Vývojáři Bitcoin Core schválili zásadní změnu bezpečnostní politiky, která reaguje na rostoucí schopnosti umělé inteligence při odhalování softwarových chyb. Zranitelnosti, které lze snadno objevit pomocí AI, budou nově opravovány a zveřejňovány bez dlouhého čekání. Dosavadní systém utajování totiž podle vývojářů přestává poskytovat účinnou ochranu.
Vývojáři Bitcoin Core, softwaru využívaného velkou částí bitcoinové sítě, přistoupili ke změně pravidel pro zveřejňování bezpečnostních zranitelností. Nová politika, schválená ve čtvrtek 22. října, má zabránit situacím, kdy jsou známé chyby dlouhé měsíce utajovány, přestože je útočníci mohou během krátké chvíle znovu objevit pomocí nástrojů umělé inteligence.
Dosavadní přístup vycházel z předpokladu, že odhalení bezpečnostních nedostatků vyžaduje značné technické znalosti a čas. Vývojáři proto jednotlivé zranitelnosti klasifikovali podle závažnosti a informace o nich zveřejňovali až s určitým odstupem od vydání oprav.
U méně závažných chyb docházelo ke zveřejnění zpravidla dva týdny po vydání nové hlavní verze softwaru. Středně závažné a vysoce rizikové zranitelnosti mohly zůstat neveřejné až do doby, kdy poslední dotčená verze přestala být podporována, a následně ještě další dva týdny.
Cílem bylo poskytnout provozovatelům bitcoinových uzlů dostatek času na aktualizaci softwaru, aniž by se potenciální útočníci předčasně dozvěděli podrobnosti o existující bezpečnostní slabině.
Rozmach velkých jazykových modelů (LLM) však tento princip zásadně narušil. Moderní AI nástroje dokážou analyzovat zdrojový kód, identifikovat potenciální chyby a v některých případech odhalit i zranitelnosti, které se vývojáři pokusili nenápadně opravit.
Na tento problém upozornil vývojář Antoine Poinsot ze společnosti Chaincode Labs, který změnu bezpečnostní politiky navrhl. Podle jeho vyjádření zaznamenal projekt v poslední době výrazný nárůst hlášení zranitelností, jež lze relativně snadno znovu objevit. Hlavním důvodem je právě umělá inteligence, která dramaticky snižuje technické nároky na jejich hledání.
Bitcoin Core proto zavádí novou kategorii zranitelností, které jsou označovány jako snadno odhalitelné. V praxi může jít například o chyby, jejichž identifikace vyžaduje pouze jednoduchý dotaz zadaný do jazykového modelu.
Pokud vývojáři takovou zranitelnost identifikují, oprava bude co nejrychleji začleněna do všech stále podporovaných verzí Bitcoin Core. Následně bude vydána aktualizace společně s bezpečnostním upozorněním obsahujícím základní informace o problému.
Podle autorů nové politiky představuje dlouhodobé utajování těchto chyb nevýhodný kompromis. Pokud totiž potenciální útočníci dokážou zranitelnost nezávisle odhalit pomocí AI, odkládání zveřejnění pouze prodlužuje období, během kterého uživatelé nemají k dispozici opravenou verzi softwaru.
Zrychlení celého procesu nicméně přináší také určitá rizika. Poinsot upozornil, že bezpečnostní aktualizace nemusí před zveřejněním projít tak dlouhým testováním jako doposud. Vývojáři tak budou muset hledat rovnováhu mezi rychlostí reakce a spolehlivostí vydávaných oprav.
Změna navíc neproběhla bez diskuse. Bezpečnostní výzkumník Antoine Riard navrhoval zachovat možnost vydat opravu bez současného zveřejnění bezpečnostního upozornění. Poinsot však tento přístup odmítl s argumentem, že varování bez dostatečných informací může mezi uživateli vyvolat zbytečnou paniku a přimět k uspěchaným změnám i ty, kterých se problém ve skutečnosti netýká.
Rostoucí význam umělé inteligence v oblasti kybernetické bezpečnosti ukázaly také události letošního léta. Dobrovolnická skupina 16 vývojářů označovaná jako Bitcoin Red Team využila koncem července AI modely k analýze 390 projektů souvisejících s bitcoinovým ekosystémem.
Během přibližně jediného dne identifikovala celkem 4 962 potenciálních bezpečnostních nálezů, z nichž 85 bylo klasifikováno jako kritických.
Závažnost situace se ukázala jen o několik dní později, kdy byla jedna ze soukromě nahlášených zranitelností platebního systému BTCPay Server zneužívána při skutečných útocích na servery obchodníků. Útočníci dokázali odčerpávat prostředky z uzlů Lightning Network, které slouží ke zpracování rychlých bitcoinových plateb.
Na podobné problémy reagoval také projekt Core Lightning, jehož vývojáři po obdržení skutečně relevantních bezpečnostních hlášení vytvořených pomocí AI doporučili provozovatelům přijmout ochranná opatření včetně odpojení uzlů.
Další vážný bezpečnostní incident zasáhl hardwarové peněženky Coldcard. Zranitelnost ve firmwaru, která existovala již od roku 2021, umožnila útočníkům 30. července během pouhých 25 minut odcizit 594 BTC. Celkové ztráty ze čtyř souvisejících útoků se podle dostupných informací přiblížily 114 milionům dolarů.
Přestože samotnou chybu v tomto případě nebylo nutné odhalovat pomocí umělé inteligence, výrobce Coldcard následně uvedl, že AI pomohla při hledání dalších bezpečnostních nedostatků během přípravy opravy.
Nová bezpečnostní pravidla Bitcoin Core zatím nebyla uplatněna na žádnou konkrétní zranitelnost. Jejich zavedení však představuje důležitý posun v přístupu k ochraně bitcoinové infrastruktury.
Umělá inteligence totiž mění samotnou podstatu kybernetické bezpečnosti. Technologie, které vývojářům pomáhají rychleji identifikovat a opravovat chyby, současně poskytují podobné schopnosti potenciálním útočníkům.
Bitcoin Core tak reaguje na prostředí, ve kterém už samotné utajení bezpečnostní slabiny nemusí stačit. Rozhodující bude především rychlost její opravy a schopnost dostat bezpečné verze softwaru k uživatelům dříve, než může dojít ke zneužití.