Bitcoin Core developeri menjaju način na koji prijavljuju i popravljaju određene bezbednosne propuste nakon što su alati zasnovani na veštačkoj inteligenciji značajno olakšali pronalaženje grešaka u softveru.
Do sada su pojedini propusti mogli da ostanu tajni mesecima kako potencijalni napadači ne bi saznali za njih pre nego što većina korisnika instalira bezbednosnu zakrpu.
Međutim, takav pristup postaje sve manje efikasan u trenutku kada moderni AI modeli mogu da pronađu neke greške praktično nakon jednog jednostavnog upita.
Bitcoin Core zato uvodi novo pravilo: ako se proceni da AI može lako ponovo da otkrije određenu ranjivost, zakrpa i bezbednosno upozorenje biće objavljeni mnogo brže.
Bitcoin Core menja dugogodišnji pristup bezbednosnim propustima
Bitcoin Core je osnovni softver koji koristi veliki deo Bitcoin mreže.
Nodeovi koji koriste Bitcoin Core proveravaju transakcije, blokove i pravila mreže, zbog čega svaki ozbiljniji propust u ovom softveru može imati velike posledice.
Do sada je Bitcoin Core koristio sistem u kojem se vreme objavljivanja sigurnosnog problema određivalo prema njegovoj ozbiljnosti.
Manji problemi obično su javno objašnjavani dve nedelje nakon izlaska sledeće velike verzije softvera.
Kod ozbiljnijih ranjivosti detalji su mogli da ostanu tajni mnogo duže, čak dok poslednja pogođena verzija softvera ne izađe iz perioda zvanične podrške.
Ideja je bila da korisnici prvo instaliraju zakrpu
Stari sistem imao je jednostavnu logiku.
Developeri bi otkrili grešku, napravili zakrpu i uključili je u novu verziju Bitcoin Corea.
Detalji o ranjivosti ne bi odmah bili objavljeni.
Time bi node operatori dobili dovoljno vremena da ažuriraju softver pre nego što potencijalni napadači saznaju gde se problem nalazi.
Tek kada bi dovoljno vremena prošlo, developeri bi javno objasnili ranjivost.
Ovakav pristup godinama je imao smisla jer je pronalaženje ozbiljnih softverskih propusta zahtevalo veliko tehničko znanje i dosta vremena.
Veštačka inteligencija sada menja tu računicu.
AI je dramatično smanjio prag za pronalaženje grešaka
Antoine Poinsot iz Chaincode Labsa, developer koji je predložio promenu pravila, naveo je da je Bitcoin ekosistem poslednjih meseci zabeležio rast broja prijavljenih sigurnosnih problema koji se relativno lako mogu ponovo pronaći.
Glavni razlog su veliki jezički modeli.
AI danas može da analizira ogromne količine programskog koda, prepozna problematične obrasce i ukaže na potencijalne propuste mnogo brže nego ranije.
To ne znači da AI može automatski da pronađe svaku kritičnu grešku.
Međutim, za određene klase problema alatima je potreban samo relativno jednostavan prompt.
Ako AI može ponovo da pronađe propust za nekoliko minuta, skrivanje detalja mesecima više ne pruža isti nivo zaštite.
Ranjivosti koje AI lako nalazi dobiće posebnu kategoriju
Prema novim pravilima, developeri će tokom procene sigurnosne prijave moći da označe ranjivost kao lako otkrivenu.
U praksi se pod tim podrazumeva problem koji je moguće pronaći jednostavnim upitom upućenim modernom AI modelu.
U takvim slučajevima Bitcoin Core više neće čekati mesecima pre nego što javno upozori korisnike.
Zakrpa će biti uključena u sve još podržane verzije Bitcoin Corea, a nova point release verzija biće objavljena što je pre moguće.
Istovremeno će biti objavljeno i bezbednosno upozorenje sa određenom količinom informacija o problemu.
Zašto je stari embargo postao potencijalno opasan?
Ako developeri znaju za grešku, ali je kriju godinu dana, pretpostavka je da napadači tokom tog vremena neće sami pronaći isti problem.
AI je tu pretpostavku ozbiljno oslabio.
Ako chatbot može samostalno da pronađe ranjivost analizirajući javno dostupan kod, onda embargo ne sprečava nužno napadače da saznaju za problem.
Istovremeno sprečava obične korisnike da dobiju jasnu informaciju da treba hitno da ažuriraju svoj softver.
Bitcoin Core developeri zato smatraju da kod lako otkrivenih problema dugo skrivanje ranjivosti više može da odloži zaštitu korisnika nego da im pomogne.
Brže zakrpe donose i novi rizik
Nova politika ipak ima svoju cenu.
Kada se bezbednosna zakrpa objavljuje veoma brzo, ona prolazi kroz kraći period testiranja.
Developeri često koriste izraz „bake time“ za period tokom kojeg nova izmena ostaje u razvojnim verzijama kako bi mogla detaljno da se proveri pre širokog puštanja korisnicima.
Kod hitnih sigurnosnih ažuriranja tog vremena će biti manje.
To znači da se Bitcoin Core suočava sa klasičnim sigurnosnim kompromisom.
Ako se zakrpa objavi kasno, napadači možda mogu sami pronaći ranjivost.
Ako se objavi brzo, postoji manja količina vremena za detaljno testiranje same zakrpe.
Developeri se nisu potpuno složili oko novih pravila
Promena bezbednosne politike izazvala je raspravu među Bitcoin developerima.
Dugogodišnji Bitcoin sigurnosni istraživač Antoine Riard predložio je da developeri zadrže mogućnost da u određenim situacijama objave zakrpu bez detaljnog sigurnosnog upozorenja.
Ideja bi bila da se korisnicima dostavi popravka, dok bi informacije koje mogu pomoći napadačima ostale tajne još neko vreme.
Poinsot se tome usprotivio.
Njegov argument je da upozorenje korisnicima bez ikakvih detalja može izazvati dodatni rizik.
Ljudi bi mogli panično da prelaze na novu verziju čak i kada ih konkretna ranjivost ne pogađa, što može stvoriti nepotrebne probleme tokom masovne i ubrzane migracije.
AI sigurnosni istraživači pronašli skoro 5.000 potencijalnih problema
Promena Bitcoin Core politike nije došla bez konkretnog razloga.
Tokom leta grupa od 16 developera, koja sebe naziva Bitcoin Red Team, koristila je AI modele za analizu velikog broja Bitcoin projekata.
Za približno jedan dan analizirali su 390 projekata povezanih sa Bitcoin ekosistemom.
AI sistemi prijavili su ukupno 4.962 potencijalna sigurnosna problema.
Od toga je 85 označeno kao kritično.
Naravno, svaki nalaz AI sistema ne predstavlja automatski stvarnu ranjivost.
Rezultati zahtevaju dodatnu proveru stručnjaka.
Međutim, sama količina pronađenih problema pokazala je koliko se promenila ekonomija sigurnosnog istraživanja.
Ono što je nekada zahtevalo dane sada može trajati nekoliko minuta
Tradicionalno sigurnosno testiranje zahteva developera ili istraživača koji dobro poznaje programski jezik, arhitekturu projekta i različite metode napada.
Takva analiza može trajati danima ili nedeljama.
AI sada može da pregleda hiljade linija koda i odmah predloži mesta koja izgledaju sumnjivo.
Istraživač zatim može da se fokusira samo na najzanimljivije rezultate.
To značajno povećava produktivnost legitimnih sigurnosnih stručnjaka.
Problem je što istu tehnologiju mogu koristiti i napadači.
BTCPay Server ranjivost brzo je počela da se koristi u napadima
Jedan od ozbiljnijih primera dogodio se upravo nakon rada Bitcoin Red Teama.
Grupa je privatno prijavila ranjivost u BTCPay Serveru, popularnom open-source sistemu koji trgovcima omogućava da prihvataju Bitcoin plaćanja.
Samo nekoliko dana kasnije ista slabost počela je da se iskorišćava na aktivnim serverskim instalacijama.
Napadi su pogodili Lightning nodeove koje trgovci koriste za obradu manjih i bržih Bitcoin plaćanja.
Ovaj događaj pokazao je koliko kratko može biti vreme između otkrivanja problema i njegovog praktičnog iskorišćavanja.
Core Lightning takođe dobio AI upozorenja
AI alati pronašli su probleme i u Core Lightningu, jednoj od glavnih implementacija Bitcoin Lightning Networka.
Developer tim je u početku bio suočen sa velikim brojem AI generisanih prijava, što može predstavljati poseban problem za male razvojne timove.
Međutim, nakon provere pokazalo se da su neki od prijavljenih problema stvarni.
Operatorima je u jednom trenutku savetovano da prekinu određene veze dok problem ne bude rešен.
Ovo pokazuje i drugu stranu AI sigurnosnog buma.
Developeri će morati da obrade mnogo više prijava nego ranije, a potrebno je brzo razlikovati stvarne ranjivosti od lažnih alarma.
AI može pomoći napadačima, ali i developerima
Veštačka inteligencija nije samo sigurnosna pretnja.
Isti alati koji napadaču mogu pomoći da pronađe grešku mogu developerima omogućiti da problem otkriju pre njega.
AI može pregledati novi kod, tražiti poznate kategorije sigurnosnih propusta i analizirati izmene pre nego što budu uključene u konačnu verziju softvera.
U tom smislu počinje svojevrsna trka.
Developeri koriste AI kako bi greške pronašli što ranije, dok napadači koriste slične modele pokušavajući da ih pronađu pre nego što budu popravljene.
Coldcard incident pokazao koliko softverska greška može biti skupa
CoinDesk je podsetio i na veliki incident povezan sa Coldcard hardverskim novčanicima.
Ranjivost u firmwareu koja je postojala još od 2021. godine omogućila je napadačima da kompromituju sredstva određenih korisnika.
Tokom jednog napada 30. jula pomereno je oko 594 BTC-a za samo 25 minuta.
Ukupni gubici povezani sa više talasa napada kasnije su se približili vrednosti od 114 miliona dolara.
Važno je naglasiti da ovu konkretnu grešku nije prvo pronašla veštačka inteligencija.
Međutim, Coldcard je nakon incidenta naveo da je AI pomogao developerima da pronađu dodatne probleme tokom bezbednosnih provera.
Problem nije samo Bitcoin Core
Nova situacija utiče na čitav Bitcoin ekosistem.
Bitcoin Core je najvažniji deo infrastrukture, ali oko njega postoje stotine drugih projekata.
Tu su:
wallet aplikacije, Lightning implementacije, payment serveri, hardware wallet firmware, berze, custody sistemi i različiti alati za developere.
Svaki od tih proizvoda može sadržati greške.
Ako AI može da analizira njihove javne GitHub repozitorijume, napadači više ne moraju nužno da budu vrhunski stručnjaci za svaki pojedinačni projekat.
Dovoljno je da znaju kako da koriste odgovarajući AI alat i kako da provere rezultate koje dobiju.
Open-source model dobija novu sigurnosnu dinamiku
Bitcoin je open-source projekat.
To znači da svako može pregledati njegov kod.
Decenijama se to smatralo jednom od velikih sigurnosnih prednosti Bitcoina jer hiljade developera mogu da proveravaju implementaciju.
Ali isti princip znači da i AI modeli imaju potpun pristup kodu koji analiziraju.
Open-source nije zbog toga postao manje bezbedan.
Naprotiv, legitimni istraživači imaju isti pristup i mogu koristiti AI za ranije pronalaženje problema.
Međutim, vreme između nastanka greške, njenog otkrivanja i potencijalnog napada može postati mnogo kraće.
Bezbednosna politika mora da prati brzinu AI razvoja
Pre samo nekoliko godina bilo je razumno pretpostaviti da kompleksnu ranjivost poznaje samo veoma mali broj ljudi.
Danas developer može da sakrije detalje problema, ali ako sama zakrpa postoji u javnom kodu, AI potencijalno može da uporedi staru i novu verziju i zaključi šta je popravljeno.
To se naziva analizom „covert fix“ izmene.
AI može primetiti malu promenu u kodu, analizirati zbog čega je napravljena i pokušati da rekonstruiše originalnu ranjivost.
U takvoj situaciji skrivanje bezbednosnog upozorenja ima ograničenu vrednost.
Bitcoin Core zato bira brže upozoravanje korisnika
Nova politika praktično priznaje novu realnost.
Ako problem može lako da bude ponovo otkriven pomoću AI modela, Bitcoin Core će pokušati da:
brže napravi zakrpu,
primeni je na sve podržane verzije,
objavi novu verziju što je pre moguće,
i istovremeno upozori korisnike da postoji bezbednosni problem.
Cilj je da vlasnici nodeova dobiju priliku da se zaštite pre nego što ranjivost počne masovno da se iskorišćava.
Još nijedna greška nije obrađena prema novom pravilu
Iako je promena bezbednosne politike već prihvaćena, još nijedna Bitcoin Core ranjivost nije javno označena i obrađena prema novoj kategoriji.
Pravi test sistema zato će doći tek kada se pojavi prvi problem koji developeri procene kao dovoljno jednostavan da ga AI može ponovo pronaći.
Tada će se videti koliko brzo Bitcoin Core može da pripremi zakrpe, distribuiše novu verziju i obavesti veliki broj node operatora.
AI menja pravila sajber bezbednosti
Ovo nije problem specifičan samo za kriptovalute.
AI modeli sve češće se koriste za pronalaženje sigurnosnih propusta u tradicionalnom softveru, web aplikacijama i cloud sistemima.
Razlika kod Bitcoina je u tome što eventualna greška može direktno uticati na finansijsku infrastrukturu vrednu više od bilion dolara.
Bitcoin nema centralnu kompaniju koja može jednostavno prisiliti sve korisnike da instaliraju ažuriranje.
Svaki operator sam odlučuje kada će ažurirati svoj node.
Zbog toga je način komunikacije o sigurnosnim problemima posebno važan.
Da li AI predstavlja novu pretnju Bitcoinu?
AI sam po sebi ne predstavlja dokaz da je Bitcoin mreža postala nebezbedna.
Naprotiv, Bitcoin Core developeri menjaju pravila upravo zato što žele da se prilagode novim mogućnostima tehnologije.
Najveća promena je u brzini.
Greške koje su ranije možda bile dovoljno složene da mesecima ostanu nepoznate danas mogu biti pronađene mnogo brže.
Zbog toga će i sigurnosni odgovor morati da bude brži.
Zaključak
Bitcoin Core menja svoju dugogodišnju politiku objavljivanja ranjivosti jer AI alati sve lakše pronalaze određene vrste grešaka u kodu.
Ako developeri procene da se ranjivost može otkriti jednostavnim promptom upućenim velikom jezičkom modelu, više neće čekati mesecima pre nego što objave bezbednosno upozorenje.
Zakrpa će biti distribuirana svim podržanim Bitcoin Core verzijama što je pre moguće, zajedno sa informacijama koje korisnicima omogućavaju da procene rizik i ažuriraju svoj softver.
Promena dolazi nakon velikog porasta AI-assisted sigurnosnih istraživanja. Grupa Bitcoin Red Team analizirala je 390 Bitcoin projekata za približno jedan dan i identifikovala 4.962 potencijalna problema, uključujući 85 označenih kao kritične.
Primeri iz BTCPay Servera, Core Lightninga i Coldcard ekosistema dodatno pokazuju koliko ozbiljne posledice softverske ranjivosti mogu imati.
Veštačka inteligencija zato istovremeno predstavlja novi alat za napadače i veoma moćan alat za odbranu.
Za Bitcoin developere najveći izazov više nije samo pronaći i popraviti grešku.
