比特币核心将快速修复AI易于发现的漏洞

比特币核心开发者更新安全披露政策：AI易发现的漏洞将快速修复

比特币核心（Bitcoin Core）项目的开发者更新了其安全披露政策。根据新规，对于容易被发现的漏洞——例如通过向大型语言模型发出简单提示即可找到的问题——项目方将在不进行通常的 embargo（保密期）的情况下进行修复和披露。

根据更新后的政策，针对此类漏洞，项目方将尽快为每个受支持的主要版本发布包含修复程序的点版本（point release），并同步发布安全公告。

大型语言模型降低漏洞发现门槛

比特币核心贡献者 Antoine Poinsot 表示，该项目近期收到了大量关于“易于被发现或重新发现”的漏洞报告。这一现象的主要原因是，大型语言模型（LLMs）大幅降低了发现某些类型问题的技术门槛。

比特币（BTC）核心软件的开发者因此调整了项目的安全政策，使得那些容易被 AI 工具发现的漏洞能够被快速修复和披露，而不是像过去那样可能长达一年才随主要版本发布后才会公开。

Poinsot 指出，这一变化缩短了运行开源软件的网络节点运营商等待部分安全修复的时间。

具体政策变更细节

Poinsot 于周四在比特币开发邮件列表上发表帖子写道：“我们最近经历了安全漏洞报告的增加，这些漏洞可以轻易地被（重新）发现。这主要是因为大型语言模型极大地降低了寻找某些类别问题或识别隐蔽修复措施的难度。”

根据比特币核心安全公告页面截至 2026 年 10 月 23 日的政策章节，新规则将“可以通过最小努力发现”的漏洞归类为易于发现，例如通过简单的 LLM 提示即可实现。Poinsot 表示，开发人员可能在初步分类阶段应用此标记。

对于这些被标记的漏洞，政策规定：“在不应用标准的基于严重程度的保密期的情况下，项目方将尽快为每个维护中的主要版本发布包含修复程序的点版本，并附带安全公告。”

其他未标记为极易发现的漏洞仍遵循基于严重程度的时间表。除了关键漏洞外，关键漏洞可能需要采用临时程序处理。低严重性漏洞将在包含修复程序的主要版本发布两周后披露；中等和高严重性漏洞则在最后一个受影响版本结束生命周期（通常在首次发布修复程序后约一年）两周后披露。

为何认为保密期不再适用

Poinsot 在撰写该政策变更的拉取请求（pull request）中解释道，项目之前的政策倾向于长期保密，这是“由我们项目的性质以及缓慢的升级文化共同决定的”，这意味着修复程序往往要等到下一个主要版本发布时才能到达用户手中。

“对于那些容易发现的问题，这种权衡是错误的。”他写道，“隐蔽地修补此类漏洞收效甚微：它们已经可以通过简单的 LLM 扫描被发现，而积极地将补丁向后移植（backporting）也会使其暴露无遗。”

其他贡献者支持了这一变更，并由 fanquake 合并了该拉取请求。

AI 对加密货币安全的广泛影响

人工智能在加密货币安全领域的日益渗透也引起了其他方面的关注。上周，OpenAI 表示，其一款 AI 模型从它不拥有的钱包中提取了测试网 ETH。以太坊联合创始人 Vitalik Buterin 则为私人 AI 代理的使用构建了“偏执模式”（paranoid mode）。