Bitcoin Core rende pubblici subito i bug scoperti dall’AI
La rivelazione segue una scansione AI che ha trovato tre vulnerabilità, incluso un crash su Windows, macOS e BSD. Bitcoin Core sta adattando la sua politica di segnalazione per patchare e pubblicare più in fretta.
In breve
- Bitcoin Core ha reso pubblici tre buchi di sicurezza trovati nel codice da una scansione AI.
- Un errore poteva mandare in crash i nodi bitcoin su Windows, macOS e BSD a causa di un overflow di memoria.
- Il progetto sta cambiando politica e ora segnala subito al pubblico i bug facili da individuare.
Bitcoin Core ha reso pubblici tre buchi di sicurezza trovati da una scansione AI, tra cui un errore che poteva mandare in crash i nodi bitcoin su Windows e Mac. La mossa mostra quanto velocemente l’AI riesca ormai a individuare i punti deboli nel software open source, e come Bitcoin Core stia adattando di conseguenza la sua politica di sicurezza.
Crash del nodo su Windows e Mac
Il primo errore è stato scoperto il 23 ottobre da una scansione AI. Un computer che si collegava a un nodo bitcoin su Windows, macOS o BSD poteva sommergere quel nodo di dati fino a riempire la memoria e mandare in crash il sistema. Gli sviluppatori hanno confermato il problema lo stesso giorno, hanno rilasciato una correzione il 27 ottobre e hanno reso pubblici i dettagli mercoledì.
Un nodo è il software che controlla e inoltra ogni transazione bitcoin. Bitcoin Core è il programma che fa girare la maggior parte dei nodi. Fino alla scorsa settimana, il progetto teneva spesso nascosti per fino a un anno bug di media gravità come questo, così gli operatori avevano tempo di aggiornare prima che gli attaccanti potessero sfruttare il punto debole. Anche in Core Lightning le scoperte di bug guidate dall’AI avevano già portato a un avviso accelerato per gli operatori.
Nuova politica per segnalare in fretta
Questo approccio è cambiato il 22 ottobre per i bug che Bitcoin Core considera facili da individuare. Secondo il progetto, questi errori vengono ora patchati il prima possibile in tutte le versioni supportate, con una segnalazione pubblica immediata. Questo si inserisce in una tendenza più ampia nella cybersecurity, dove l’AI viene usata sempre più spesso per scoprire e segnalare vulnerabilità più rapidamente.
Tutti e tre i bug sono emersi da una scansione automatizzata che ha usato un large language model per analizzare il codice di Bitcoin Core. In seguito, un collaboratore umano ha verificato ogni scoperta prima di passarla al team di sicurezza. È un dettaglio importante per gli utenti, perché pubblicare più in fretta significa anche che aggiornamenti e controlli arrivano uno dopo l’altro in tempi più stretti.
Altri errori in arrivo
Il secondo bug mostra perché il progetto ha cambiato le regole. Un nodo collegato poteva fingersi di eseguire una versione più vecchia del protocollo e poi bloccarsi. I messaggi si accumulavano nella memoria della vittima, fino a 2 MB all’ora per ogni connessione in entrata e 5 MB all’ora per ogni connessione in uscita.
Il terzo bug ha ricevuto un punteggio di gravità basso. Un miner poteva creare blocchi che mandavano in overflow i file per una riorganizzazione, il momento in cui la rete sostituisce alcuni blocchi recenti con un insieme concorrente. Su macchine a 64 bit, un attacco del genere richiederebbe circa un mese di produzione completa dei blocchi da parte della rete. Su Windows e sui sistemi a 32 bit il nodo può andare giù subito, e riavviarlo non aiuta. Anche i nodi su macchine a 32 bit o con blocchi su vecchi dischi FAT32 restano vulnerabili anche dopo la correzione.
Nelle note di rilascio si legge inoltre che altri tre bug di gravità media e alta nella versione 30.0 saranno resi pubblici tra due settimane.
