Bitcoin Core maakt AI-gevonden bugs direct openbaar
De openbaring volgt op een AI-scan die drie kwetsbaarheden vond, waaronder een crash op Windows, macOS en BSD. Bitcoin Core past zijn meldingsbeleid aan voor sneller patchen en publiceren.
Korte samenvatting
- Bitcoin Core heeft drie beveiligingslekken openbaar gemaakt die door een AI-scan in de code zijn gevonden.
- Eén fout kon bitcoin nodes op Windows, macOS en BSD laten crashen door een geheugenoverloop.
- Het project past zijn beleid aan en meldt makkelijk vindbare bugs nu zo snel mogelijk publiek.
Bitcoin Core heeft drie beveiligingslekken openbaar gemaakt die door een AI-scan zijn gevonden, waaronder een fout waardoor bitcoin nodes op Windows en Mac konden crashen. De stap laat zien hoe snel AI nu zwakke plekken in open source software kan opsporen, en hoe Bitcoin Core zijn beveiligingsbeleid daarop aanpast.
Node-crash op Windows en Mac
De eerste fout werd op 23 oktober ontdekt door een AI-scan. Een computer die verbinding maakte met een bitcoin node op Windows, macOS of BSD kon die node overspoelen met data totdat het geheugen vol liep en het systeem crashte. Ontwikkelaars bevestigden het lek dezelfde dag, brachten op 27 oktober een fix uit en maakten de details woensdag openbaar.
Een node is de software die elke bitcointransactie controleert en doorstuurt. Bitcoin Core is het programma dat de meeste nodes draaien. Tot vorige week hield het project middelzware bugs zoals deze vaak tot een jaar stil, zodat beheerders tijd kregen om te updaten voordat aanvallers de zwakke plek konden misbruiken. Ook bij Core Lightning leidde AI-gedreven bugvondsten al tot een versnelde waarschuwing voor operators.
Nieuw beleid voor snel melden
Die aanpak veranderde op 22 oktober voor bugs die Bitcoin Core als makkelijk vindbaar ziet. Volgens het project worden zulke fouten nu zo snel mogelijk gepatcht in alle ondersteunde versies, met meteen een openbare melding erbij. Dat past bij een bredere trend in cybersecurity, waarin AI steeds vaker wordt gebruikt om kwetsbaarheden sneller op te sporen en te melden.
Alle drie de bugs kwamen uit een geautomatiseerde scan die een large language model gebruikte om de code van Bitcoin Core door te nemen. Daarna controleerde een menselijke bijdrager elke vondst voordat die naar het beveiligingsteam ging. Dat is relevant voor gebruikers, omdat sneller publiceren ook betekent dat updates en controleprocessen korter op elkaar volgen.
Meer fouten volgen nog
De tweede bug laat zien waarom het project de regels heeft aangepast. Een verbonden node kon doen alsof hij een oudere versie van het protocol draaide en daarna vastlopen. Berichten stapelden zich op in het geheugen van het slachtoffer, tot 2 MB per uur voor elke inkomende verbinding en 5 MB per uur voor elke uitgaande verbinding.
De derde bug kreeg een lage ernstscore. Een miner kon blokken maken die de bestanden voor een reorganisatie laten overlopen, het moment waarop het netwerk een paar recente blokken vervangt door een concurrerende set. Op 64-bit machines zou zo'n aanval ongeveer een maand aan volledige blokproductie van het netwerk kosten. Op Windows en 32-bit systemen kan de node direct uitvallen, en opnieuw opstarten helpt dan niet. Nodes op 32-bit machines of met blokken op oudere FAT32-schijven blijven ook na de fix kwetsbaar.
In de releasenotes staat verder dat nog drie middelzware en zware bugs in versie 30.0 over twee weken openbaar worden gemaakt.
