Bitcoin Core 调整安全披露规则，应对 AI 快速发现代码漏洞

2026年10月23日上午8:03（美国东部时间）

阅读时长3分钟

摘要

比特币网络大部分节点所运行的软件Bitcoin Core，将不再对AI能够再次发现的漏洞修复隐瞒数月之久。此前，其维护者于周四合并了一项变更，修改了项目的安全政策。

Core此前会按严重程度对每一份上报的漏洞进行分级，并据此安排披露时间。低严重性缺陷在下一个大版本发布两周后公开。中、高严重性缺陷则一直处于保密状态，直到最后一个受影响版本停止支持两周之后。

其逻辑是：悄悄发布修复、很久之后再解释，可以避免攻击者在运行节点（即检查和转发每笔比特币交易的计算机）的人完成升级之前得知漏洞的存在。

但旧规则建立在一个发现漏洞需要专业技能的世界里，而AI工具的普及已经打破了这一流程的运作方式。

“我们最近发现，能够被轻易（重新）发现的安全漏洞报告数量有所增加，”提出该变更的Chaincode Labs开发者Antoine Poinsot在其提案中表示。

“这在很大程度上是因为LLM大幅降低了发现某些类别问题或识别隐蔽修复的门槛。”

运作方式

Core现在可以在分诊阶段将某个漏洞标记为易于发现，实际上就是指“只需向LLM输入简单提示即可发现”的漏洞。这类漏洞的修复会被复制回Core仍支持的所有版本，在“尽快”发布的点版本中推出，同时附上一份包含部分细节的安全公告。

“对于这些易于发现的问题，这样做是错误的权衡，”该政策在谈及旧保密期时写道。“保密期收效甚微，却延迟了修复版本的可用性。”

然而，Poinsot写道，修复在到达用户之前，“不会有那么多‘烘焙时间’”用于测试。

并非所有开发者都认同应该走到哪一步。长期从事比特币安全研究的Antoine Riard希望Core保留这样的选项：在不发布公告的情况下发布修复，并逐案决定是否隐瞒细节。

Poinsot拒绝了这一提议。“在没有任何细节的情况下提醒用户存在安全漏洞，可能会不必要地制造更多风险，”他写道，并指出这可能导致“本不会受影响的用户仓促迁移”。

一个由16名开发者组成的志愿者团体自称“比特币红队”（Bitcoin Red Team），在7月下旬用大约一天时间对390个比特币项目运行了AI模型，并记录了4,962项发现，其中85项为严重问题。

几天之内，该团体私下报告的一个BTCPay Server漏洞就在活跃的商户服务器上遭到利用。这些攻击耗尽了商户用于接收小额比特币支付的闪电节点。主要闪电网络实现之一的Core Lightning在收到其小团队、后来被证实为真实的AI生成报告后，通知运营者断开连接。

更大的损失来自一个根本不需要 AI 去发现的漏洞。Coldcard 硬件钱包固件中一个自 2021 年起便潜伏的缺陷，让攻击者在 7 月 30 日于 25 分钟内转走了 594 BTC，四轮扫荡造成的损失接近 1.14 亿美元。Coldcard 发布修复程序时表示，AI 在此过程中帮助发现了更多漏洞。

目前尚未有漏洞在新规则下被标记出来，但一个任何模型只需一次提示就能重新生成的秘密，本就无法长久保护用户。