AI让代码漏洞更易被发现，比特币核心调整安全披露规则

比特币核心是大多数比特币网络参与者使用的软件。周四，项目维护者合并了一项安全政策调整：如果某个漏洞可能被 AI 轻易再次发现，修复方案将不再被搁置数月后才公布。

此前，比特币核心会根据漏洞严重程度安排披露时间。低危漏洞在下一个主要版本发布两周后披露；中危和高危漏洞则要等到所有受影响版本停止维护两周后才披露。这样做的初衷是，先悄悄发布修复，稍后再说明细节，以免攻击者在节点运营者升级前得知漏洞。节点是负责验证并转发每笔比特币交易的计算机。

但随着 AI 工具普及，发现漏洞的门槛降低，旧有流程受到影响。此次政策调整由 Chaincode Labs 开发者 Antoine Poinsot 提出。他表示，近期团队收到更多安全漏洞报告，这些漏洞很容易被重新发现，部分原因是大型语言模型大幅降低了发现某些类型问题或识别隐蔽修复的难度。

新政策允许比特币核心在漏洞分级时标记其是否容易被发现，实际标准之一是“只需向大型语言模型输入一个简单提示”即可找到。对于这类漏洞，团队会将修复回补至所有仍受支持的版本，尽快通过小版本发布，并同时发布包含部分细节的安全公告。政策文件指出，继续对这类问题实行旧有禁发期收益有限，却会延迟修复版本的推出。不过，Poinsot 也表示，修复在发布前将缺少充分的测试时间。

开发者对披露方式并非完全一致。长期从事比特币安全研究的 Antoine Riard 希望保留逐案处理的选择：发布修复但暂不发布公告、暂缓披露细节。Poinsot 拒绝了这一建议，认为在不提供任何细节的情况下提醒用户存在安全漏洞，可能造成不必要的风险，并促使原本不受影响的用户仓促迁移。

7 月下旬，一个由 16 名开发者组成、名为 Bitcoin Red Team 的志愿团队在约一天内使用 AI 模型扫描 390 个比特币项目，记录了 4,962 项发现，其中 85 项被列为严重问题。