Bitcoin smetterà di nascondere bug che un’intelligenza artificiale può trovare con un solo prompt

Negli ultimi mesi Bitcoin Core ha aggiornato la propria politica di divulgazione delle vulnerabilità, motivando la mossa con l’impatto dei LLM (modelli di linguaggio di grandi dimensioni) che abbassano radicalmente la soglia per scoprire e riprodurre alcune classi di problemi.

Poinsot ha scritto:

“Questo è dovuto in gran parte al fatto che i modelli di linguaggio abbassano drasticamente la soglia per individuare determinate classi di problemi o identificare correzioni occulte.”

Come funziona la nuova procedura

La procedura prevede che, durante la fase di triage, un bug possa essere classificato come facilmente individuabile: in pratica si tratta di vulnerabilità che “possono essere trovate con un semplice prompt a un LLM“.

Nel caso di questi problemi considerati facili da trovare, la correzione viene riportata su tutte le versioni ancora supportate e distribuita in un rilascio puntuale il prima possibile, accompagnata da un avviso di sicurezza contenente alcuni dettagli.

La nuova policy osserva:

“Per queste vulnerabilità facilmente rintracciabili, il compromesso precedente è errato: il periodo di embargo ottiene poco e ritarda la disponibilità di una versione corretta.”

Tuttavia, come sottolineato dallo stesso Poinsot, le correzioni consegnate in questo modo avranno meno tempo per essere testate prima di raggiungere gli utenti: la cosiddetta fase di ‘bake time’ sarà più breve.

Reazioni e dissensi tra sviluppatori

Non tutti i contributori al progetto hanno condiviso la linea rigorosa. Antoine Riard, ricercatore di lungo corso nel campo della sicurezza su bitcoin, ha proposto di mantenere la possibilità di distribuire una correzione senza pubblicare immediatamente tutti i dettagli, valutando caso per caso.

Antoine Riard ha proposto:

“Dovremmo conservare l’opzione di rilasciare una patch senza un avviso completo, trattenendo i dettagli quando necessario per limitare il rischio immediato.”

Poinsot ha rifiutato questa impostazione:

“Segnalare agli utenti una vulnerabilità di sicurezza senza alcun dettaglio potrebbe creare rischi aggiuntivi inutili, portando a migrazioni affrettate da parte di utenti che altrimenti non sarebbero interessati.”

Un gruppo volontario di 16 sviluppatori, che si autodefinisce Bitcoin Red Team, ha sperimentato l’efficacia di strumenti basati su AI analizzando circa 390 progetti legati a bitcoin in poco più di una giornata: sono state registrate 4.962 segnalazioni, di cui 85 classificate come critiche.

Contesto ed effetti pratici

L’accelerazione delle scoperte operate dai LLM impone scelte difficili: da un lato la disponibilità rapida di patch riduce la finestra sfruttabile da potenziali attaccanti; dall’altro, la compressione dei tempi di testing può aumentare il rischio che una correzione introduca regressioni operative.

Per chi gestisce servizi in Italia e in Europa — exchange, servizi di custodia, portafogli software, merchant che accettano bitcoin — la nuova politica comporta una maggiore necessità di governance degli aggiornamenti: procedure di deploy più rapide, test automatizzati più robusti e una comunicazione chiara con gli utenti per evitare migrazioni affrettate e interruzioni di servizio.

Sul piano più ampio, la vicenda mette in luce come l’avanzamento degli strumenti di intelligenza artificiale stia trasformando anche i processi di sicurezza del software open source, richiedendo un equilibrio tra trasparenza, responsabilità e resilienza operativa.

Raccomandazioni operative

Le organizzazioni che dipendono dall’infrastruttura bitcoin dovrebbero rafforzare i programmi di gestione delle patch, investire in ambienti di test isolati e adottare politiche di comunicazione che bilancino tempestività e precisione nelle informazioni di sicurezza.

Inoltre, è consigliabile che le imprese italiane valutino l’adozione di liste di controllo per l’aggiornamento rapido e di strumenti di monitoraggio che segnalino il livello di adozione di una patch nella rete, riducendo l’incertezza nel processo di migrazione.

In sintesi

• La diffusione dei LLM accelera l’identificazione delle vulnerabilità, riducendo la finestra per lo sfruttamento ma comprimendo i tempi di test: per gli investitori, ciò significa potenziali volatilità a breve termine legate a patch critiche.
• I fornitori di servizi italiani dovranno incrementare gli investimenti in processi di patching e testing automatico per limitare interruzioni e rischi operativi, con impatti sui costi di gestione e sulla continuità dei servizi.
• Una politica di divulgazione più rapida può ridurre l’esposizione complessiva dell’ecosistema, ma richiede coordinamento tra sviluppatori, gestori di nodi e operatori di mercato per evitare migrazioni affrettate e instabilità.