Bitcoin Core開発チームは、AIが容易に再発見できる脆弱性について従来の数カ月間の公表延期を廃止する新たなセキュリティポリシーの採用を承認した。これは、2023年夏にAIが数百件のBitcoin Coreのバグを人間より先に検出したことを受けた対応である。
Bitcoin CoreはBitcoinネットワークの大多数が稼働しているソフトウェアで、これまで脆弱性の深刻度に応じて公表時期を調整し、軽微な欠陥は次回メジャーバージョンリリース後2週間、重大な欠陥はサポート終了版の2週間後まで非公開を維持してきた。この方針は、修正をひそかに配布しノード運用者のアップグレードを促した後に脆弱性内容を説明することにより、攻撃者の悪用を防ぐ目的があった。
だが、旧方針はバグ発見に専門技能が必要という前提に基づいており、大規模言語モデル（LLM）などのAIツールの進展でその前提が崩壊した。
Chaincode Labsの開発者Antoine Poinsotは「最近の脆弱性報告の増加は大部分が容易に再発見可能な問題であり、これはLLMが特定の問題検出や隠れた修正特定のハードルを大幅に下げたためだ」と提案書で説明している。
今後はCoreのトリアージ過程で「発見しやすい」バグとしてフラグ付けが可能となり、LLMによる簡単なプロンプトで検出できる問題はサポート中のすべてのバージョンに修正をバックポートし、詳細を添えたセキュリティ勧告とともに迅速にポイントリリースで配布される。
新ポリシーは公表延期を「見つけやすい問題では誤ったトレードオフ」と位置づけ、公表延期は修正版公開を遅延させるだけと指摘している。ただしPoinsotは十分なテスト期間が確保されず、修正版の熟成期間が短くなる懸念も述べている。
意見は一枚岩ではなく、長年Bitcoinセキュリティ研究に携わるAntoine Riardは、修正版を勧告なしでリリースし詳細も伏せる選択肢を残すべきと主張したが、Poinsotは「詳細がないまま警告すると不要なリスクや急速な移行を招く」と反論した。
また、Bitcoin Red Teamと称する16人のボランティア開発者らは7月末に約1日かけ390のBitcoinプロジェクトにAIモデルを実行し4,962件の問題を検出、そのうち85件が重大と特定した。
報告された脆弱性のうち、BTCPay Serverの問題はすぐに悪用され、Lightningノードを経由した少額Bitcoin決済の加盟店サーバーから資金流出を引き起こした。主要なLightning実装Core LightningはAI報告を受け運用者に接続切断を呼びかけている。
一方、より甚大な被害はAI不要のバグに起因し、Coldcardハードウェアウォレットのファームウェア欠陥により2023年7月30日に594 BTC（約1億1,400万ドル相当）が25分間で盗まれた。Coldcardは修正版公開時にAIが追加バグ発見にも貢献したと述べている。
現在新ルールによるフラグ付けバグはまだないが、どのAIモデルでも簡単なプロンプトで再生成可能な秘密は利用者を長期間守り続けることは難しいとの認識に基づく改定である。