ビットコイン・コア、AIで容易に見つかる脆弱性は公開猶予を撤廃

AIに一度尋ねるだけで見つかるほど容易なセキュリティ脆弱性については、今後は公開を遅らせない。ビットコインネットワークの主要ノードソフトウェア、ビットコイン・コア（Bitcoin Core）の開発陣は、こうした脆弱性を「容易に発見可能（easily discoverable）」として別に分類し、修正版とセキュリティ勧告をできるだけ早く同時に公開することを決めた。開発者のアントワーヌ・ポアンソ（Antoine Poinsot）氏が10月22日（協定世界時）、ビットコイン開発メーリングリストで明らかにし、公式サイトのセキュリティポリシーも同日改定された。

「プロンプト一回で見つかるバグ」は待たない

ポアンソ氏はメールで「最近、容易に（再）発見できるセキュリティ脆弱性の報告が増えた」とし、「主に大規模言語モデル（LLM）が特定の種類の問題を見つけたり、ひそかに入れた修正を見抜いたりするハードルを大きく下げたためだ」と書いた。ビットコイン・コアはノード運営者がアップグレードに時間をかける傾向を踏まえ、これまで公開猶予（エンバーゴ）を長く取ってきた。そのためセキュリティ修正が旧バージョンに反映されず、次のメジャーバージョンに含まれて出ることが多かったと同氏は説明した。

改定後のポリシーでは、報告を最初に分類する段階で「容易に発見可能」かどうかを決める。ポリシー文書はこれを「単純なLLMプロンプトなど、最小限の労力で発見できる脆弱性」と定義し、ポアンソ氏はAIで見つけたものに限らないとした。該当すれば、保守中のすべてのメジャーバージョンに修正を移植（バックポート）した小規模な修正版をできるだけ早く出し、セキュリティ勧告も同時に公開する。ポアンソ氏はこうした脆弱性について「エンバーゴ期間で得られるものはほとんどなく、修正版の提供を遅らせるだけだ」とメールに記した。

深刻度別の公開時期、従来どおりの点と変更点

「容易に発見可能」に分類されない脆弱性は、従来どおり深刻度に応じて公開時期が決まる。改定後のポリシー文書が定める公開時期は次のとおりだ。

猶予の対象となる脆弱性は、詳細公開の2週間前に新しいメジャーバージョンのリリースに合わせ、修正した脆弱性の数と深刻度だけを先に知らせる。ポリシー文書は致命的な等級を、プロトコルレベルでのコイン盗難、定められた発行スケジュール外でのコイン生成、ネットワーク全体の恒久的なチェーン分裂を引き起こし得るバグと規定している。

勧告はすぐ出すか、遅らせるか

改定案は16日にGitHubに提出され、複数の開発者の賛同を得て22日に反映された。議論の過程では、セキュリティ勧告をいつ出すかをめぐって意見が分かれた。

最終的な文言は、修正版と勧告を同時に出す方向で決まった。ポアンソ氏は先に別の開発者に対し「簡単なLLMスキャンですでに見つかる脆弱性をひそかに修正しても得るものはほとんどない」と答えつつ、基本的には不必要に注目を集めないようにするとした。この方式では、修正が開発段階で検証される時間が短くなる点も同氏は認めた。

修正版は31.x・30.x・29.xの3系統に

ビットコイン・コアは最新のメジャーバージョン3つを保守している。現在は31.x（4月リリース）、30.x、29.xがサポート対象で、最新の修正版は7月に出た31.1、30.3、29.4だ。新ポリシーが適用されれば「容易に発見可能」な脆弱性の修正はこの3系統すべてに入り、メジャーバージョンを変えなくてもパッチを受け取れる。28.xは4月にサポートが終了した。

ビットコインは韓国時間24日午後0時30分ごろ、韓国の取引所アップビットで1億850万ウォン前後で取引された。同時刻のバイナンス価格（8万1000ドル前後）をウォンに換算した値より1.1〜1.2%高かった。この差はキムチプレミアム（韓国の取引所価格と海外価格の差）と呼ばれる。