De ontwikkelaars van Bitcoin Core hebben hun beveiligingsbeleid herschreven. Fouten die als ‘makkelijk vindbaar’ worden aangemerkt, krijgen voortaan direct een reparatie, ook in oudere versies, plus een nieuwe release. De gedachte erachter: een lang embargo heeft weinig zin meer als een aanvaller dezelfde fout met één AI-prompt kan opsporen.
Van geheimhouding naar snelheid
De wijziging is vastgelegd in een beleidsupdate op GitHub. Tot nu toe hield het project zwakke plekken vaak lange tijd stil. Een fix werd ingebouwd zonder ophef, en pas veel later, als de kwetsbare versies niet meer werden ondersteund, kwamen de details naar buiten. Zo kregen node-operators de tijd om bij te werken voordat iemand de fout kon misbruiken.
Voor een bepaalde groep fouten valt die werkwijze nu weg. Gaat het om een bug die een buitenstaander zonder veel moeite zelf kan vinden, dan zetten de ontwikkelaars de reparatie terug in oudere ondersteunde versies (een backport) en komt er meteen een release. Stilhouden levert in die gevallen geen bescherming meer op. Het levert alleen een periode op waarin aanvallers wel en gebruikers niet weten dat er een probleem is.
AI verandert de rekensom voor aanvallers
Het beleid van gecoördineerde openbaarmaking rust op een aanname: het kost tijd, kennis en geld om een kwetsbaarheid te vinden. Wie een fout geheimhoudt, wint daardoor tijd. Taalmodellen die broncode doorlichten zetten die aanname onder druk. Bitcoin Core is volledig open source, dus iedereen kan de code aan zo’n model voorleggen.
Vooral een stille fix wordt daarmee riskant. Een codewijziging die openbaar op GitHub staat, verraadt vaak waar het probleem zit. Wat vroeger een ervaren onderzoeker dagen werk kostte, kan een AI-model nu misschien in korte tijd reconstrueren. Het embargo beschermt dan vooral de schijn van veiligheid.
Gevolgen voor node-operators
Voor wie een node draait, betekent dit dat updates vaker en sneller kunnen komen. Bitcoin Core is de software waarmee het grootste deel van het netwerk transacties en blokken controleert. Een fout die nodes kan laten crashen of van elkaar kan afsluiten, raakt dus de ruggengraat van het systeem. Wie wil weten hoe die nodes samen het netwerk vormen, vindt meer achtergrond in onze uitleg over wat Bitcoin is.
Daar zit een spanning. Bitcoin staat bekend om een behoudende manier van ontwikkelen, waarin releases zorgvuldig worden getest en beheerders van nodes niet haastig hoeven bij te werken. Sneller uitbrengen verkleint het venster voor aanvallers, maar legt meer druk op exchanges, custodians en thuisgebruikers om nieuwe versies snel te installeren. Een groot deel van het netwerk draait bovendien op oudere versies.
Waar de grens ligt blijft een inschatting
Het nieuwe beleid geldt alleen voor fouten die als makkelijk vindbaar worden beoordeeld. Voor ingewikkelde kwetsbaarheden waarvoor diepe kennis van het protocol nodig is, blijft voorzichtige openbaarmaking mogelijk de betere keuze. Wie bepaalt in welke categorie een bug valt, is daarmee een cruciale vraag. Een te ruime inschatting kan onnodig veel noodreleases opleveren. Een te krappe inschatting laat juist fouten liggen die AI-gereedschap allang vindt.
De stap past in een bredere trend. Ook buiten crypto merken softwareprojecten dat automatische codeanalyse het aantal gevonden fouten opdrijft, door verdedigers en aanvallers allebei. Bitcoin Core is een van de eerste grote opensourceprojecten in de financiële infrastructuur die het eigen openbaarmakingsbeleid hier zo duidelijk op aanpast. Hoe goed de nieuwe werkwijze bevalt, blijkt pas bij de eerste ernstige bug die onder de regels valt.
