比特币改了十年老规矩：AI 能一句话找出来的漏洞，不再藏着掖着

一个安全潜规则统治了比特币十年：发现漏洞，悄悄修，一年后再解释。现在这条规则被 AI 亲手废掉了。

三个关键信息

比特币核心（Bitcoin Core）开发者于 10 月 22 日合并了一项安全策略变更。 据 CoinDesk 报道，此前低危漏洞在下个大版本发布两周后公开，中高危漏洞则要等受影响的最后一个版本停止支持之后再保密两周，最长可达约一年。这套逻辑的前提是「找漏洞需要技术」——悄悄修好，等节点都升级完再解释，攻击者就来不及反应。

AI 把这个前提摧毁了。 提出改动的 Chaincode Labs 开发者 Antoine Poinsot 在提案中写道：「我们最近看到，容易被（重新）发现的安全漏洞报告数量增加了」，「这很大程度上是因为 LLM 大幅降低了发现某些类型问题、或识别出隐蔽修复的门槛」。新规下，如果在分诊阶段判定某个漏洞「用一句简单的 LLM 提示就能找到」，修复会被回移到所有仍支持的版本，尽快随小版本发布，并附上带部分细节的安全公告。

代价是测试时间变短。 Poinsot 承认，这类修复「不会有那么多『烘焙时间』」再交付给用户。报道同时提到背景：一个由 16 名开发者组成的志愿者团体「比特币红队」在 7 月底用约一天时间跑了 390 个比特币项目，记录下 4,962 个发现，其中 85 个为严重级。几天内，他们私下报告的一个 BTCPay Server 漏洞就已经在活跃的商户服务器上被利用。

王斗视角

先说清楚这件事的分量：这是一次「安全世界的基本假设被外部技术推翻」的现场直播。

过去十年，漏洞保密期的逻辑非常优雅——「发现难，利用也难，所以慢慢来」。整套节奏建立在「信息不对称」上：谁先知道，谁占便宜。而 LLM 做的第一件事，就是把「先知道」这件事的门槛从「安全研究员级别」降到「会打字就行」。当一个漏洞从「需要三个月挖」变成「一句提示词就能找」时，那段长达一年的保密期不但保护不了任何人，反而变成了一个巨大的、写在公开日历上的风险窗口：修好了不告诉大家，等于让所有节点在不知情的情况下继续裸奔。

但这次改动最耐人寻味的地方，不在「更快公开」，在于「更少测试」。Poinsot 自己都承认烘焙时间变短了。这就引出一个真问题：我们为了让「已知的洞」早点补上，愿意承担多少「补出新洞」的风险？在传统软件里，这个权衡有成熟答案；在跑着几千亿美元资产的比特币上，每一次「赶紧发」都是在走钢丝。

第三个值得记的点是那个志愿组织：16 个人，一天，390 个项目，4,962 个发现，85 个严重。这组数字说明的其实不是 AI 多强，而是开源世界欠了多少债——那些年久失修、没人维护的项目，一直是整个生态里最薄的一层。AI 只是把这层薄的地方，用探照灯照了出来。

来源：CoinDesk · Bitcoin Core PR