Bitcoin Core deja de esperar meses para corregir fallas que la IA puede hallar

Bitcoin Core, el programa que corre la mayor parte de los nodos de la red de Bitcoin, cambió su política de seguridad para publicar de inmediato los arreglos de las fallas que se pueden encontrar con una simple consulta a un modelo de inteligencia artificial (IA). El cambio entró el 22 de octubre a las 16:06 UTC (13:06 en Buenos Aires y São Paulo, 11:06 en Bogotá y Lima, 10:06 en Ciudad de México), en una propuesta aprobada en el repositorio del proyecto. Hasta ahora, esos arreglos podían quedar en reserva durante un año.

El autor, Antoine Poinsot, desarrollador de Chaincode Labs, explicó el motivo en la propuesta. "Recientemente tuvimos un aumento en la cantidad de reportes de vulnerabilidades que se pueden descubrir o redescubrir con facilidad", escribió. "Esto se debe en gran parte a que los LLMgrandes modelos de lenguaje (LLM) Modelos de inteligencia artificial entrenados con enormes cantidades de texto para comprender y generar lenguaje; son la base de asistentes conversacionales y herramientas de IA generativa. bajaron drásticamente la vara para encontrar ciertos tipos de fallas o identificar arreglos encubiertos." Los LLM son los grandes modelos de lenguaje, como los que están detrás de ChatGPT o Claude.

El secreto ya no sirve

La política de Bitcoin Core clasifica las fallas en cuatro niveles. Las de gravedad baja se revelan dos semanas después de la versión que las corrige. Las medias y altas esperan a que la última versión afectada deje de tener soporte, cerca de un año. La idea era dar tiempo a que los usuarios actualizaran antes de que los atacantes conocieran el detalle, y el costo era que el arreglo solo llegaba con la siguiente versión grande del programa.

Ahora, si al revisar un reporte el equipo considera que la falla es fácil de descubrir, publicará una versión corregida para cada línea con soporte lo antes posible, junto con un aviso de seguridad. "Para estos problemas fáciles de encontrar, ese es el equilibrio equivocado", escribió Poinsot. "El período de reserva logra poco y demora la disponibilidad de una versión corregida." Las fallas que permitirían robar monedas, inflar la cantidad de bitcoins o partir la red en dos siguen fuera del esquema y se tratan caso por caso, según Bitcoin Magazine.

El propio Poinsot reconoció que los parches rápidos tendrán menos pruebas antes de salir. El desarrollador Antoine Riard propuso publicar los arreglos sin aviso y sin detalles, pero la idea no prosperó. "Alertar a los usuarios de una vulnerabilidad sin ningún detalle podría crear más riesgo de manera innecesaria", respondió Poinsot, según CoinCodex.

Un verano de fallas halladas con IA

El cambio llega después de meses agitados para el software de Bitcoin. El 30 de julio, atacantes vaciaron billeteras físicas Coldcard por una falla en su generador de números aleatorios, con pérdidas cercanas a 114 millones de dólares en cuatro barridas, según Bitcoin Magazine. Días después, el Bitcoin Red Team, un grupo voluntario de 16 desarrolladores, revisó con modelos de IA 390 proyectos de código abierto ligados a Bitcoin y registró 4.962 hallazgos, 85 de ellos críticos, según otra nota de Bitcoin Magazine. Una falla que ese grupo reportó en privado a BTCPay Server, un procesador de pagos para comercios, se explotó en servidores reales poco después, y en agosto los desarrolladores de Core Lightning pidieron a los operadores actualizar o desconectar sus nodos.

Los casi 5.000 hallazgos no son fallas confirmadas de Bitcoin Core. Algunos medios titularon que la IA encontró "miles de errores" en el programa, pero la cifra corresponde a 390 proyectos distintos, la informó el propio grupo y Bitcoin Magazine aclaró que no estaba verificada.

El cambio deja afuera a quien no actualiza. Bitcoin Core da soporte a las versiones 29, 30 y 31, según su calendario de versiones. En el relevamiento de Bitnodes del 25 de octubre, más de uno de cada cuatro de los cerca de 11.500 nodos visibles de la red usaba una versión más vieja, que no recibirá estos arreglos. Para esos operadores, el primer paso sigue siendo pasar a una versión con soporte.