ビットコインコア、AIで容易に発見する脆弱性は修正版を最短で公開する方針

脆弱性の開示方針を更新

仮想通貨ビットコイン（BTC）のソフトウェア「ビットコインコア」の開発チームは22日、AIへの簡単な指示で見つかるような「容易に発見できる脆弱性」の扱いを、公式サイトのセキュリティポリシーに加えた。Github上の変更提案によると、該当する脆弱性は保守中の全リリースに修正を移植し、一部の詳細を記したセキュリティ勧告とともに新版を最短で公開するとしている。

変更を提案した開発者のアントワーヌ・ポワンソ氏は、AIが特定の種類の問題の発見やひそかな修正の特定にかかるハードルを大幅に下げ、再発見しやすい脆弱性の報告が最近増えたと説明した。

2024年7月に公表された従来のポリシーでは、深刻度が低い脆弱性は修正を含むメジャーバージョンの公開から2週間後、中程度と高い脆弱性は影響を受ける最後のバージョンのサポート終了から2週間後に公表すると定めていた。

そこでビットコインコアは、報告された脆弱性を確認する段階で「容易に発見できる脆弱性」に区分できるようにし、AIへの簡単な指示で見つかる問題を想定しつつも対象はこれに限らないという。

この区分についてポワンソ氏は、容易に見つかる問題に長い公表猶予を置いても効果は乏しく、修正版の配布を遅らせるだけだとの見方を示した。一方、新ポリシーでは修正が利用者に届く前に開発版で試験される期間が短くなると認めた。

さらに、Github上の議論では、セキュリティ研究者のアントワーヌ・リアール氏が、勧告を同時に出すかどうかを開発チームの裁量とする案を示した。しかしポワンソ氏はこの案に反対し、詳細を示さずに脆弱性を知らせれば、影響を受けない利用者まで移行を急ぎ、不要なリスクを招きかねないと述べた。

AI時代の脆弱性対応

AIによる脆弱性探しが広がる中、Decryptによると、有志のグループ「ビットコイン・レッドチーム」はAIを使った監査の開始から27.5時間の時点で、390のプロジェクトに4,962件の指摘を提出し、うち85件を最も高い深刻度に分類した。

この監査は、7月に約1億1,600万ドル相当のBTCが流出したハードウェアウォレット、コールドカードの事件を受けて実施されたという。