Bitcoin Core cambia su política de seguridad mientras la IA facilita la detección de errores

Bitcoin Core está cambiando la forma en que gestiona las vulnerabilidades de seguridad y explica que los modelos lingüísticos de gran escala han facilitado considerablemente la detección de ciertos fallos de software.

En un correo electrónico enviado el jueves a la lista de correo de desarrollo de Bitcoin, el desarrollador de Bitcoin Core Antoine Poinsot dijo que, en el pasado, las vulnerabilidades generalmente se mantenían bajo largos embargos de divulgación para dar tiempo a los usuarios de actualizarse antes de que los detalles se hicieran públicos.

Mantener ese secreto generalmente significaba que las correcciones no podían retroportarse a versiones antiguas del software, lo que dejaba a los usuarios esperando hasta la siguiente versión principal. Sin embargo, Poinsot dijo que los modelos lingüísticos de gran escala han hecho que algunos fallos sean tan fáciles de redescubrir que retrasar las correcciones ofrece poca protección.

«El periodo de embargo logra poco, salvo retrasar la disponibilidad de una versión corregida», dijo Poinsot. «Por lo tanto, estamos actualizando nuestra política de divulgación para adaptarla a esas circunstancias».

El cambio se produce mientras la investigación de seguridad asistida por IA ejerce presión sobre los desarrolladores de todo el ecosistema de software de Bitcoin.

Según la política actualizada, las vulnerabilidades consideradas «fáciles de descubrir» recibirán correcciones lo antes posible en todas las versiones principales mantenidas, y los avisos de seguridad se publicarán junto con las actualizaciones.

«Esta clasificación se aplica a las vulnerabilidades que pueden descubrirse con un esfuerzo mínimo, por ejemplo, mediante una simple instrucción para un modelo lingüístico de gran escala», señaló.

Relacionado: Un fallo de PHP atrae millones de intentos de explotación, advierte el CEO de Cloudflare

Las demás vulnerabilidades seguirán calendarios de divulgación basados en su gravedad, desde fallos críticos que amenazan la seguridad fundamental de Bitcoin hasta errores de menor riesgo con un impacto limitado en nodos individuales.

Bitcoin Core afirmó que las vulnerabilidades de baja gravedad se divulgarán dos semanas después del lanzamiento de una versión principal que contenga la corrección, mientras que las vulnerabilidades de gravedad media y alta se divulgarán dos semanas después de que la última versión afectada llegue al final de su vida útil («End of Life»), normalmente un año después de que la corrección se publique en la nueva versión principal.

«Los errores críticos no se contemplan en la política estándar, ya que probablemente requerirían un procedimiento ad hoc», señaló.

«En el pasado no he estado de acuerdo con el enfoque de Antoine respecto a la seguridad, pero esta es una buena actualización», dijo Luke de Wolf, presentador de Bitcoin Infinity Show y autor de «Defending Bitcoin».

En agosto, el equipo voluntario Bitcoin Red Team informó de casi 5.000 posibles problemas en 390 proyectos, aunque en ese momento solo se había reproducido alrededor de una quinta parte de sus hallazgos.

Ese mes, los desarrolladores de Core Lightning instaron a los operadores a actualizar o desconectar sus nodos después de recibir varios informes de vulnerabilidades generados por IA, mientras retenían los detalles técnicos durante dos semanas.