Bitcoin (BTC): Bitcoin Core, Yapay Zekanın Yeniden Keşfedebileceği Açıklar İçin Embargo Politikasına Son Veriyor

Güncelleme 17:35 UTC: Bitcoin (BTC) Red Team'in gizlice bildirdiği bir BTCPay Server açığı, günler içinde canlı satıcı sunucularında sömürüldü ve Lightning düğümlerini boşalttı; açığı ortaya çıkaran gönüllü ekip, 16 geliştiriciden oluşuyor ve bu ekip bir günde yaklaşık 390 bitcoin deposunda yapay zeka modelleri çalıştırdı.

Kolay Açıklar İçin Daha Hızlı Düzeltmeler

Bitcoin ağının çoğu düğümünün çalıştırdığı referans yazılım Bitcoin Core, güvenlik açıklarının nasıl ifşa edileceğine dair kurallarını baştan aşağı değiştiriyor. Geliştirici Antoine Poinsot, Perşembe günü 22 Ekim'de bu değişikliği Bitcoin Development Mailing List üzerinden duyurdu. Proje yıllardır açık detaylarını embargo altında tutuyor, böylece kullanıcıların her şey ifşa edilmeden önce güncelleme yapmasına zaman tanıyordu. Bu ihtiyatın bir bedeli vardı: Bir açık gizli kaldığı sürece düzeltmeler eski yazılım sürümlerine geri taşınamıyor, güncel sürümleri kullanmayan kullanıcılar bir sonraki büyük sürümü bekleyerek korumasız kalıyordu. Değişiklik varlığın arkasındaki yazılımı ilgilendiriyor ve yeni kurallarda Bitcoin (BTC) fiyatı seviyelerinin hiçbir rolü yok. Poinsot'un tezi şu: Büyük dil modelleri (LLM), açıkları yeniden keşfetmenin maliyetini dibe vurdu. Bazı açıkların artık tek bir basit komutla yeniden bulunabileceğini savunan geliştirici, aylarca süren gizliliğin çok az koruma sağlarken yamalı sürümleri geciktirdiğini yazıyor. Ona göre embargo dönemi pratikte az işe yarıyor ve ağırlıklı olarak düzeltilmiş sürümün çıkışını yavaşlatıyor. Güncellenen güvenlik politikası uyarınca, kolay keşfedilebilir sayılan açıklar, yani temel bir LLM komutuyla ortaya çıkarılabilen açıklar, sürdürülen tüm büyük sürümlerde olabildiğince hızlı düzeltilecek ve duyurular güncellemelerle eş zamanlı yayınlanacak. Diğer açıklar önem derecesine göre belirlenen takvime tabi kalıyor: Düşük önemli açıklar, düzeltmeyi içeren büyük sürüm çıktıktan iki hafta sonra ifşa edilecek. Orta ve yüksek önemli açıklarda takvim, son etkilenen sürümün ömrünün tamamlanmasından iki hafta sonra başlayacak; bu da düzeltmenin yeni bir büyük sürümde yayımlanmasından sonra genellikle yaklaşık bir yıla denk geliyor. Ağın iş kanıtı güvenliğini tehdit edebilecek kritik açıklar ise standart politikanın dışında tutuluyor ve tek tek değerlendirilen özel bir prosedürle ele alınıyor. Bitcoin (BTC) Infinity Show'un sunucusu ve Defending Bitcoin kitabının yazarı Luke de Wolf, geçmişte Poinsot'un güvenlik yaklaşımına katılmadığını söylemiş ancak bu güncellemeyi olumlu bir adım olarak nitelemişti.

Politika değişikliği, duyurudan uygulamaya Perşembe günkü 22 Ekim'den sonraki gün, 23 Ekim Cuma geçti: Resmî sitenin güvenlik politikasındaki güncelleme, GitHub pull request 1281 aracılığıyla birleştirildi. Bu birleştirme, Poinsot'un bir gün önce çizdiği kuralları resmîleştiriyor ve kolay keşfedilebilir yargılanan açıkların, bir LLM'e verilen basit bir talimatla bile ortaya çıkabilenlerin, hiçbir embargo süresine tabi olmayacağını kesinleştiriyor; düzeltmeler güncel olarak desteklenen her sürüme aceleyle gönderilecek ve tüm detaylar yamalı sürümlerle birlikte yayımlanacak. Diğer tüm açık sınıfları projenin mevcut ifşa takviminde kalıyor. Birleştirilen metin projenin gerekçesini de yeniden ifade ediyor: Detayları gizli tutmak, mevcut sürümlere düzeltme göndermeyi zorlaştırıyor; yapay zekadaki ilerleme ise kamuya açık bilgi olmadan bile zayıflıkların bulunma ihtimalini giderek artırıyor.

Birleştirme aynı zamanda projenin içindeki bir tartışmayı da kapattı. Kıdemli Bitcoin (BTC) güvenlik araştırmacısı Antoine Riard, Core'un bir düzeltmeyi duyuru olmadan gönderme ve detayları tek tek değerlendirerek geride tutma seçeneğini koruması için baskı yapmıştı; Poinsot ise bu değişikliği reddederek, detay verilmeden kullanıcıları uyarlamanın, hiç etkilenmemiş operatörlerin aceleyle göç etmesi yoluyla gereksiz risk yaratabileceğini yazdı. Poinsot ikinci bir dengeyi de kabul etti: Bu şekilde gönderilen yamaların, kullanıcılara ulaşmadan önce test için yeterli olgunlaşma süresi olmayacak; ancak yine de bunu, yapay zeka araçlarının zaten bulabileceği açıkları gizlemekten yeley tercih ettiğini belirtti. Pull request'in kendisini Poinsot 16 Ekim Cuma günü sundu. Politikanın cevap verdiği Bitcoin Red Team incelemesi, 390 projede 4.962 bulgu kaydetmişti ve bunların 85'i kritik sınıfına girmişti.

Birleştirme öncesi tartışma, yeni kategorinin işleyişini netleştirdi. Katılımcı Stéphan "stickies-v" Vuylsteke, saldırganların artık kod deposunu ucuza ve otomatik olarak izleyebildiğini ileri sürdü ve bu tür açıkların en geç düzeltmenin pull request'i açıldığında ifşa edilmesini önerdi; katılımcı sedited ise bunun için yazılı bir kurala gerek olup olmadığını sorguladı. Poinsot, kritik seviyenin altındaki her şeyde, düzeltilmiş bir sürüm daha var olmadan kullanıcıları uyarmanın büyük olasılıkla daha fazla zarar vereceği karşı görüşünü savundu. Değişiklik birden fazla katılımcı tarafından onaylandı ve Michael "fanquake" Ford tarafından birleştirildi. Pull request açıklamasına göre açıklar triyaj sırasında kolay keşfedilebilir olarak etiketlenebiliyor ve etiket yalnızca yapay zeka bulgularıyla sınırlı değil: Sınıflandırmanın basit bir LLM komutuyla ortaya çıkabilen sorunları kapsaması bekleniyor, ancak bunlarla sınırlı tutulmuyor.

Yapay zeka baskısının kayıplara yol açtığı durumlar artık kod raporlarının ötesine geçti. Bitcoin Red Team'in gizlice bildirdiği bir BTCPay Server açığı, günler içinde canlı satıcı sunucularında sömürüldü ve Lightning düğümlerindeki fonlar boşaltıldı; açığı ortaya çıkaran gönüllü ekip 16 geliştiriciden oluşuyordu ve bu ekip yaklaşık bir günde 390 bitcoin deposunda yapay zeka modelleri çalıştırdı. Daha önce, 30 Temmuz Perşembe günü saldırganlar bir Coldcard donanım cüzdanı açığını sömürürken yapay zekadan yararlandı ve 25 dakikada 594 BTC çekildi; dört ayrı hedeflemede toplam kayıp yaklaşık 114 milyon dolara ulaştı. En az bir Bitcoin köprüsü ise, yapay zekanın kendisinin düzeltebildiğinden daha hızlı açık bulduğu sonucuna vararak faaliyetini tamamen durdurdu.

Yapay Zeka Açık Raporları Ekosistemi Sarıyor

Bu yeniden yazım, Bitcoin ekosistemi genelinde yapay zeka destekli araştırmanın artan baskısının ortasına denk geliyor. Ağustos ayında gönüllü güvenlik araştırma grubu Bitcoin Red Team, 390 projede yaklaşık 5.000 olası sorun bildirdi; ancak o ana kadar bu bulguların yalnızca yaklaşık beşte biri doğrulanmıştı. Bu oran dengeyi özetliyor: Modeller büyük kod tabanlarını hızla tarayıp şüpheli örüntüleri işaretleyebiliyor, ama bir raporun gerçek bir açık mı yoksa gürültü mü olduğuna hâlâ insan doğrulaması karar veriyor. Core Lightning, yani Lightning Network'ün arkasındaki başlıca yazılım uygulaması, bu durumu aynı ay bizzat yaşadı. Geliştiricileri birden fazla yapay zeka üretimi açık raporu aldı ve düğüm operatörlerine ya güncelleme yapmalarını ya da güncellemenin pratik olmadığı durumlarda düğümü geçici olarak duraklatmalarını tavsiye etti. Teknik detaylar, düzeltmeler hazırlanırken iki hafta boyunca gizli kaldı; eski kurallar altında her açık için olağan olan bu akış, artık yalnızca bir alt kümeye uygulanacak. Tartışma Bitcoin'in en tanınan kurucularına da ulaştı: Eski Binance patronu CZ, yapay zekanın Bitcoin'in kriptografisini kırmadan, sızan veriler ve kimlik avı yoluyla tehdit edebileceği uyarısında bulunmuştu. Özel anahtar barındıran düğümleri işleten ya da Lightning ödemelerini yönlendiren operatörler için, yamaların ne kadar hızlı gönderildiği ve duyuruların ne kadar açık yazıldığı en doğrudan konuyu oluşturuyor.

Gizlilik Etkisini Yitiriyor

Politika metnine dair bizim okumamız şu: Bu, gizliliğin artık güvenlik satın almadığı tam da noktada, gizliliğin hıza takas edilmesi. Taşıyıcı soru sınıflandırmanın adil yapılması. Kolay keşfedilebilir etiketi, sürdürülen her sürümde anında düzeltmeyi tetikliyor; yanlış bir sınıflandırma, eski sürümleri kullananları beklemedikleri bir anda kamuya açık detayla karşı karşıya bırakabilir. Önem merdiveni, orta ve yüksek önemli açıklar için yaklaşık bir yıllık sessiz yama süresini koruyor; bu da koordineli ifşayı tamamen terk etmeden güncel yazılım çalıştırma teşvikini ayakta tutuyor. Düğüm operatörleri, duyuruların sürümlerden sonra değil onlarla birlikte geleceğini beklemeli ve yükseltme pencerelerini bu temele göre planlamalı.