Bitcoin Core menja način na koji objavljuje informacije o određenim bezbednosnim problemima, nakon što su developeri zaključili da neke ranjivosti danas mogu veoma brzo ponovo da budu otkrivene, uključujući i pomoću jednostavnog upita upućenog AI modelu.
Nova politika uvedena je 22. oktobra i predviđa ubrzano objavljivanje zakrpa za propuste koje je lako ponovo pronaći.
Cilj je da operatori Bitcoin nodeova dobiju ispravku što pre, umesto da mesecima čekaju dok detalji o problemu ostaju skriveni.
Nova pravila uvedena 22. oktobra
Bitcoin Core je 22. oktobra usvojio revidiranu bezbednosnu politiku.
Najvažnija promena jeste nova kategorija za propuste koji se mogu otkriti uz veoma mali napor.
To ne znači da je svaki takav propust beznačajan.
Naprotiv, greška može biti veoma ozbiljna, a istovremeno laka za pronalaženje.
Zbog toga developeri sada odvojeno procenjuju dve stvari: koliko je ranjivost opasna i koliko ju je lako ponovo otkriti.
AI promenio način procene rizika
Ranije je skrivanje detalja o ranjivosti moglo da pruži developerima i korisnicima dovoljno vremena da instaliraju zakrpu.
Danas je to mnogo teže.
Moderni AI modeli mogu da analiziraju kod, upoređuju stare i nove verzije softvera i ukažu na deo koda koji je promenjen zbog bezbednosnog problema.
Ako neko može jednostavnim promptom da navede AI model da pronađe istu grešku, višemesečni embargo više ne pruža istu zaštitu.
Bitcoin Core developeri zato smatraju da je u tim slučajevima bolje ranije objaviti zakrpu i upozoriti korisnike.
Zakrpe će stići za sve tri podržane verzije
Bitcoin Core održava poslednje tri velike verzije softvera.
Nakon izlaska verzije 32.0, trenutno podržane grane su:
30.x, 31.x i 32.x.
Ako se otkrije ranjivost koja ulazi u novu kategoriju „lako otkrivene“, developeri planiraju da pripreme posebnu point release verziju za svaku od ove tri grane.
To znači da operator koji koristi, na primer, verziju 30.x neće nužno morati odmah da pređe na 32.x samo da bi dobio važnu bezbednosnu zakrpu.
Verzija 29.x i starije više nisu podržane
Sa izlaskom Bitcoin Core 32.0, verzija 29.x i starije izašle su iz perioda održavanja.
To ne znači da će stari node automatski prestati da radi.
Takav node i dalje može da obrađuje blokove i transakcije.
Problem je što više ne postoji garancija da će dobiti nove bezbednosne zakrpe.
Ako se pojavi ozbiljan problem, operator stare verzije moraće da pređe na jednu od aktivno podržanih grana.
„Što pre“ ne znači automatski odmah
Nova politika kaže da će zakrpe biti objavljene što je pre moguće.
Međutim, to ne znači da će svaki problem biti popravljen za nekoliko sati.
Developeri prvo moraju da potvrde da ranjivost zaista postoji.
Zatim moraju da naprave zakrpu, pregledaju izmene, testiraju ih na različitim podržanim verzijama i pripreme odgovarajuće pakete za distribuciju.
Kod nekih problema ista zakrpa može jednostavno raditi na svim verzijama.
Kod drugih će kod morati posebno da se prilagođava.
Zbog toga Bitcoin Core nije obećao fiksni rok između prijave problema i objavljivanja ispravke.
Stara pravila ostaju za teže otkrivene propuste
Nova politika ne znači da će svi sigurnosni problemi odmah biti javno objavljeni.
Za ranjivosti koje se ne smatraju lako otkrivljivim ostaje stari sistem.
Propusti male ozbiljnosti uglavnom se objavljuju dve nedelje nakon izlaska velike verzije u kojoj su popravljeni.
Kod srednje i visoko ozbiljnih problema detalji mogu ostati skriveni mnogo duže.
U nekim slučajevima objava dolazi tek dve nedelje nakon što poslednja pogođena verzija prestane da bude podržana.
To može značiti više od godinu dana između same zakrpe i javnog objašnjenja problema.
Tri ozbiljnija problema čekala su više od godinu dana na objavu
Release notes za Bitcoin Core 32.0 daju dobar primer starog sistema.
U njima se navodi da su tri ranjivosti srednje ili visoke ozbiljnosti bile popravljene još u verziji 30.0.
Verzija 30.0 datira iz oktobra 2025. godine.
Bitcoin Core 32.0 označen je kao stabilna verzija 21. oktobra 2026.
To znači da je između originalne zakrpe i kasnijeg perioda objavljivanja detalja prošlo više od godinu dana.
Upravo takve situacije nova politika želi da izbegne kada se proceni da ranjivost napadač može lako ponovo da pronađe.
Primer stare ranjivosti pokazuje kako je sistem funkcionisao
Bitcoin Core je u maju 2026. objavio detalje o ranjivosti CVE-2024-52911.
Problem je već bio popravljen u verziji 29.0, objavljenoj u aprilu 2025.
Specijalno napravljen blok mogao je da izazove problem u script interpreteru i sruši pogođene nodeove.
Ipak, napad nije bio trivijalan jer bi napadač morao da proizvede odgovarajući blok sa dovoljnom količinom proof-of-worka.
Zbog toga je projekat ocenio da je rizik od ozbiljnijeg napada relativno ograničen.
Ovaj primer pokazuje koliko dugo detalji ranije mogu ostati tajni nakon što je sama zakrpa već dostupna.
Najveći problem je što nodeovi ne ažuriraju sami sebe
Bitcoin nema centralnog administratora koji može da pritisne dugme i ažurira sve nodeove na mreži.
Svaki operator sam odlučuje kada će instalirati novu verziju.
Privatni korisnik može ažurirati kućni node nekoliko minuta nakon što vidi upozorenje.
Velika berza ili custody kompanija ima potpuno drugačiji proces.
Takva organizacija mora da proveri kompatibilnost sa wallet sistemima, internim servisima, monitoringom i drugim delovima infrastrukture.
Mining poolovi imaju dodatne zavisnosti povezane sa kreiranjem i validacijom blokova.
Zato objavljivanje zakrpe ne znači da su svi nodeovi odmah zaštićeni.
Niko ne zna koliko brzo cela mreža može da se ažurira
Bitcoin Core trenutno nema javno objavljen podatak o prosečnom vremenu koje je potrebno node operatorima da instaliraju maintenance update.
Zbog toga nije moguće precizno reći koliko vremena je potrebno da većina mreže pređe na zakrpljenu verziju.
To predstavlja jednu od najvećih dilema nove politike.
Rano objavljivanje upozorenja pomaže operatorima da shvate da moraju brzo da reaguju.
Ali u istom trenutku napadači dobijaju više informacija o postojanju problema.
Kod lako otkrivljivih ranjivosti Bitcoin Core smatra da napadač verovatno ionako može sam da pronađe problem.
Zato prednost daje bržoj zaštiti korisnika.
Potpuna verzija softvera sada postaje još važnija
Jedan detalj koji često izaziva zabunu jeste način označavanja verzija Bitcoin Corea.
Operator može reći da koristi verziju 30.
Međutim, to nije dovoljno da bi se znalo da li ima najnovije sigurnosne zakrpe.
Na primer, node sa verzijom 30.0 i node sa verzijom 30.3 pripadaju istoj 30.x grani, ali nemaju nužno iste ispravke.
Ako se za novu ranjivost objavi verzija 30.4, samo korisnik koji je prešao na tu tačnu verziju ima odgovarajuću zakrpu.
Zbog toga će tokom budućih sigurnosnih upozorenja biti veoma važno proveravati kompletan broj instalirane verzije.
Velike kompanije ne mogu uvek odmah da instaliraju novu verziju
Čak i kada je sigurnosna zakrpa hitna, produkcioni sistemi obično zahtevaju testiranje.
Berza koja koristi Bitcoin Core može imati sopstveni wallet softver, sistem za depozite, povlačenja, monitoring i različite interne aplikacije povezane sa nodeom.
Ako hitno ažuriranje izazove problem sa jednom od tih komponenti, sama zakrpa može dovesti do prekida usluge.
Zbog toga velike organizacije često prvo testiraju novu verziju u kontrolisanom okruženju.
To stvara period između javnog objavljivanja ranjivosti i stvarnog instaliranja zakrpe.
Upravo tokom tog perioda nezakrpljeni nodeovi mogu biti najranjiviji.
AI prijave ne znače automatski da postoji prava ranjivost
Jedan od važnih detalja nove politike jeste da AI generisana prijava sama po sebi nije dovoljna.
AI može prijaviti hiljade potencijalnih problema koji se kasnije pokažu kao bezopasni.
Zato developeri i dalje moraju ručno da potvrde svaki nalaz.
Tek kada se utvrdi da problem stvarno postoji, procenjuje se njegova ozbiljnost i koliko ga je lako ponovo otkriti.
Drugim rečima, Bitcoin Core neće objavljivati hitna bezbednosna upozorenja samo zato što je neki AI alat označio deo koda kao sumnjiv.
Bitcoin Red Team pokazao koliko AI može brzo da analizira kod
Bitcoin Red Team je tokom avgusta pokazao koliko se sigurnosno istraživanje promenilo.
Grupa je uz pomoć AI sistema analizirala 390 projekata povezanih sa Bitcoinom za manje od 30 sati.
Tokom tog procesa identifikovano je 4.962 potencijalnih problema.
Od toga je 720 označeno kao high ili critical.
Važno je naglasiti da ti brojevi ne predstavljaju potvrđene Bitcoin Core ranjivosti.
Radi se o potencijalnim problemima pronađenim u velikom broju različitih Bitcoin projekata.
U trenutku objavljivanja više od petine nalaza bilo je reprodukovano i dodatno provereno.
AI omogućava potpuno novu skalu sigurnosnog testiranja
Ranije bi za pregled stotina projekata bili potrebni veliki timovi sigurnosnih stručnjaka i mnogo vremena.
AI sada može automatski da pregleda ogromne količine koda i izdvoji najzanimljivija mesta za dalju analizu.
To značajno ubrzava legitimate security research.
Ali ista tehnologija dostupna je i napadačima.
Zato Bitcoin Core više ne može da računa na to da će kompleksnost koda sama po sebi dovoljno dugo skrivati bezbednosni problem.
Nova politika pokušava da promeni odnos između napadača i branilaca
Suština nove strategije je jednostavna.
Ako napadač verovatno može sam brzo da pronađe ranjivost, nema mnogo smisla skrivati činjenicu da ona postoji.
U tom slučaju korisnicima treba što pre omogućiti da instaliraju ispravljenu verziju.
To predstavlja promenu tradicionalnog načina razmišljanja o coordinated vulnerability disclosure sistemu.
Ranije se pretpostavljalo da vreme uglavnom ide u korist branilaca.
Sa AI alatima vreme sve češće može ići u korist napadača.
Nema nove konkretne Bitcoin Core ranjivosti
Važno je naglasiti da nova politika nije objavljena zbog nekog trenutno aktivnog ili novootkrivenog kritičnog napada na Bitcoin Core.
Uz promenu pravila nije objavljena nova konkretna ranjivost.
Radi se o preventivnoj promeni procesa.
Bitcoin Core developeri žele da imaju jasna pravila pre nego što se pojavi sledeći problem koji AI ili drugi alati mogu lako ponovo da otkriju.
Šta ovo znači za običnog korisnika?
Za nekoga ko samo poseduje Bitcoin u walletu, trenutno nema razloga za paniku.
Promena se prvenstveno odnosi na ljude i kompanije koji pokreću Bitcoin Core nodeove.
Najvažnije je koristiti podržanu verziju softvera i pratiti zvanična sigurnosna upozorenja.
Posebno je važno da operatori ne ostaju godinama na starim verzijama samo zato što one i dalje funkcionišu.
Softver može normalno da radi, a ipak više ne dobija bezbednosne ispravke.
Zaključak
Bitcoin Core je promenio svoju politiku objavljivanja bezbednosnih propusta kako bi se prilagodio vremenu u kojem AI modeli mogu veoma brzo da pronađu određene greške u kodu.
Za ranjivosti koje developeri procene kao lako otkrivljive, zakrpe će biti pripremljene za sve tri podržane velike verzije Bitcoin Corea i objavljene zajedno sa sigurnosnim upozorenjem što je pre moguće.
Trenutno su podržane grane 30.x, 31.x i 32.x, dok su verzija 29.x i starije izašle iz perioda održavanja.
Najveći izazov ostaje brzina kojom će operatori instalirati zakrpe.
Bitcoin Core nema centralni mehanizam za automatsko ažuriranje cele mreže, pa objavljivanje ispravke ne znači da su svi nodeovi istog trenutka zaštićeni.
Nova politika zato predstavlja kompromis.
Javno upozorenje može napadaču pružiti dodatne informacije, ali ako je ranjivost toliko jednostavna da je AI može sam pronaći, dugo skrivanje detalja više ne nudi veliku zaštitu.
U takvim situacijama Bitcoin Core smatra da je bolje što pre dati korisnicima zakrpu i priliku da zaštite svoje sisteme.
