比特币核心调整安全披露政策应对AI漏洞发现新挑战

比特币核心（Bitcoin Core）正在调整其长期安全披露策略，以应对人工智能技术带来的新威胁。自10月22日起，项目引入“易于发现”漏洞分类，允许维护者在确认问题可被简单提示即复现后，立即发布点版本补丁并同步公开安全公告，绕过原有的长达一年保密期。

AI降低漏洞发现门槛成变革导火索

这一变化源于大量报告指出，部分安全缺陷正因大型语言模型（LLMs）的普及而变得极易重现。Chaincode Labs 贡献者 Antoine Poinsot 在合并拉取请求当日表示：“当前可轻易重现实的漏洞数量激增，主要归因于语言模型显著降低了识别隐蔽漏洞或修复模式的难度。”

旧有保密机制已难适应现实风险

过去，中高严重性漏洞需在最后一个受影响版本生命周期结束后两周才对外披露，通常约一年时间。该设计初衷是为节点运营商提供充足升级窗口，尤其考虑到比特币核心作为参考实现，其升级节奏缓慢，且修复难以向后移植。

然而，当一个漏洞只需一句提示即可被重新发现时，保密已无实际意义。Poinsot 明确指出：“对这类问题维持保密期不仅无效，反而延迟了修复程序的可用性。”

新政策：从“一年”到“尽快”的转变

修订后的政策设立第三类披露路径——“易于发现”类别，定义为“仅需极小努力即可通过简单提示复现的漏洞”。一旦归类，维护者将立即采取行动：将修复向后移植至当前支持的三个主要版本分支，并快速推出点版本，同时发布完整安全公告。

低严重性漏洞仍按两周周期处理；中高严重性漏洞保留原有约一年的披露时钟；关键性漏洞（如可能引发币种被盗、通胀或链分裂）则继续个案处置，不受此新规影响。

更快响应背后的权衡与风险

尽管提速提升了防御效率，但维护者也承认潜在代价。Poinsot 指出：“快速发布的补丁在开发分支中的测试和稳定时间更短，可能增加引入新问题的风险。”

讨论中亦有分歧：部分成员主张提前披露缓解建议，避免攻击者监控代码库；另一些人则担心模糊警告引发不必要的迁移潮。最终决定保持公告与补丁同步，确保信息透明且精准。

首次应用将在未来考验

目前尚无漏洞被正式标记为“易于发现”，此次变更属于流程重构而非即时事件。真正的检验将在首个符合标准的漏洞出现时——届时补丁与公告将同步抵达，标志着比特币核心进入更敏捷的安全响应时代。

这不仅是技术调整，更是对整个生态系统的信号：当漏洞挖掘成本趋近于零，秘密不再具有价值，及时修补才是保障网络安全的核心逻辑。