Когда ИИ может найти уязвимость в коде за один промпт, держать её в секрете месяцами или даже год уже не имеет смысла. Именно к этому выводу пришли разработчики Bitcoin Core, обновив политику раскрытия уязвимостей. Раньше серьёзные баги скрывались долго: средние и высокие по критичности уходили в эмбарго вплоть до окончания поддержки последней затронутой версии. Логика была простой — если баг известен только разработчикам и пользователям, то успевают выкатить патч прежде, чем об уязвимости узнают злоумышленники. Но это работало в мире, где нужны были настоящие навыки, чтобы найти проблему в коде.
Летом ситуация резко изменилась. Анализ 390 Bitcoin-проектов, проведённый с помощью ИИ, выявил почти 5000 потенциальных уязвимостей, из них 85 критических. Нейросети систематически переоткрывали баги, которые разработчики уже нашли и держали в секрете. Это создало парадокс: эмбарго на раскрытие защищал только от людей, но не от ИИ. Поэтому Chaincode Labs разработал новый подход — теперь уязвимости, которые алгоритм может найти в одном запросе, раскрываются быстро, почти без задержек, параллельно с выпуском патча.
Изменение отражает более широкую проблему информационной безопасности в эру ИИ. Если раньше секретность была защитой, то теперь она иллюзия. Давать ложное чувство защиты через длительные эмбарго уже неэффективно, когда любой может в ChatGPT вписать «найди уязвимость в коде Bitcoin» и получить результат. При этом быстрое раскрытие означает, что патчи пойдут в продакшн с меньшей тестовой базой. Команда Bitcoin Core исходит из расчёта, что риск от неправильно залеченного бага ниже, чем риск от того, что уязвимость переоткроет ИИ и её используют злоумышленники. Это калькуляция из области «меньше двух зол».
История эта показывает и другое: ИИ перестал быть просто инструментом для работы, он стал фактором, меняющим саму природу информационной безопасности. Раньше security по large был основан на асимметрии знания — дефендеры знают код лучше, чем аттакеры. Теперь эта асимметрия рушится. Нейросети демократизируют доступ к способности находить баги, и тем самым они вынуждают всю индустрию переосмыслить, как работает защита на принципе «security through obscurity».
Для российского бизнеса, работающего с крипто или блокчейном, это означает, что полагаться на тайну уязвимостей больше не стоит. Если вы развёртываете ноды Bitcoin или пишете смарт-контракты, нужно готовиться к быстрому циклу обновлений и более внимательному мониторингу релизов, не ждать, что проблемы долго остаются неизвестны. Для компаний, использующих инструменты типа AI Studio для автоматизации обработки криптографических операций или платежных сценариев, актуально настроить систему автоматического обновления зависимостей и регулярную проверку кода через ИИ-анализаторы, прежде чем их код проверит нейросеть конкурента или черного шапочника.
Парадокс политики Bitcoin Core в том, что она признаёт: ИИ сделал старую защиту бесполезной, и честнее просто открыто работать с багами, чем претворяться, что их можно скрыть. Это практичный ход, но он же сигнализирует разработчикам: если хотите защиту реальную, не фальшивую, строить её нужно на других принципах.