Bitcoin Core, yapay zekâ modeline basit bir istemle bulunabilen güvenlik açıklarını artık uzun süreli gizlilik yerine hızlıca açıklayıp yamalayacak.
Bakım ekibi, değişikliğin kolayca yeniden keşfedilebilen hatalar için düzeltmeleri hızlandıracağını söyledi; ancak güncellemelerin kullanıcılara ulaşmadan önce daha az testten geçebileceği belirtildi.
Politika, yapay zekâ destekli güvenlik raporlarındaki artışın ardından geldi. 390 Bitcoin projesinin incelenmesi 4.962 potansiyel açık tespit etti, bunların 85'i kritikti.
Bitcoin ağı üzerinde çalışan yazılım Bitcoin Core, bakımcıların perşembe günü projenin güvenlik politikasına yaptığı değişikliği birleştirmesinin ardından, bir yapay zekânın yeniden bulabileceği bir hata olduğunda aylarca yama üzerinde oturmayı bırakacak.
Core daha önce her bildirilen açığı ciddiyetine göre sınıflandırıyor ve açıklamayı buna göre zamanlıyordu. Düşük ciddiyetli açıklar bir sonraki büyük sürüm çıktıktan iki hafta sonra açıklanıyordu. Orta ve yüksek olanlar ise son etkilenen sürüm yaşam sonuna ulaşana kadar gizli tutuluyordu.
Mantık, düzeltmeyi sessizce gönderip çok sonra açıklamanın, düğümlerin yani her bitcoin işlemini kontrol edip ileten bilgisayarların yükseltme yapmasından önce saldırganların açığı öğrenmesini engellemesiydi.
Ancak eski kural, bir hatayı bulmanın beceri gerektirdiği bir dünya için tasarlanmıştı ve yapay zekâ araçlarının yaygınlaşması bu sürecin işleyişini bozdu.
Chaincode Labs geliştiricisi Antoine Poinsot, önerisinde "Son dönemde yeniden keşfedilmesi kolay güvenlik açıkları için rapor sayısında artış yaşadık" dedi. "Bu büyük ölçüde büyük dil modellerinin belirli sorun sınıflarını bulma veya gizli düzeltmeleri tanımlama eşiğini ciddi şekilde düşürmesinden kaynaklanıyor."
Nasıl çalışıyor
Core artık triaj sırasında bir hatayı kolay bulunabilir olarak işaretleyebiliyor; pratikte bu, "bir büyük dil modeline basit bir istemle bulunabilen" anlamına geliyor. Bu hatalar için düzeltme Core'un hâlâ desteklediği her sürüme kopyalanıyor, bir nokta sürümünde "mümkün olan en kısa sürede" gönderiliyor ve bazı ayrıntıları içeren bir güvenlik danışmanlığı eşlik ediyor.
Politika, eski gizlilik uygulamasıyla ilgili "Bu kolay bulunan sorunlar için bu yanlış bir denge. Gizlilik süresi pek bir şey sağlamıyor ama düzeltilmiş sürümün kullanıma sunulmasını geciktiriyor" diyor.
Poinsot yazdı, düzeltmelerin kullanıcılara ulaşmadan önce testte "olabildiğince pişme süresi" olmayacak.
Her geliştirici ne kadar ileri gidileceği konusunda hemfikir değildi. Uzun süredir bitcoin güvenlik araştırmacısı olan Antoine Riard, Core'un duruma göre düzeltmeyi danışmanlık olmadan gönderip ayrıntıları geri tutma seçeneğini koruması gerektiğini istedi.
Poinsot reddetti. "Kullanıcılara herhangi bir ayrıntı olmadan bir güvenlik açığı hakkında uyarı yapmak gereksiz yere daha fazla risk yaratabilir" diye yazdı ve "aksi halde etkilenmeyecek kullanıcılar tarafından acele bir göç"e işaret etti.
Bitcoin Red Team adını kullanan 16 geliştiriciden oluşan gönüllü bir grup, temmuz sonlarında yaklaşık bir günde 390 bitcoin projesini yapay zekâ modelleriyle taradı ve 4.962 bulgu kaydetti, bunların 85'i kritikti.
Günler içinde grubun gizlice bildirdiği bir BTCPay Server açığı canlı tüccar sunucularında istismar edilmeye başlandı. Saldırılar tüccarların küçük bitcoin ödemelerini almak için kullandığı Lightning düğümlerini boşalttı. Ana Lightning uygulamalarından biri olan Core Lightning, küçük ekibine gelen yapay zekâ kaynaklı raporların gerçek çıkmasının ardından operatörlere bağlantıyı kesmeleri talimatını verdi.
Daha büyük bir kayıp yapay zekânın bulmasına gerek olmayan bir hatadan geldi. 2021'den beri uykuda olan Coldcard donanım cüzdanı firmware'indeki bir açık, 30 Temmuz'da saldırganların 25 dakikada 594 BTC boşaltmasına izin verdi ve dört işlemde kayıplar yaklaşık 114 milyon dolara yaklaştı. Coldcard düzeltmeyi gönderdiğinde, yapay zekânın yolda daha fazla hatayı yakalamaya yardımcı olduğunu söyledi.
Henüz yeni kural kapsamında işaretlenmiş bir açık yok, ancak bir modelin tek bir istemde yeniden üretebileceği bir sır kullanıcıları uzun süre koruyamazdı.
