比特币核心更新安全披露政策：低风险漏洞将即时公开

比特币核心（Bitcoin Core）开发者 Antoine Poinsot 于10月22日提交了项目安全政策的更新提案。该变更聚焦于漏洞披露机制，不涉及加密算法或私钥安全问题，而是针对漏洞发现后如何处理信息透明度与用户升级时间之间的权衡。

为何保密期正逐渐失效？

近年来，开发团队观察到大量低复杂度漏洞被重复报告，且许多可通过简单提示输入语言模型快速定位。这些工具不仅能识别代码缺陷，还能发现未明确标注的安全修复内容——即使修复已合并进主干代码，也难逃模型分析。

由于比特币核心为开源项目，修复代码在正式发布前即对外可见。若依赖保密期来隐藏漏洞细节，反而导致攻击者提前掌握信息，同时延迟用户获取补丁的时间。开发者指出：“保密期除了延缓修复可用性外，收效甚微。”

新规则下的披露时间线

根据新政策，不同严重程度的漏洞将按以下方式处理：

• 低严重程度：修复程序随主要版本发布后两周内公开，部署于下一个主版本。
• 中等与高严重程度：在最后一个受影响版本生命周期结束后两周内公开，通常距首次修复约一年，仍集中于下一主版本发布。
• 关键严重程度：超出常规流程，可能通过临时补丁紧急响应，随时可发布。
• 易于发现的漏洞（新增类别）：与修复版本同步公开，安全公告中说明，并立即向所有正在维护的主要版本推送点发布更新。

这类漏洞定义为只需极少投入即可复现，包括通过通用提示触发语言模型生成的分析结果。尽管不限于AI发现，但其存在显著改变了传统保密机制的有效性。

哪些节点能获得补丁？

比特币核心维护策略仅覆盖最新的三个主要版本：31.x、30.x 和 29.x 当前处于维护状态。28.x 版本已于2026年4月19日结束生命周期，不再接收任何安全更新。

运营商若仍在运行28.x或更早版本，将无法获得此次及后续的安全修复。项目每六至七个月发布一次主版本，预计32.0版将在未来推出，届时29.x将退出维护范围。

向后移植修复工作高度依赖人工资源，随着版本老化，技术难度上升，志愿者数量减少，使得跨版本整合变得愈发困难。此前关于支持CJDNS隐私网络的争议也反映出维护能力对功能扩展的制约。

透明度与升级节奏的平衡

新政策体现了开发者在透明度与用户升级时间之间的权衡。虽然公开详细信息可能让攻击者更快了解漏洞，但对于那些容易被自动工具复现的问题，快速发布补丁比维持信息封闭更为关键。

未来第一份依据新规则发布的安全公告，将验证点发布能否迅速覆盖全部三个维护版本。同时，32.0版本的上线也将进一步缩小可接收修复的节点群体。

本文仅供参考，不构成财务或投资建议。节点运营商应遵循官方比特币核心发布说明，使用校验和与数字签名验证下载文件的真实性与完整性。