• 비트코인 코어는 인공지능 모델에 간단한 프롬프트로 발견할 수 있는 취약점을 빠르게 공개하고 패치할 예정이며, 약 1년간 지속될 수 있는 금지 조치를 대체합니다.
• 유지관리자들은 이 변경이 쉽게 재발견될 수 있는 결함에 대한 수정을 가속화할 것이라고 말했지만, 업데이트는 사용자에게 도달하기 전에 덜 테스트될 수 있습니다.
• 이 정책은 390개의 비트코인 프로젝트를 검토하여 4,962개의 잠재적 결함을 식별하고 그 중 85개가 치명적인 것으로 확인된 AI 지원 보안 보고서의 급증에 따른 것입니다.

비트코인 네트워크의 대부분이 실행되는 소프트웨어인 비트코인 코어는 AI가 다시 찾을 수 있는 버그에 대해 몇 달간 버그 수정을 보류하는 것을 중단할 예정이며, 목요일에 프로젝트의 보안 정책에 대한 변경 사항을 병합했습니다.

코어는 이전에 보고된 모든 취약점을 심각도에 따라 등급을 매기고 이에 따라 공개 시점을 조정했습니다. 낮은 심각도의 결함은 다음 주요 버전이 출시된 후 2주 후에 공개되었습니다. 중간 및 높은 심각도의 결함은 마지막으로 영향을 받은 버전이 수명 종료에 도달한 후 2주 후까지 금지되었습니다.

이 논리는 수정 사항을 조용히 배포하고 나중에 설명함으로써 노드를 실행하는 사람들이 업그레이드하기 전에 공격자가 취약점을 알지 못하게 하는 것이었습니다.

하지만 오래된 규칙은 버그를 찾는 데 기술이 필요했던 세상을 위해 만들어졌으며, AI 도구의 확산은 그 과정이 작동하는 방식을 깨뜨렸습니다.

“우리는 최근에 쉽게 (재)발견할 수 있는 보안 취약점 보고서의 증가를 경험했습니다,”라고 변경 사항을 작성한 Chaincode Labs의 개발자 Antoine Poinsot는 그의 제안에서 말했습니다.

“이는 주로 LLM이 특정 유형의 문제를 찾거나 은밀한 수정을 식별하는 장벽을 크게 낮췄기 때문입니다.”

작동 방식

코어는 이제 분류 과정에서 발견하기 쉬운 버그로 플래그를 지정할 수 있으며, 이는 실제로 “LLM에 간단한 프롬프트로 발견할 수 있는” 버그를 의미합니다. 이러한 버그는 코어가 여전히 지원하는 모든 버전으로 복사되어 가능한 한 빨리 보안 권고와 함께 세부 사항을 포함하여 포인트 릴리스로 배포됩니다.

“발견하기 쉬운 이러한 문제에 대해, 이는 잘못된 절충안입니다,”라고 정책은 이전 금지 조치에 대해 읽습니다. “금지 기간은 거의 아무것도 달성하지 못하지만 수정된 릴리스의 가용성을 지연시킵니다.”

수정 사항은 사용자에게 도달하기 전에 테스트에서 “충분한 ‘베이크 타임’을 갖지 못할 것”이라고 Poinsot는 썼습니다.

모든 개발자가 얼마나 멀리 갈지에 대해 동의한 것은 아닙니다. 오랜 비트코인 보안 연구원인 Antoine Riard는 코어가 권고 없이 수정을 배포하고 경우에 따라 세부 사항을 보류하는 옵션을 유지하기를 원했습니다.

Poinsot는 거부했습니다. “세부 사항 없이 보안 취약점을 사용자에게 경고하는 것은 불필요하게 더 많은 위험을 초래할 수 있습니다,”라고 그는 썼으며, “영향을 받지 않을 사용자들이 서둘러 마이그레이션을 하게 될 수 있다”고 지적했습니다.

자신을 비트코인 레드 팀이라고 부르는 16명의 개발자 자원봉사 그룹은 7월 말 하루 만에 390개의 비트코인 프로젝트에 AI 모델을 실행하여 4,962개의 발견을 기록했으며, 그 중 85개가 치명적이었습니다.

며칠 만에 그룹이 비공개로 보고한 BTCPay 서버 결함이 실제 상인 서버에서 악용되었습니다. 이 공격은 상인들이 소액 비트코인 결제를 받기 위해 사용하는 라이트닝 노드를 소모시켰습니다. 주요 라이트닝 구현 중 하나인 코어 라이트닝은 AI 생성 보고서가 실제로 사실로 판명된 후 운영자들에게 연결을 끊으라고 지시했습니다.

AI가 필요 없는 버그에서 더 큰 손실이 발생했습니다. 2021년부터 잠복해 있던 Coldcard 하드웨어 지갑 펌웨어의 결함은 7월 30일 25분 만에 594 BTC를 소모하게 했으며, 손실은 4번의 소모를 통해 1억 1,400만 달러에 근접했습니다. Coldcard가 수정 사항을 배포했을 때, AI가 더 많은 버그를 잡는 데 도움이 되었다고 말했습니다.

아직 새로운 규칙에 따라 플래그가 지정된 버그는 없지만, 한 프롬프트로 어떤 모델이든 재생성할 수 있는 비밀은 사용자 보호에 오래 걸리지 않을 것입니다.