📡 Signal｜Bitcoin Core、AI で見つけやすい脆弱性は修正版を即時公開へ

Bitcoin Core の開発者は、脆弱性を公表するまでの方針を改め、「簡単に見つけられる」と判断した脆弱性については、修正版をできるだけ早く出す運用に切り替えた。新しい方針は10月22日、公式サイトのセキュリティ勧告のページに反映された。修正は保守中のすべてのメジャー版に入れ、勧告と同時に公開する。

Bitcoin Core「Security Advisories」(セキュリティ勧告と公表の方針) — easily discoverable の定義、深刻度ごとの公表期間を確認Bitcoin Core

これまでは、修正を次のメジャー版にまとめ、公表まで長い猶予を置くのが基本だった。変更を提案した開発者は、大規模言語モデル (LLM) によって特定の種類の不具合を見つける敷居が大きく下がったと理由を説明している。AI で誰でも見つけられる穴に限っては、隠す時間より直す速さを優先する判断だ。

何が変わったか

公式サイトのページは、報告された脆弱性を深刻度で 4 段階 (Critical・High・Medium・Low) に分けている。公表までの期間は深刻度で決まり、Low は修正を含むメジャー版のリリースから 2 週間後、Medium と High は影響を受ける最後の版が保守を終えてから 2 週間後に公表する。後者は、修正を含むメジャー版の最初のリリースからおよそ 1 年後になる。

今回、この手前に 1 つの分岐が加わった。報告を受けた脆弱性を「easily discoverable (簡単に見つけられる)」と分類するかどうかだ。ページはこの分類を、少ない手間で見つけられるもの、たとえば LLM への簡単な問いかけで見つかるもの、と定義した。この分類に入った脆弱性は、深刻度ごとの猶予期間 (エンバーゴ) を当てはめず、保守中のメジャー版ごとに修正を入れたマイナー版を、セキュリティ勧告とともにできるだけ早く出す。ほかの脆弱性は従来の期間のままだ。

変更はサイトの公開リポジトリへのプルリクエスト (#1281) として、開発者の Antoine Poinsot 氏が10月16日に出し、22日に取り込まれた。

猶予期間が働かなくなった理由

Poinsot 氏はプルリクエストの説明で、簡単に (再) 発見できる脆弱性の報告が最近増えたと書いた。大きな理由は LLM で、特定の種類の不具合を見つけたり、目立たない形で入れた修正を見抜いたりする敷居を大きく下げたという。

セキュリティの公表方針は、透明性と、利用者が更新する時間の確保という 2 つの目標の間で釣り合いを取るものだと同氏は説明する。Bitcoin Core はノードの更新がゆっくり進む文化を持つため、長めの猶予を選んできた。その結果、修正は過去の版に戻して入れられず、次のメジャー版でしか利用者に届かないことが多かった。

誰でも AI で見つけられる穴では、この釣り合いが崩れる。修正を伏せている間に、攻撃者も同じ問いかけで同じ穴にたどり着ける。猶予はほとんど何も守らず、直った版を待たせるだけになる、というのが同氏の判断だ。

AI が変える「見つかるまでの時間」

同じ週、国内では JPCERT/CC が、AI を使った侵入テストの道具が攻撃に使われていると注意喚起を更新した。英国の AI 安全機関の試験では、AI が試験の範囲を越えて実在のリポジトリに悪意あるコードを送り込もうとした事案の分析も出ている。脆弱性を探す作業の手間が下がると、守る側の公表の段取りも組み直しを迫られる。

Bitcoin Core はビットコインのネットワークを支える中心的なノードソフトで、公開の方針は取引所や事業者のノード運用に直結する。今回の変更で、簡単に見つかる種類の修正は、メジャー版を待たずにマイナー版として届く。運用する側にとっては、半年ごとのメジャー版の更新に加え、勧告つきのマイナー版を素早く当てる体制が要るようになる。

どの脆弱性を「簡単に見つかる」とみなすかは、報告を受けた後の選別の段階で開発者が判断する。深刻度の高い脆弱性ほど、この判断の重みが増す。

次に見るもの

確認先は bitcoincore.org のセキュリティ勧告のページだ。新しい分類で最初に出る勧告と、それに合わせたマイナー版のリリースノートで、この運用がどの深刻度の不具合に、どの版まで遡って当てはめられるかが分かる。先に正式版となったメジャー版 v32.0 (LiveMakers の記事) の次のマイナー版も見ておきたい。

ことば

• エンバーゴ — 脆弱性の詳細を、修正が行き渡るまで一定期間伏せておく取り決め。利用者に更新の時間を与える一方で、伏せている間に攻撃者が同じ穴を見つける危険が残る。
• メジャー版とマイナー版 — Bitcoin Core はおよそ半年ごとに新機能を含むメジャー版 (30.0 など) を出し、保守期間中はセキュリティを含む不具合の修正をマイナー版 (30.1 など) で届けている。

🔗 一次ソース

• Bitcoin Core「Security Advisories」(セキュリティ勧告と公表の方針) — easily discoverable の定義、深刻度ごとの公表期間を確認Bitcoin Core
• GitHub bitcoin-core/bitcoincore.org プルリクエスト #1281「Update security policy for easy-to-find vulnerabilities」 — 10月16日作成・22日マージ、LLM を理由とする説明を確認GitHub
• Bitcoin Core「Lifecycle」 — メジャー版とマイナー版の保守の考え方Bitcoin Core