Bitcoin Core et la gestion des vulnérabilités de sécurité
Bitcoin Core annonce que garder certaines vulnérabilités secrètes n’offre plus une protection significative, en raison de la chasse aux bugs assistée par l’intelligence artificielle (IA). L’équipe de Bitcoin Core change sa manière de gérer les vulnérabilités de sécurité, expliquant que les grands modèles de langage (LLM) ont rendu certaines failles logicielles beaucoup plus faciles à découvrir.
Changement de politique de divulgation
Dans un courriel envoyé à la liste de diffusion des développeurs de Bitcoin jeudi, Antoine Poinsot, développeur de Bitcoin Core, a déclaré qu’auparavant, les vulnérabilités étaient généralement gardées sous embargo pendant de longues périodes pour permettre aux utilisateurs de mettre à jour leurs systèmes avant que les détails ne deviennent publics. Maintenir ce secret signifiait souvent que les corrections ne pouvaient pas être rétroportées aux anciennes versions logicielles, laissant les utilisateurs dans l’attente de la prochaine version majeure.
« La période d’embargo n’apporte que peu de bénéfices, mais retarde la disponibilité d’une version corrigée, » a-t-il déclaré. « Nous mettons donc à jour notre politique de divulgation pour tenir compte de cette réalité. »
Ce changement intervient alors que la recherche en sécurité assistée par l’IA exerce une pression croissante sur les développeurs de l’écosystème logiciel de Bitcoin. Selon la politique mise à jour, les vulnérabilités jugées facilement découvrables recevront des corrections dès que possible sur toutes les versions majeures maintenues, avec des avis de sécurité publiés simultanément avec les mises à jour. « Cette classification s’applique aux vulnérabilités qui peuvent être découvertes avec un effort minimal, comme à travers une simple invite LLM, » a-t-il précisé.
Calendrier de divulgation basé sur la gravité
D’autres vulnérabilités continueront de suivre des calendriers de divulgation basés sur leur gravité, allant des failles critiques menaçant la sécurité fondamentale de Bitcoin aux bugs à faible risque ayant un impact limité sur les nœuds individuels. Bitcoin Core a indiqué que les vulnérabilités de faible gravité seront divulguées deux semaines après la sortie d’une version majeure contenant la correction, tandis que celles de gravité moyenne et élevée seront divulguées deux semaines après que la dernière version affectée atteigne sa « fin de vie », généralement un an après la sortie de la correction dans la nouvelle version majeure.
« Les bugs critiques ne sont pas couverts par la politique standard, car ils nécessiteraient très probablement une procédure ad hoc, » a-t-il ajouté.
Luke de Wolf, animateur de l’émission Bitcoin Infinity et auteur de « Defending Bitcoin », a déclaré : « J’ai été en désaccord avec l’approche d’Antoine en matière de sécurité par le passé, mais c’est une bonne mise à jour. »
Contexte et implications
En août, l’équipe rouge bénévole de Bitcoin a signalé près de 5 000 problèmes potentiels à travers 390 projets, bien que seulement environ un cinquième de ces découvertes ait été reproduit à ce moment-là. Ce mois-là, les développeurs de Core Lightning ont exhorté les opérateurs à mettre à jour ou à mettre leurs nœuds hors ligne après avoir reçu plusieurs rapports de vulnérabilités générés par l’IA, tout en retenant les détails techniques pendant deux semaines.
Magazine : Nouvelle interdiction de DeepSeek aux États-Unis, les liens crypto Suisse-Asie se renforcent : Asia Express. Obtenez plus de Cointelegraph sur Google et ajoutez Cointelegraph comme source préférée pour vos recherches Google.
