Bitcoin Core, программное обеспечение, на котором работает основная часть сети биткоина, отказался от многомесячного затягивания исправлений ошибок, если её может найти искусственный интеллект за простой запрос. Разработчики утвердили изменение политики безопасности в четверг.
Раньше каждую уязвимость оценивали по степени серьёзности и раскрывали с задержкой. Низкую серьёзность показывали через две недели после выхода новой версии, высокую держали в тайне до года — пока все пользователи не обновили программу. Логика была простой: если сразу не рассказать об ошибке, злоумышленник её не заметит раньше, чем узлы сети обновятся.
Но эта система была рассчитана на эпоху, когда найти баг требовала настоящего мастерства. Распространение нейросетей разрушило эту защиту. Теперь уязвимость может переоткрыть любой, введя правильную подсказку в ChatGPT или похожий сервис.
Что изменилось
Разработчики Core теперь помечают уязвимости как «легко обнаруживаемые» — то есть те, что находятся простым запросом к нейросети. Такие баги немедленно исправляют во всех поддерживаемых версиях и выпускают срочное обновление с уведомлением о проблеме.
«Для таких простых для обнаружения ошибок embargo приносит мало пользы, но сильно замедляет выпуск исправления», — говорится в новой политике. Однако разработчики признали: срочные патчи получат меньше тестирования перед тем, как попасть к пользователям.
Почему это произошло
Летом волна AI-ассистированных отчётов о проблемах буквально захлестнула проекты. Группа из 16 добровольцев под названием Bitcoin Red Team запустила нейросети на 390 проектах экосистемы биткоина за один день в июле и обнаружила 4 962 потенциальные ошибки, 85 из них критические.
Дальше случилось то, чего боялись все: ошибка в BTCPay Server, которую Red Team докладывал приватно, через несколько дней уже эксплуатировалась на боевых серверах торговцев и сливала средства из платёжных каналов Lightning. В Core Lightning сказали операторам отключать ноды после того, как сгенерированные нейросетью отчёты оказались реальными проблемами.
Дошло и до больших потерь: в прошивке аппаратного кошелька Coldcard обнаружилась ошибка, спящая с 2021 года. За 25 минут 30 июля на ней украли 594 BTC — почти $114 млн за четыре волны атак. Когда Coldcard выпустил исправление, сказал, что нейросети помогли найти ещё больше ошибок на ходу.
Тайна, которую любая нейросеть регенерирует с одной подсказки, никогда не сможет защитить пользователей надолго.
Под новое правило пока не попала ни одна ошибка, но разработчики уже готовятся, что переоценка политики была неизбежна.