AI让发现代码漏洞变得危险地容易，Bitcoin Core更改安全规则

Bitcoin Core维护者合并了一项安全政策变更。旧规则按严重程度分级披露漏洞：低严重性漏洞在下一个大版本发布两周后公开，中高严重性漏洞则保密到最后受影响版本停止支持两周后。原逻辑是先悄悄发布修复、之后再解释，以避免攻击者在节点运营者升级前获知漏洞。但原文指出，这套规则建立在“找漏洞需要技能”的前提上，LLM已大幅降低发现某些问题或识别隐蔽修复的门槛。

新政策允许在漏洞分类阶段标记“易于发现”的漏洞，实际操作中即“通过简单提示词让LLM找到”的漏洞。此类漏洞的修复会被复制回Core仍支持的所有版本，并“尽快”通过点版本发布，同时附带包含部分细节的安全公告。原文称，对这类容易发现的问题，旧 embargo 是错误权衡，只会推迟修复版本的可用性；但Poinsot也写道，修复到达用户前的测试“烘焙时间”会减少。长期比特币安全研究员Antoine Riard希望保留逐案选择“发布修复但不发公告、暂不披露细节”的选项，Poinsot拒绝，认为无细节地提醒漏洞可能造成不必要的风险，包括用户匆忙迁移。

政策变化的背景是AI辅助安全报告激增。原文称，一个由16名开发者组成的志愿者组织Bitcoin Red Team在7月下旬约一天内用AI模型扫描390个比特币项目，记录4962项发现，其中85项为严重级别。几天内，该组织私下报告的BTCPay Server漏洞就在活跃商户服务器上被利用，攻击抽干了商户用于接收小额比特币支付的Lightning节点；Core Lightning在一个主要Lightning实现也告知运营者在AI生成报告被证实为真后断开连接。

另一笔更大损失来自无需AI发现的漏洞：Coldcard硬件钱包固件中一个自2021年起潜伏的缺陷，让攻击者在7月30日的25分钟内转走594 BTC，四次扫荡合计损失接近1.14亿美元。Coldcard发布修复时称，AI在过程中帮助发现了更多漏洞。原文称，目前尚无漏洞按新规则被标记。待核实点包括新政策在实际分类中的执行尺度、缩短测试时间对稳定性的影响，以及更快披露细节是否会被攻击者利用。

来源说明：本文依据 CoinDesk 公开页面整理，未复制原文全文。

原文链接：https://www.coindesk.com/tech/2026/10/23/bitcoin-will-now-stop-hiding-bugs-an-ai-can-find-in-one-prompt