Bitcoinネットワークの主要ソフトウェアであるBitcoin Coreは、AIによって簡単に再発見できる脆弱性については、数カ月にわたる修正公開の延期を行わず、迅速に対応する新たなセキュリティポリシーを採用した。この変更は木曜日にメンテナーにより正式に取り込まれたもので、今年夏にAIが数百件のBitcoinのバグを人間に先駆けて発見した事例を踏まえたものだ。
従来、Bitcoin Coreは報告された脆弱性を深刻度別に分類し、公表の時期を調整していた。軽度の欠陥は次のメジャーバージョンリリースから2週間後に公開し、中程度および重大なものは、対象となる最後のバージョンのサポート終了から2週間後まで非公開とする運用を行っていた。この方針は、修正を秘密裏に配布し、ノード運用者がアップグレードを完了する前に攻撃者に脆弱性の詳細が知られるのを防ぐためだった。
しかし、この規則は高度な技能を要するバグ発見を前提としており、AIツールの進化でその前提が崩れたという事情がある。Chaincode LabsのAntoine Poinsot開発者は提案書で、「最近は容易に（再）発見できる脆弱性に関する報告が増加している。これは主に大規模言語モデル（LLM）が特定の問題を見つけるハードルを大幅に下げたためだ」と述べた。
新体制では、Coreのトリアージ段階でバグを「発見しやすい」と評価できる。実際には「LLMの簡単なプロンプトで再現可能な」脆弱性を指し、これに該当するバグは、現在サポート中のすべてのバージョンに対し修正が遡って適用され、できるだけ早期にポイントリリースとして配布される。また、セキュリティ勧告と必要最低限の詳細も添えられる。
新ポリシーは、従来の公表延期を「見つけやすい問題においては誤ったトレードオフ」と位置付ける。延期期間はほとんど有効性がなく、修正版のリリースを遅らせるだけと指摘している。ただしPoinsotは同時に、修正が利用者に浸透するまでの十分なテスト期間が短縮される懸念も述べている。
すべての開発者が踏み込みの度合いで合意に至ったわけではない。長年Bitcoinのセキュリティ研究を行うAntoine Riardは、詳細を伏せたまま修正版を勧告なしにリリースする選択肢を残すべきと考えたが、Poinsotは「詳細なしでユーザーに警告すると、過剰なリスクを招くことがある」と反論。影響を受けなかったユーザーが不用意に急いで移行を行うことを懸念した。
自称Bitcoin Red Teamの16名から成るボランティア開発者グループは7月下旬、約1日かけて390のBitcoin関連プロジェクトにAIモデルを適用し、4,962件の問題を検出、そのうち85件を重大と分類した。
その後数日以内に、同グループが非公開で報告していたBTCPay Serverの脆弱性が実際に悪用され、Lightningノードを用いた加盟店の少額のBitcoin決済から資金が流出する事態となった。Core LightningもAIによる脆弱性報告を受け運用者へノード切断を通知している。
一方で、2021年から存在したColdcardのハードウェアウォレット用ファームウェアの欠陥は、7月30日に25分で594BTCの資金流出を許し、4回の流出の被害は総額で1億1,400万ドルに達した。Coldcardは修正版のリリース時に、AIがさらなるバグ発見に貢献したことも明かしている。
現時点では新ルールに基づいてフラグ付けされたバグはないものの、単一のプロンプトで再現可能な秘密が長期にわたってユーザーを保護し続けることは困難であった。