Bitcoin Coreの開発者は、AIによって容易に再発見可能な脆弱性に関して、数カ月間の公表延期を廃止する方針変更を承認した。これは、今年夏にAIが人間に先んじてBitcoinの数百件のバグを発見したことを受けた対応である。
Bitcoinネットワークの主要ソフトウェアであるBitcoin Coreは、これまで報告された脆弱性を深刻度ごとに分類し、公表時期を調整してきた。軽度の脆弱性は次のメジャーバージョンリリースから2週間後に公表し、中～重大なものは該当バージョンのサポート終了後2週間まで隠していた。
この方針は、修正をひそかに配布し公開を遅らせることで、ノード運用者によるアップグレード前に攻撃者が脆弱点を特定するのを防ぐことを目的としていた。しかし、AIの普及によりバグ発見の難易度が低下したため、この前提が崩れたという。
Chaincode Labsの開発者Antoine Poinsotは、「最近、容易に（再）発見できるセキュリティ脆弱性報告が増加している」「主に大規模言語モデル（LLM）が特定の問題や隠れた修正を見つけるハードルを大幅に下げているため」と指摘している。
新たなポリシーでは、トリアージ段階で「発見しやすい」と判断されたバグ、すなわちLLMによる単純なプロンプトで発見されるものについては、Coreがサポートするすべてのバージョンにさかのぼって修正を適用し、セキュリティ勧告と一部詳細を添えたポイントリリースとしてできるだけ速やかに配布する。
この方針変更により、「見つけやすい問題に関する公表延期は誤ったトレードオフであり、修正リリースを遅延させるだけ」と結論付けられた。一方でPoinsotは、修正がユーザーに届くまでのテストによる十分な熟成期間が失われる可能性も示している。
ただし、全ての開発者がこの対応に賛同したわけではない。著名なセキュリティ研究者Antoine Riardは、勧告なしで修正版をリリースし詳細を伏せる選択肢も残すべきと主張したが、Poinsotは、「詳細がないまま警告すると不要なリスクを生み、影響を受けないユーザーの急な移行を促す」としてこれを退けた。
また、Bitcoin Red Teamと名乗る16人のボランティアグループは7月下旬、約1日かけて390件のBitcoinプロジェクトにAIモデルを走らせ4,962件の問題を特定、そのうち85件を重大と評価した。
このうちBTCPay Serverの脆弱性は非公開で報告されていたが、数日以内に実際の加盟店サーバーで悪用が始まり、Lightningノードから資金流出を引き起こした。主要なLightning実装の一つであるCore Lightningは、AIレポートに基づき運用者に接続停止を通知した。
さらに大きな損失は、AIが発見しなくてもよいバグから生じている。Coldcardのハードウェアウォレット用ファームウェア欠陥は2021年から存在し、7月30日に25分間で594BTC（約1億1,400万ドル相当）が流出した。Coldcardは修正版リリース時に、AIが複数のバグ発見に役立ったと述べている。
新基準でのフラグ付け例はまだないものの、どのモデルでも1回のプロンプトで再生成可能な情報は、ユーザーを長期にわたり安全に守ることは困難であることが示された。
