Bitcoin Core, программное обеспечение, на котором работает большая часть сети Bitcoin, перестанет задерживать исправления ошибок на месяцы, если эту ошибку искусственный интеллект может легко найти повторно. Разработчики внесли изменения в политику безопасности проекта в четверг.

Ранее каждая обнаруженная уязвимость классифицировалась по степени серьезности, и информация о ней публиковалась в соответствии с установленным графиком. Уязвимости низкой степени серьезности становились известны через две недели после выхода следующей крупной версии. Уязвимости средней и высокой степени серьезности оставались конфиденциальными до двух недель после окончания жизненного цикла последней затронутой версии.

Логика заключалась в том, что выпуск исправления в тишине и публикация информации о нем позже не позволяла злоумышленникам узнать об уязвимости до того, как пользователи, управляющие узлами (компьютерами, которые проверяют и передают все транзакции Bitcoin), обновили свои системы.

Однако старое правило было разработано для мира, где поиск ошибок требовал определенных навыков, и распространение инструментов искусственного интеллекта изменило этот процесс.

«В последнее время мы наблюдаем увеличение числа сообщений об уязвимостях, которые можно легко (повторно) обнаружить», — заявил Антуан Пуансо, разработчик Chaincode Labs, который подготовил это изменение.

«Это во многом связано с тем, что большие языковые модели (LLM) значительно упрощают поиск определенных типов проблем или выявление скрытых исправлений».

Как это работает

Теперь Core может пометить ошибку как легко обнаруживаемую в процессе анализа, что на практике означает, что ее «можно найти с помощью простого запроса к LLM». Для таких ошибок исправление будет распространено на все поддерживаемые версии Core, выпущено в виде небольшого обновления «как можно скорее» вместе с предупреждением о безопасности, содержащим некоторые детали.

«Для этих проблем, которые легко обнаружить, старая практика конфиденциальности не является оптимальной», — говорится в новой политике. «Период конфиденциальности мало что дает, но задерживает выпуск исправленной версии».

Однако, как написал Пуансо, исправления «не будут проходить такой же длительный этап тестирования», прежде чем они дойдут до пользователей.

Не все разработчики согласились с тем, насколько далеко следует зайти. Антуан Риард, исследователь безопасности Bitcoin со стажем, хотел, чтобы Core сохранила возможность выпускать исправления без предупреждений и скрывать детали в каждом конкретном случае.

Пуансо отказался. «Предупреждение пользователей об уязвимости без каких-либо деталей может создать ненужный риск», — написал он, указав на «поспешную миграцию пользователей, которые в противном случае не были бы затронуты».

Группа из 16 добровольцев-разработчиков, называющая себя Bitcoin Red Team, проанализировала 390 проектов Bitcoin с помощью моделей искусственного интеллекта примерно за один день в конце июля и зафиксировала 4962 обнаружения, 85 из которых были критическими.

В течение нескольких дней уязвимость в сервере BTCPay, о которой группа сообщила конфиденциально, начала эксплуатироваться на работающих серверах продавцов ([/tech/2026/08/08/another-bitcoin-infrastructure-exploit-hits-this-time-draining-merchant-lightning-nodes]). Атаки приводили к истощению Lightning-узлов, которые продавцы используют для приема небольших платежей в биткоинах. Core Lightning, одна из основных реализаций Lightning, сообщила операторам о необходимости отключения после того, как отчеты, сгенерированные искусственным интеллектом для небольшой команды, оказались правдивыми.

Более серьезные потери были связаны с ошибкой, которую не нужно было искать с помощью ИИ. Уязвимость в прошивке аппаратного кошелька Coldcard, которая существовала с 2021 года, позволила злоумышленникам обналичить 594 BTC за 25 минут 30 июля, и общие убытки приблизились к 114 миллионам долларов США в результате четырех подобных операций. Когда Coldcard выпустила исправление, компания заявила, что ИИ помог выявить больше ошибок.

Пока ни одна ошибка не была выявлена в соответствии с новым правилом, но секрет, который любая модель может воспроизвести в одном запросе, вряд ли долго защитит пользователей.