Bitcoin Core ajusta a sua política devido aos riscos da IA
O Bitcoin Core passa agora a retroportar vulnerabilidades mais rapidamente, porque a IA pode redescobrir mais facilmente falhas antigas. Ao mesmo tempo, uma grande parte dos nodes públicos ainda executa versões desatualizadas.
Pontos principais
- O Bitcoin Core ajusta a sua política de segurança para que vulnerabilidades que sejam fáceis de voltar a encontrar possam ser imediatamente retroportadas para todas as linhas de versão suportadas.
- A alteração segue-se a preocupações de que os grandes modelos de linguagem tornam mais fácil voltar a encontrar vulnerabilidades antigas, tornando o antigo embargo menos eficaz.
- Segundo uma medição, 43,6% dos peers públicos do Bitcoin Core medidos executavam software desatualizado sem atualizações de segurança.
Bitcoin Core ajustou a sua política de segurança. Os programadores podem agora retroportar diretamente para todas as linhas de versão suportadas as correções para vulnerabilidades que sejam fáceis de voltar a encontrar, com uma comunicação pública associada. A alteração surge num momento em que uma grande parte dos peers do Bitcoin Core medidos ainda executa software desatualizado.
Nova política para falhas
A nova política foi aprovada em 22 de outubro numa proposta agregada no GitHub. Até agora, os detalhes de vulnerabilidades moderadas e graves permaneciam secretos até duas semanas após o fim da vida útil da última versão afetada. Segundo o Bitcoin Core, essa abordagem tem de ser ajustada, porque os grandes modelos de linguagem tornam mais fácil voltar a encontrar vulnerabilidades antigas.
Os programadores podem agora, durante a avaliação, indicar que uma falha é fácil de redescobrir, também por sistemas de IA. O programador do Bitcoin Core Antoine Poinsot escreveu que o antigo período de embargo traz pouco benefício, mas atrasa a disponibilização de uma versão corrigida. Ao mesmo tempo, alertou que, por isso, as correções têm menos tempo para amadurecer nos ramos de desenvolvimento.
Muitos nodes continuam para trás
A alteração coincide com dados do Karlsruhe Institute of Technology. Em 18 de outubro, 3.671 dos 8.422 peers públicos do Bitcoin Core medidos, ou 43,6%, executavam versões que já não recebem atualizações de segurança. A medição considerou apenas peers públicos IPv4 e IPv6 com uma porta aberta; nodes Tor, infraestrutura privada gerida por exchanges e mineradores, e outros nodes não visíveis ficaram fora da amostra.
Atualmente, o Bitcoin Core mantém apenas as três linhas principais mais recentes, agora 29.x, 30.x e 31.x. Na linha 31.x, 3.243 peers estavam a executar essa versão, na 30.x eram 712 e na 29.x 635. O restante estava na 28.x ou anterior. Se a versão 32.0 for lançada e a 29.x deixar de ser suportada, a mesma amostra indicaria que 51,1% dos peers medidos estariam em software desatualizado. Trata-se de um cenário de cálculo, não de uma previsão.
Porque é que isto é relevante
Para os utilizadores de Bitcoin e administradores de nodes, isto mostra a rapidez com que o panorama de segurança muda. A combinação de IA e software mais antigo torna mais difícil para os projetos manter vulnerabilidades ocultas durante muito tempo, enquanto muitos nodes ainda não foram atualizados. Também para entidades que operam infraestrutura de Bitcoin, como carteiras e outros serviços que usam os seus próprios nodes, isto pode ser relevante, porque as atualizações e a compatibilidade se tornam cada vez mais importantes.
O debate também toca num padrão mais amplo no universo das criptomoedas: as atualizações de software são muitas vezes adiadas, quando é precisamente aí que podem estar os maiores riscos. Neste caso, não se trata de um movimento de mercado, mas da questão de como uma rede aberta mantém a sua segurança quando novas técnicas de ataque ficam disponíveis mais depressa. Essa tensão também se verifica fora do software central, por exemplo na preparação para futuras ameaças de segurança, onde os programadores já pensam em como o Bitcoin se pode defender contra novos vetores de ataque.
