La IA está obligando a cambiar la forma de proteger el software de Bitcoin, a tenor de la actualización de la política de seguridad de Bitcoin Core. Los desarrolladores acelerarán la publicación de correcciones para los fallos que puedan descubrirse fácilmente, incluso mediante una consulta sencilla a una IA, en lugar de mantenerlos bajo los plazos habituales de confidencialidad.
El razonamiento es que, si una herramienta permite encontrar un error con poco esfuerzo, un atacante también puede utilizarla para descubrirlo. En esas circunstancias, guardar el problema en secreto durante meses ofrece menos protección y retrasa la llegada de una solución a los usuarios. Así lo explica Antoine Poinsot, autor de la propuesta aprobada ayer, 22 de octubre. El cambio afecta a la gestión de las vulnerabilidades de Bitcoin Core, el software utilizado para operar nodos que verifican las transacciones y los bloques de Bitcoin.
La IA reduce la utilidad de mantener los fallos en secreto
Poinsot señala que el proyecto ha experimentado un aumento de los informes sobre vulnerabilidades que pueden descubrirse o redescubrirse fácilmente. Atribuye buena parte de ese incremento a los grandes modelos de lenguaje, que reducen el esfuerzo necesario para localizar determinadas clases de errores o identificar correcciones realizadas de forma discreta.
Adiós a los 80 bytes: Bitcoin Core libera OP_RETURN para datos sin límites
Hasta ahora, la política de Bitcoin Core favorecía periodos prolongados de confidencialidad para dar tiempo a los usuarios a actualizar el software antes de divulgar los detalles. Según el desarrollador, ese enfoque generalmente impedía adaptar las correcciones a versiones anteriores y hacía que las soluciones solo estuvieran disponibles con la siguiente versión principal.
Para los problemas fáciles de encontrar, los desarrolladores consideran que esa espera ha dejado de ofrecer una ventaja suficiente, ya que otros pueden descubrir el mismo error mientras los usuarios siguen sin disponer de una versión corregida.
Correcciones para todas las versiones con mantenimiento
La nueva política introduce la posibilidad de clasificar una vulnerabilidad como fácilmente detectable durante su evaluación. La categoría incluye los fallos que puedan localizarse con una consulta sencilla a una IA, aunque también puede aplicarse a problemas descubiertos por otros métodos.
En estos casos, Bitcoin Core publicará lo antes posible una actualización correctiva para cada versión principal que siga recibiendo mantenimiento. Al mismo tiempo difundirá un aviso de seguridad, sin aplicar los plazos de confidencialidad previstos para otras vulnerabilidades. Esto permitirá que las soluciones lleguen también a quienes utilizan versiones anteriores todavía compatibles con el mantenimiento del proyecto.
La rapidez plantea un equilibrio delicado, ya que informar ayuda a los usuarios a protegerse, pero también puede proporcionar pistas a los atacantes antes de que todos hayan actualizado. La decisión de Bitcoin Core parte de que, cuando un fallo resulta sencillo de redescubrir, mantenerlo reservado aporta menos protección.
Los demás errores mantienen sus plazos
La actualización no elimina los periodos de confidencialidad para todas las vulnerabilidades. Los fallos leves que no entren en la nueva categoría se divulgarán dos semanas después del lanzamiento de una versión principal que incorpore la solución. Los de gravedad media y alta se comunicarán dos semanas después de que termine el soporte de la última versión afectada, aproximadamente un año después de publicarse la primera versión principal corregida. Los problemas críticos seguirán requiriendo una respuesta específica.
