比特币网络大多数节点所运行的软件 Bitcoin Core 的维护者于周四合并了一项安全政策变更。此后，对于那些 AI 可能再次发现的漏洞，Bitcoin Core 将不再把修复方案搁置数月之久。
此前，Core 会按严重程度对每一个上报漏洞进行分级，并据此安排披露时间。低危漏洞在下一个大版本发布两周后公开；中危和高危漏洞则继续处于保密状态，直到最后一个受影响版本停止支持（EOL）两周后才披露。
其逻辑是：先悄无声息地发布修复，过很久再解释细节，可以避免攻击者在运行节点的人完成升级之前得知漏洞。节点是检查并转发每一笔比特币交易的计算机。
但这套旧规则建立在一个“找漏洞需要专业技能”的世界里；AI 工具的普及已经打破了这一流程赖以成立的前提。
提出这项变更的 Chaincode Labs 开发者安托万·普瓦索（Antoine Poinsot）在提案中表示：“我们最近看到，可被轻易（重新）发现的安全漏洞报告数量有所增加。”
“这很大程度上是因为大语言模型大幅降低了发现某些类型问题或识别隐蔽修复的门槛。”
现在，Core 可以在漏洞初筛（triage）阶段将某个漏洞标记为“易于发现”——实际操作中，这指的是“只需向大语言模型输入简单提示词就能找到”的漏洞。对于这类漏洞，修复将被回移到 Core 仍支持的每一个版本，并通过点版本（point release）“尽快”发布，同时附上一份包含部分细节的安全公告。
新政策在谈到旧有的保密期时写道：“对于这些易于发现的问题，这是一种错误的权衡。保密期几乎没有什么效果，只会推迟修复版本的可用时间。”
不过，普瓦索写道，修复方案在送达用户之前，“不会获得那么长的‘烘焙时间’”用于测试。
并非所有开发者都认同这一变更应走多远。长期从事比特币安全研究的安托万·里亚尔（Antoine Riard）希望 Core 保留一种选项：发布修复但不附安全公告，并逐案决定是否暂缓公开细节。
普瓦索拒绝了这一建议。他写道：“在没有任何细节的情况下提醒用户存在安全漏洞，可能会不必要地制造更多风险。”他指的是“那些原本不会受影响的用户可能因此仓促迁移”。
7 月下旬，一个由 16 名开发者组成的志愿者团体“比特币红队”（Bitcoin Red Team）在大约一天内让 AI 模型扫描了 390 个比特币项目，记录了 4962 项发现，其中 85 项为严重问题。
几天之内，该团体私下报告的一个 BTCPay Server 漏洞便在活跃的商户服务器上遭到利用。这些攻击耗尽了商户用于接收小额比特币支付的闪电网络节点。主要闪电网络实现之一 Core Lightning 在其小团队收到的 AI 生成报告被证实为真后，通知运营者断开连接。
更大的损失来自一个无需 AI 发现的漏洞。Coldcard 硬件钱包固件中一个自 2021 年起蛰伏的缺陷，让攻击者在 7 月 30 日的 25 分钟内转走 594 枚比特币；在四轮扫荡中，损失接近 1.14 亿美元。Coldcard 发布修复时表示，AI 在此过程中帮助发现了更多漏洞。
目前尚无漏洞依据新规则被标记，但一个任何模型只需一次提示词就能重新生成的“秘密”，从来都不可能长期保护用户。
