Bitcoin Core a modifié sa manière de traiter les vulnérabilités de sécurité, indiquant que les grands modèles de langage facilitent la découverte de certaines failles logicielles. Dans un courriel adressé à la liste de diffusion des développeurs Bitcoin, Antoine Poinsot, un développeur de Bitcoin Core, a expliqué que par le passé, les vulnérabilités étaient généralement soumises à de longs délais de divulgation pour permettre aux utilisateurs de mettre à jour leurs systèmes avant que les détails ne deviennent publics. Cette volonté de confidentialité empêchait souvent le retour des corrections sur les anciennes versions du logiciel, laissant les utilisateurs dans l’attente de la prochaine grande version. Cependant, Poinsot a souligné que les LLM avaient rendu certaines failles si faciles à redécouvrir que retarder les corrections offre peu de protection. « La période d’embargo n’apporte que peu d’avantages, mais retarde la disponibilité d’une version corrigée, » a-t-il déclaré. « Nous mettons donc à jour notre politique de divulgation pour en tenir compte. » Cette évolution survient alors que la recherche en sécurité assistée par l’intelligence artificielle met la pression sur les développeurs de l’écosystème logiciel de Bitcoin. Selon la nouvelle politique, les vulnérabilités jugées « facilement découvrables » recevront des corrections le plus rapidement possible sur toutes les versions majeures maintenues, avec des avis de sécurité publiés en même temps que les mises à jour. « Cette classification concerne les vulnérabilités qui peuvent être découvertes avec un effort minimal, comme à travers une simple requête LLM, » est-il précisé.
D’autres types de vulnérabilités continueront de suivre des calendriers de divulgation basés sur leur gravité, allant des défauts critiques menaçant la sécurité fondamentale de Bitcoin aux bugs de moindre risque ayant un impact limité sur les nœuds individuels. Bitcoin Core a indiqué que les vulnérabilités de faible gravité seront divulguées deux semaines après la sortie d’une version majeure contenant la correction, tandis que les vulnérabilités de gravité moyenne et élevée seront révélées deux semaines après que la dernière version affectée atteigne sa « fin de vie, » généralement un an après la publication de la correction dans la nouvelle version majeure. « Les bogues critiques ne sont pas considérés dans la politique standard, car ils nécessiteraient probablement une procédure ad hoc, » a-t-il été ajouté. Luke de Wolf, animateur de l’émission Bitcoin Infinity et auteur de « Defending Bitcoin, » a commenté : « J’ai eu des désaccords avec l’approche de sécurité d’Antoine par le passé, mais cette mise à jour est bonne. » En août, l’équipe volontaire Bitcoin Red Team a signalé près de 5 000 problèmes potentiels à travers 390 projets, bien que seuls environ un cinquième de ses découvertes aient alors été reproduits. Ce mois-là, les développeurs de Core Lightning avaient exhorté les opérateurs à mettre à jour ou à mettre hors ligne leurs nœuds après avoir reçu plusieurs rapports de vulnérabilité générés par IA, tout en gardant les détails techniques sous silence pendant deux semaines.