Bitcoin Core breekt met lange geheimhouding: AI vindt bugs te snel om ze stil te repareren

Bitcoin Core gaat bepaalde beveiligingslekken sneller dichten. De ontwikkelaars van de software waarop het grootste deel van het bitcoin-netwerk draait, houden een fix niet langer maandenlang stil als een AI-model hetzelfde lek met één prompt kan vinden. Donderdag is de beleidswijziging samengevoegd. Antoine Poinsot, ontwikkelaar bij Chaincode Labs, had haar eerder deze maand voorgesteld. Volgens hem komen er steeds meer meldingen binnen van bugs die makkelijk te vinden of opnieuw te vinden zijn.

Het is een opvallende stap voor een project dat bekendstaat om zijn voorzichtigheid. Tot nu toe hield Bitcoin Core zich aan een lange embargoperiode. Een lek werd stil gerepareerd en de details kwamen pas naar buiten als de meeste node-operators hun software hadden bijgewerkt. Vaak wachtte de fix zelfs tot de volgende grote release. Dat model gaat ervan uit dat een aanvaller het lek niet zelf vindt. Die aanname klopt niet meer.

Wat er precies verandert

Een gemeld lek kan voortaan het label "easily discoverable" krijgen: makkelijk te ontdekken. Dat label is bedoeld voor problemen die met een eenvoudige vraag aan een taalmodel boven water komen. Voor zulke lekken wordt de reparatie naar alle onderhouden versies teruggezet, een zogeheten backport. Daarna volgt zo snel mogelijk een nieuwe release, samen met een security advisory die uitlegt wat er mis was. Lekken die niet in die categorie vallen, blijven het oude schema volgen dat afhangt van de ernst.

Poinsot schreef dat grote taalmodellen de lat om bepaalde soorten fouten te vinden "drastically reduced" hebben, dus flink hebben verlaagd. Dat geldt ook voor het opsporen van een fix die stilletjes in de code is meegegeven. Juist dat laatste punt is interessant voor ervaren lezers. Een backport naar oudere versies is in de openbare code te zien. Wie de wijzigingen door een AI-model haalt, ziet al snel waar het lek zat. Een geheime reparatie levert volgens Poinsot dan weinig op. Het embargo zou het lek nauwelijks beschermen en alleen de beschikbaarheid van een gerepareerde versie vertragen.

Waarom dit verder gaat dan Bitcoin Core

Voor wie minder thuis is in softwarebeveiliging: een embargo werkt alleen zolang de verdediger meer weet dan de aanvaller. AI maakt die informatievoorsprong in rap tempo kleiner. Deze zomer werd dat in het bitcoin-ecosysteem pijnlijk duidelijk. De vrijwillige Bitcoin Red Team begon aan een race om AI-vindbare fouten eerder te vinden dan kwaadwillenden. Volgens Crypto Briefing haalden zestien vrijwilligers met open AI-modellen 390 open-source projecten door in ongeveer dertig uur. Ze vonden 85 kritieke en 635 ernstige kwetsbaarheden. Een AI-audit begin augustus leverde bijna 5.000 meldingen op. Red Team-lid Calle vatte de stemming destijds samen op X: "Everything is broken, Bitcoin is burning."

Bitcoin Core is daarmee een van de eerste grote open-source projecten die zijn openbaarmakingsbeleid aanpast aan de nieuwe situatie. Volgens dit beleid is security through obscurity geen bruikbare verdediging meer voor fouten die een chatbot kan vinden.

De keerzijde voor node-operators

De nieuwe aanpak heeft ook nadelen. De bitcoin-gemeenschap is bewust traag met upgraden, omdat een overhaaste update zelf ook risico's meebrengt. Snellere releases betekenen minder tijd om te testen. Daarnaast verschijnen de details van een lek tegelijk met de patch. Wie niet direct bijwerkt, draait dus software waarvan de zwakke plek openbaar is. Voor iedereen die een eigen node draait, wordt het dus belangrijker om advisories te volgen en kleine updates sneller te installeren. Het beleid gaat er vanuit dat aanvallers deze lekken toch wel vinden. Dan is het beter dat node-operators het meteen weten en een patch kunnen installeren.