Bitcoin Core 周四合入资安政策修正案：只要一支 AI 提示就能重现的漏洞，不再拖上数月的保密期，改为尽快修补并同步到所有支援版本。 政策背后是一连串 AI 揪漏洞、真实资金遭窃的夏季实录。 （前情提要：比特币闪电网路拉响资安警报！ Blockstream 旗下节点软体 Core Lightning 遭 AI 揪出隐藏漏洞） （背景补充：BTCPay Server 爆重大漏洞！ Foundation Lightning Node 被清空） 比特网路上大多数节点执行的核心软体 Bitcoin Core，周四合入了一项资安政策修正案。 过去，只要一个漏洞能被 AI 重新找到，开发团队仍会依严重程度把披露拖上数周甚至一年以上；从现在起，这类「好找」的漏洞改为尽快修补、同步到所有支援版本，并附上说明细节的安全公告。 提案作者、Chaincode Labs 开发者 Antoine Poinsot 在提交给 Bitcoin Core 官网的 pull request 中说明，这番改动是为了回应「可以很容易被（重新）发现的安全漏洞报告」明显增加，而背后主因正是大型语言模型「大幅降低了找出特定类别问题、或识别隐藏修补的门槛」。 旧政策的逻辑建立在一个前提上：找到 bug 需要真本事。 低风险漏洞要等到下一个主版本发布两周后才公开，中、高风险的则保密到最后一个受影响版本停止支援再过两周才揭露。 这么做的用意，是让攻击者在执行节点的人完成升级之前，无从得知这个洞的存在。 节点是验证并转发每一笔比特币交易的电脑，它们的软体若带著已知漏洞，整个网路的基础设施就暴露在风险之下。 新政策：好找的洞，马上修 新规则让 Core 在分级（triage）时就能把一个漏洞标记为「容易发现」，实务上定义就是「一支对 LLM 的简单提示就能找到」。 这类漏洞的修法，是把修补回拷（backport）到 Core 目前还在支援的所有版本，并在「尽快」的一个点版本（point release）中推出，同时附上带有若干细节的安全公告。 政策档案对旧的保密期直言，对这些容易找到的问题，「这是一个错误的权衡。 保密期几乎没有带来什么价值，却延迟了修补版本的可用时间」。 不过 Poinsot 也承认代价：这些修补在到达使用者手上之前，「不会有那么多的『腌制时间』（bake time）」来做测试。
- 一群自称 Bitcoin Red Team 的 16 名开发者志工，在七月下旬约一天内用 AI 模型扫了 390 个比特币专案，记下 4,962 项发现，其中 85 项被评为严重（critical）。
- Coldcard 硬体钱包的韧体存在一个自 2021 年就沉睡的缺陷，攻击者在 7 月 30 日以 25 分钟窃走 594 枚 BTC，四波扫劫的损失逼近 1.
- 14 亿美元，本站当时曾追踪灾情。
- Coldcard 钱包漏洞遭骇 1719 枚比特币，损失估破 1.
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。