El equipo de desarrollo de Bitcoin Core modificó su política de seguridad para acelerar la corrección y divulgación de vulnerabilidades que la inteligencia artificial puede redescubrir con facilidad.
El cambio, fusionado el 22 de octubre, crea una categoría de fallos "fácilmente detectables" que recibirán parches urgentes y avisos públicos sin esperar los períodos de embargo que podían extenderse cerca de un año.
Durante la evaluación inicial de un reporte, los mantenedores podrán clasificar una vulnerabilidad como "fácilmente detectable". La categoría incluye fallos que pueden encontrarse con un esfuerzo mínimo, por ejemplo, mediante una consulta simple a un modelo de lenguaje, aunque no está limitada a vulnerabilidades descubiertas con IA.
Para esos casos, Bitcoin Core aplicará el parche a todas las versiones mayores mantenidas, publicará una versión puntual lo antes posible y emitirá un aviso de seguridad con detalles del problema al mismo tiempo que la actualización.
El objetivo es evitar que un fallo permanezca oculto durante meses cuando un atacante podría redescubrirlo rápidamente con herramientas públicas.
Antoine Poinsot, desarrollador de Bitcoin Core, explicó que los modelos de lenguaje grandes hicieron que algunos errores sean tan fáciles de redescubrir que mantenerlos en secreto ya no aporta una protección significativa.
Según su diagnóstico, el embargo termina retrasando la disponibilidad de una versión corregida sin impedir que un tercero encuentre la vulnerabilidad.
El cambio llega después de un período en el que herramientas de IA ayudaron a identificar cientos de posibles fallas en el ecosistema Bitcoin antes de que los investigadores humanos las detectaran. Esa aceleración en la capacidad de análisis de código redujo la eficacia de las políticas tradicionales de divulgación coordinada.
Las vulnerabilidades que no entren en la nueva categoría mantienen el esquema basado en gravedad. Los errores de baja severidad se divulgan dos semanas después de que se publica una versión mayor que incluye la corrección.
Los fallos de severidad media y alta permanecen bajo embargo hasta que la última versión afectada alcanza su fin de vida útil, un plazo que suele rondar un año desde que el parche aparece por primera vez en una versión mayor.
Se trata de un esquema orientado a dar tiempo a los operadores de nodos para actualizar sin exponer detalles técnicos que puedan facilitar ataques.
Las vulnerabilidades críticas quedan fuera del procedimiento estándar. Bitcoin Core considera que los errores capaces de permitir robo de monedas a nivel de protocolo, inflar la oferta de BTC o provocar una división permanente de la cadena requieren un tratamiento ad hoc, definido caso por caso.
La nueva política no reemplaza el modelo general de divulgación coordinada. Lo que hace es incorporar una vía rápida para un tipo específico de riesgo: aquellos fallos cuya rediscovery es tan sencilla que la confidencialidad prolongada deja de ser una ventaja defensiva.
El ajuste fue propuesto por Poinsot el 16 de octubre mediante un pull request en GitHub y fusionado el 22 de octubre. La modificación también precisó que el requisito de dos semanas de aviso previo antes de la divulgación pública aplica solo a vulnerabilidades que permanecen bajo embargo.