendu certains problèmes plus faciles à trouver. Selon la mise à jour de la politique, ces modèles peuvent identifier des correctifs qui étaient censés attirer peu d’attention. La politique de divulgation mise à jour permet aux développeurs de classer une vulnérabilité signalée comme facilement découvrable. Un simple prompt IA est cité comme exemple de la manière dont une vulnérabilité peut être facilement découverte, bien que la catégorie couvre également les problèmes trouvés avec un effort minimal par d’autres moyens.

Pour les vulnérabilités classées comme facilement découvrables, les mainteneurs prévoient de publier un correctif pour chaque version majeure prise en charge dès que possible. Ces correctifs seront accompagnés d’un avis de sécurité. Cette approche contourne l’embargo habituel lié à la gravité, en priorisant la livraison d’une réparation aux utilisateurs plus tôt lorsque les attaquants peuvent redécouvrir une faiblesse à moindre coût.

Les règles standard restent en place

Le changement de politique n’élimine pas les règles de divulgation existantes pour d’autres types de vulnérabilités. Les problèmes de faible gravité deviennent normalement publics deux semaines après une version majeure contenant le correctif. Les problèmes de gravité moyenne et élevée attendent généralement jusqu’à deux semaines après que la dernière version affectée ait atteint la fin de sa période de support. Les vulnérabilités critiques nécessitent toujours un traitement individuel.

La discussion accompagnant le changement note que la rapidité a un coût. Poinsot a noté que les mesures d’atténuation accélérées passeront moins de temps dans les branches de développement avant d’atteindre les utilisateurs. Les développeurs doivent peser le risque d’exposer une faille contre le risque d’introduire une réparation défectueuse. L’annonce n’identifie pas une nouvelle attaque sur le réseau Bitcoin, ni n’indique que des pièces ont été volées ou que les règles de consensus ont échoué. Elle modifie la manière dont une catégorie définie de problème logiciel sera gérée.