Bitcoin Core 调整安全披露规则，应对 AI 快速发现代码漏洞

2026年10月23日上午8:03（美国东部时间） 阅读时长3分钟 Bitcoin Core will stop hiding bugs an AI can find in one prompt Bitcoin Core将不再隐瞒AI一次提示就能发现的漏洞 摘要 - Bitcoin Core将快速披露并修补只需向人工智能模型输入简单提示即可发现的漏洞，取代此前可能长达约一年的保密期。 - 维护者表示，这一变化将加快对易被重新发现的缺陷的修复，不过更新在到达用户之前可能接受的测试会减少。 - 该政策出台之际，AI辅助的安全报告激增，其中包括对390个比特币项目的审查，共发现4,962个潜在缺陷，其中85个为严重缺陷。 比特币网络大部分节点所运行的软件Bitcoin Core，将不再对AI能够再次发现的漏洞修复隐瞒数月之久。此前，其维护者于周四合并了一项变更，修改了项目的安全政策。 Core此前会按严重程度对每一份上报的漏洞进行分级，并据此安排披露时间。低严重性缺陷在下一个大版本发布两周后公开。中、高严重性缺陷则一直处于保密状态，直到最后一个受影响版本停止支持两周之后。 其逻辑是：悄悄发布修复、很久之后再解释，可以避免攻击者在运行节点（即检查和转发每笔比特币交易的计算机）的人完成升级之前得知漏洞的存在。 但旧规则建立在一个发现漏洞需要专业技能的世界里，而AI工具的普及已经打破了这一流程的运作方式。 “我们最近发现，能够被轻易（重新）发现的安全漏洞报告数量有所增加，”提出该变更的Chaincode Labs开发者Antoine Poinsot在其提案中表示。 “这在很大程度上是因为LLM大幅降低了发现某些类别问题或识别隐蔽修复的门槛。” 运作方式 Core现在可以在分诊阶段将某个漏洞标记为易于发现，实际上就是指“只需向LLM输入简单提示即可发现”的漏洞。这类漏洞的修复会被复制回Core仍支持的所有版本，在“尽快”发布的点版本中推出，同时附上一份包含部分细节的安全公告。 “对于这些易于发现的问题，这样做是错误的权衡，”该政策在谈及旧保密期时写道。“保密期收效甚微，却延迟了修复版本的可用性。” 然而，Poinsot写道，修复在到达用户之前，“不会有那么多‘烘焙时间’”用于测试。 并非所有开发者都认同应该走到哪一步。长期从事比特币安全研究的Antoine Riard希望Core保留这样的选项：在不发布公告的情况下发布修复，并逐案决定是否隐瞒细节。 Poinsot拒绝了这一提议。“在没有任何细节的情况下提醒用户存在安全漏洞，可能会不必要地制造更多风险，”他写道，并指出这可能导致“本不会受影响的用户仓促迁移”。 一个由16名开发者组成的志愿者团体自称“比特币红队”（Bitcoin Red Team），在7月下旬用大约一天时间对390个比特币项目运行了AI模型，并记录了4,962项发现，其中85项为严重问题。 几天之内，该团体私下报告的一个BTCPay Server漏洞就在活跃的商户服务器上遭到利用。这些攻击耗尽了商户用于接收小额比特币支付的闪电节点。主要闪电网络实现之一的Core Lightning在收到其小团队、后来被证实为真实的AI生成报告后，通知运营者断开连接。 更大的损失来自一个根本不需要 AI 去发现的漏洞。Coldcard 硬件钱包固件中一个自 2021 年起便潜伏的缺陷，让攻击者在 7 月 30 日于 25 分钟内转走了 594 BTC，四轮扫荡造成的损失接近 1.14 亿美元。Coldcard 发布修复程序时表示，AI 在此过程中帮助发现了更多漏洞。 目前尚未有漏洞在新规则下被标记出来，但一个任何模型只需一次提示就能重新生成的秘密，本就无法长久保护用户。 1. 1 2. 2 3. 3 4. 4 5. 5 6. 6 7. 7 8. 8 9. 9 10. 10