Bitcoin Coreはセキュリティ情報の開示方針を改め、大規模言語モデル（LLM）がわずかな労力で見つけられる脆弱性について、修正を早く出せるようにした。こうしたバグにかつて設けられていた数カ月に及ぶ非公開期間は終わる。
メンテナーは米国時間の木曜日、同プロジェクトのセキュリティポリシーの変更をマージした。提案を書いたChaincode Labsの開発者アントワーヌ・ポアンソ氏は同日、Bitcoin Development Mailing Listへの投稿でこれを発表した。
「容易に（再）発見できるセキュリティ脆弱性の報告件数が、最近増えている」とポアンソ氏は書いた。「これは主に、LLMによって、特定の種類の問題を見つけたり、秘密裏に行われた修正を突き止めたりするハードルが劇的に下がったためだ」
これまでの
Bitcoin Coreはビットコインネットワークの大半のノードで稼働するソフトウェアで、報告された脆弱性をそれぞれ深刻度で格付けし、それに応じて開示の時期を決めてきた。深刻度の低い欠陥は、次のメジャーバージョンのリリースから2週間後に公開されていた。
深刻度が中程度または高い問題は、影響を受ける最後のリリースがサポート終了（EOL）を迎えてから2週間後まで非公開とされ、その期間は1年に及ぶこともあった。
こうした長い日程は、詳細が公開される前に修正済みのソフトウェアへ移行する時間をノード運用者に与えていた。運用者の多くは、アップグレードのペースが遅い。ただ実際には、この方式のもとでは保守中の旧バージョン向けに修正がリリースされず、修正は次のメジャーリリースで提供されることになっていた。
ポアンソ氏は、再発見が容易なバグについてはこのトレードオフが成り立たないと主張し、「非公開期間によって得られるものはほとんどなく、修正済みリリースの提供を遅らせることになる」と書いた。
何が
Bitcoin Coreはトリアージの段階で、脆弱性を「容易に発見可能（easily discoverable）」と分類できる。方針はこの区分を、「単純なLLMプロンプトなどを通じて、最小限の労力で」見つけられる問題と定義している。このラベルは、ほかの手段で見つかった欠陥にも付けられる。
こうした問題について、同プロジェクトは保守対象のすべてのメジャーバージョンに修正をバックポートし、できるだけ早くポイントリリースを出す。セキュリティアドバイザリーも、一定の詳細を記したうえで修正済みソフトウェアと同時に公開する。
ポアンソ氏は、こうした修正ではユーザーに届くまでのテスト期間が短くなることを認めた。
この区分に入らない脆弱性は、従来の深刻度に基づくスケジュールを維持する。プロトコルレベルでのコインの窃取、供給量の水増し、恒久的なチェーン分裂を引き起こしうる重大（critical）なバグは、引き続き標準の方針の対象外で、個別に対応される。
開発者のアントワーヌ・リアール氏は、アドバイザリーを出さずに修正をリリースし、詳細の公開を個別に差し控える選択肢を設けるよう求めた。ポアンソ氏はこれを退け、詳細を示さずにユーザーへ警告すれば、本来なら影響を受けないユーザーの慌ただしい移行を招き、「不必要にリスクを増やしかねない」と書いた。
AIに
今回の変更に先立ち、ビットコインのオープンソースプロジェクトには数カ月にわたって圧力が強まっていた。16人の開発者によるボランティアグループ「Bitcoin Red Team」が、ビットコイン関連の390のリポジトリに約1日でAIモデルを走らせ、重大（critical）と評価された85件を含む4,962件の指摘を記録した。
それから数日のうちに、同グループが非公開で報告していたBTCPay Serverの欠陥が稼働中の加盟店サーバーで悪用され、ライトニングノードから資金が抜き取られた。
8月には、プロジェクトに寄せられたAI生成の報告が正確だと判明したことを受け、Core Lightningの開発者が運用者に、アップグレードするか接続を切るよう呼びかけた。
Red Teamの取り組みは、Coldcardハードウェアウォレットの悪用事件の後に行われた。7月30日のこの事件では、攻撃者が25分間で594BTCを抜き取った。4回にわたる流出による損失は、1億1,400万ドルに迫った。
