Bitcoin Core heeft zijn beveiligingsbeleid aangepast voor kwetsbaarheden die met een eenvoudige opdracht aan een taalmodel te vinden zijn. In zulke gevallen wil het project niet langer een lange periode wachten met openbaarmaking, omdat geheimhouding volgens de ontwikkelaars weinig bescherming meer biedt. De software achter een groot deel van de Bitcoin-nodes krijgt daarom sneller een patch en een nieuwe versie wanneer een probleem als ‘eenvoudig vindbaar’ wordt beoordeeld.
Belangrijkste feiten
- Bitcoin Core heeft zijn beveiligingsbeleid aangepast voor kwetsbaarheden die eenvoudig met AI te vinden zijn.
- Gemarkeerde problemen krijgen een patch voor alle onderhouden Bitcoin Core-versies.
- Een nieuwe release en beveiligingsadvies moeten bij deze kwetsbaarheden zo snel mogelijk volgen.
- De beleidswijziging moet voorkomen dat een lange geheimhoudingsperiode vooral het herstel vertraagt.
- Een vrijwillig Bitcoin Red Team zoekt actief naar AI-vindbare fouten voordat aanvallers dat doen.
Nieuwe aanpak voor makkelijk te ontdekken bugs
De beleidswijziging geeft Bitcoin Core de mogelijkheid om een gemelde kwetsbaarheid te markeren als ‘easily discoverable’. Die aanduiding is bedoeld voor problemen die bijvoorbeeld via een simpele vraag aan een groot taalmodel kunnen worden opgespoord. Voor zulke fouten wordt de oplossing teruggebracht naar alle versies die nog worden onderhouden. Daarna wil Bitcoin Core zo snel mogelijk een nieuwe release uitbrengen. Details over het probleem verschijnen tegelijk in een beveiligingsadvies bij de aangepaste software. Daarmee kiest het project voor een directe aanpak wanneer het verbergen van een fout geen duidelijke veiligheidswinst meer oplevert. Een aanvaller kan het probleem immers mogelijk zelf ontdekken, terwijl ook een stil aangebrachte oplossing aanwijzingen kan geven over waar de kwetsbaarheid zat.
Langer geheimhouden past niet bij elk risico
Bitcoin Core werkte traditioneel met een ruime embargo-periode voor beveiligingsproblemen. Oplossingen bleven vaak verborgen tot een volgende grote release. Die voorzichtige werkwijze sluit aan bij de trage upgradecultuur rond Bitcoin: nodebeheerders onder druk zetten om snel te updaten kan volgens de ontwikkelaars eveneens risico’s veroorzaken. De nieuwe beleidslijn maakt daarom onderscheid tussen kwetsbaarheden die moeilijk te vinden zijn en problemen die vrijwel direct met kunstmatige intelligentie kunnen worden opgespoord. Bij die laatste categorie zou uitstel volgens de initiatiefnemer van de beleidswijziging vooral betekenen dat een vaste versie langer op zich laat wachten. Bitcoin Core probeert zo de balans te bewaren tussen zorgvuldig testen, beheerde updates en het beperken van de tijd waarin een bekende fout nog onopgelost blijft.
AI verandert de beveiliging rond Bitcoin
De beleidswijziging weerspiegelt een bredere verandering in de beveiliging van Bitcoin-software. In de zomer begon een vrijwillig Bitcoin Red Team actief te zoeken naar kwetsbaarheden die door AI kunnen worden gevonden, voordat aanvallers dat doen. Ook elders in de cryptosector kwamen veel meldingen naar voren: een AI-gestuurde controle registreerde begin augustus bijna 5.000 bevindingen bij honderden projecten. Ontwikkelaars werkten vervolgens aan oplossingen voor problemen in Lightning-implementaties en hardware wallets. Daarnaast werd een Bitcoin-brug stilgelegd nadat de betrokken partij concludeerde dat AI sneller fouten ontdekte dan deze konden worden verholpen. Tegen die achtergrond wil Bitcoin Core zijn beveiligingsbeleid beter laten aansluiten op een situatie waarin sommige fouten niet langer lang verborgen blijven.