Puntos clave de la noticia:
- Bitcoin Core revisó su política porque los LLM facilitan redescubrir vulnerabilidades, creando una vía rápida para fallos considerados fáciles de encontrar.
- Esos problemas recibirán fixes mediante backport en versiones mantenidas, releases rápidas y avisos de seguridad publicados junto con las correcciones.
- Las demás vulnerabilidades conservarán calendarios basados en severidad, mientras los bugs críticos seguirán fuera del esquema estándar y los hallazgos generados por IA requerirán validación humana.
Bitcoin Core revisó su política de divulgación ante vulnerabilidades que los modelos de lenguaje pueden redescubrir fácilmente. En una actualización de la Bitcoin Development Mailing List, Antoine Poinsot explicó que los reportes han aumentado porque los LLM pueden identificar bugs o fixes encubiertos. Bitcoin Core acelerará los parches para fallos considerados fáciles de descubrir en lugar de mantenerlos bajo embargos prolongados. El cambio añade otra capa al mantenimiento del software de Bitcoin.
Los Bugs Fáciles de Redescubrir Recibirán Parches y Divulgación Más Rápidos
Bitcoin Core favorecía embargos más largos porque muchos usuarios actualizan lentamente, dando más tiempo antes de publicar detalles técnicos. Ese enfoque puede impedir backports y obligar a esperar una versión mayor. Para bugs que un atacante puede redescubrir con poco esfuerzo, los desarrolladores consideran que el secreto ofrece protección limitada mientras retrasa software corregido. El cambio llega tras atención sobre la seguridad de Bitcoin Core.
Durante el triage, los maintainers podrán clasificar una vulnerabilidad como “fácil de descubrir”. Poinsot dijo que la categoría incluirá problemas encontrados con un prompt sencillo a un LLM, aunque no se limita a IA. Para esos fallos, los fixes se aplicarán mediante backport a todas las versiones mantenidas y las releases se publicarán pronto. Los avisos acompañarán las versiones corregidas, sin depender del calendario extendido anterior. El enfoque aparece mientras revisiones de seguridad asistidas por IA aumentan hallazgos que requieren validación.
Las demás vulnerabilidades seguirán bajo el marco basado en severidad. Los problemas de baja gravedad se publican dos semanas después de una versión mayor con el fix, mientras los de severidad media y alta se divulgan dos semanas después de que la última versión afectada llegue al final de su vida útil, normalmente un año. Las vulnerabilidades críticas permanecen fuera del calendario estándar porque probablemente exigirían una respuesta ad hoc. La política cambia el tratamiento de bugs fáciles de redescubrir sin sustituir la divulgación coordinada.
El cambio refleja un entorno donde la automatización ayuda a defensores a encontrar bugs más rápido y puede facilitar que atacantes reproduzcan debilidades. Los scanners de seguridad open source impulsados por IA muestran esa aceleración, aunque los hallazgos generados por modelos necesitan verificación. La política actualizada prioriza la disponibilidad de parches cuando mantener el secreto ya no reduce significativamente el riesgo de descubrimiento. Esta categoría recibirá backports y releases rápidas, mientras los fallos difíciles seguirán bajo embargos.
