Bitcoin Core modifie sa politique de sécurité alors que l’IA facilite la découverte des failles

Bitcoin Core modifie la manière dont il gère les vulnérabilités de sécurité, expliquant que les grands modèles de langage ont rendu certaines failles logicielles nettement plus faciles à découvrir. 

Dans un e-mail adressé jeudi à la liste de diffusion Bitcoin Development, le développeur de Bitcoin Core Antoine Poinsot a déclaré que, par le passé, les vulnérabilités étaient généralement maintenues sous embargo pendant de longues périodes afin de laisser aux utilisateurs le temps d’effectuer la mise à niveau avant que les détails ne soient rendus publics.

Maintenir ce secret signifiait généralement que les correctifs ne pouvaient pas être rétroportés vers les anciennes versions du logiciel, laissant les utilisateurs attendre la prochaine version majeure. Toutefois, Poinsot a déclaré que les LLM avaient rendu certaines failles si faciles à redécouvrir que retarder les correctifs n’offrait que peu de protection.

« La période d’embargo ne fait guère plus que retarder la disponibilité d’une version corrigée », a déclaré Poinsot. « Nous mettons donc à jour notre politique de divulgation pour en tenir compte. »

Cette modification intervient alors que la recherche en sécurité assistée par l’IA exerce une pression sur les développeurs de tout l’écosystème logiciel de Bitcoin.

Selon la politique mise à jour, les vulnérabilités jugées « faciles à découvrir » feront l’objet de correctifs dès que possible dans toutes les versions majeures encore maintenues, tandis que des avis de sécurité seront publiés en même temps que les mises à jour. 

« Cette classification s’applique aux vulnérabilités qui peuvent être découvertes avec un minimum d’effort, par exemple au moyen d’une simple requête adressée à un LLM », indique le texte. 

Article connexe : Une faille PHP suscite des millions de tentatives d’exploitation, avertit le PDG de Cloudflare

Les autres vulnérabilités continueront de suivre des calendriers de divulgation fondés sur leur gravité, allant des failles critiques qui menacent la sécurité fondamentale de Bitcoin aux bugs moins risqués ayant un impact limité sur des nœuds individuels. 

Bitcoin Core a déclaré que les vulnérabilités de faible gravité seraient divulguées deux semaines après la publication d’une version majeure contenant le correctif, tandis que les vulnérabilités de gravité moyenne et élevée seraient divulguées deux semaines après que la dernière version affectée aura atteint sa « fin de vie », généralement un an après la publication du correctif dans la nouvelle version majeure. 

« Les bugs critiques ne sont pas pris en compte dans la politique standard, car ils nécessiteraient très probablement une procédure ad hoc », a-t-il indiqué.

« Par le passé, je n’étais pas d’accord avec l’approche d’Antoine en matière de sécurité, mais il s’agit d’une bonne mise à jour », a déclaré Luke de Wolf, animateur de l’émission Bitcoin Infinity Show et auteur de « Defending Bitcoin ».  

 En août, la Bitcoin Red Team, composée de bénévoles, a signalé près de 5 000 problèmes potentiels dans 390 projets, bien qu’à ce moment-là, seuls environ un cinquième de ses résultats aient été reproduits.

Ce mois-là, les développeurs de Core Lightning ont exhorté les opérateurs à effectuer une mise à niveau ou à mettre leurs nœuds hors ligne après avoir reçu plusieurs rapports de vulnérabilités générés par l’IA, tout en retenant les détails techniques pendant deux semaines.

Magazine : Nouvelle interdiction de DeepSeek aux États-Unis, les liens crypto entre la Suisse et l’Asie se renforcent : Asia Express