Bitcoin Core changes security rules as AI makes finding code bugs dangerously easy

CoinDesk 기사(Shaurya Malwa) 전문을 옮겼어요.

무엇이 바뀌었나요

비트코인 네트워크 대부분이 쓰는 소프트웨어 Bitcoin Core가, AI가 다시 찾아낼 수 있는 버그라면 몇 달씩 수정을 숨겨 두지 않기로 했어요. 메인테이너들이 목요일 보안 정책 변경을 병합했어요.

예전 방식

| 심각도 | 공개 시점 | |---|---| | 낮음 | 다음 메이저 버전 출시 2주 뒤 | | 중간·높음 | 영향받는 마지막 버전의 지원 종료(EOL) 2주 뒤까지 엠바고(약 1년까지) |

수정을 조용히 내보내고 한참 뒤 설명하면, 노드 운영자가 업그레이드하기 전에 공격자가 구멍을 알지 못한다는 논리였어요. 하지만 이건 버그를 찾는 데 실력이 필요하던 시절의 규칙이었어요.

새 방식

• 분류 단계에서 버그를 "찾기 쉬움"으로 표시할 수 있어요. 실제로는 "LLM에 간단한 프롬프트로 찾을 수 있는" 버그를 뜻해요.
• 이런 버그는 지원 중인 모든 버전에 수정을 백포트하고, "가능한 한 빨리" 포인트 릴리스와 일부 세부가 담긴 보안 권고를 함께 내요.
• 정책 문구: "찾기 쉬운 이슈에는 잘못된 절충이에요. 엠바고는 얻는 게 거의 없고 수정 릴리스만 늦춰요."
• 대신 수정이 사용자에게 가기 전 테스트 숙성 시간(bake time)이 줄어든다는 점도 인정했어요.

변경을 쓴 Chaincode Labs의 Antoine Poinsot은 "LLM이 특정 유형의 문제를 찾거나 숨은 수정을 알아내는 문턱을 크게 낮췄다"고 설명했어요.

이견

오랜 보안 연구자 Antoine Riard는 권고 없이 수정만 내보내고 세부를 사안별로 숨길 선택지를 남기자고 했지만, Poinsot은 "세부 없이 취약점을 알리면 영향받지 않을 사용자까지 서둘러 옮기는 등 불필요한 위험이 생길 수 있다"며 거절했어요.

배경: AI가 찾은 버그의 여름

• 16명의 자원 개발자 모임 Bitcoin Red Team이 7월 말 약 하루 만에 AI로 390개 비트코인 프로젝트를 훑어 4,962건을 기록했고, 그중 85건이 치명적이었어요.
• 이들이 비공개로 알린 BTCPay Server 결함은 며칠 만에 실제 상점 서버에서 악용돼 라이트닝 노드 자금이 빠져나갔어요.
• Core Lightning은 작은 팀에 들어온 AI 생성 보고가 진짜로 드러나자 운영자들에게 연결을 끊으라고 했어요.
• 더 큰 손실은 AI와 무관했어요. 2021년부터 잠복한 Coldcard 펌웨어 결함으로 7월 30일 25분 만에 594 BTC가 빠져나갔고, 네 차례에 걸친 손실은 약 1억1,400만 달러에 달했어요.

새 규칙으로 표시된 버그는 아직 없어요.

이 글은 정보 제공용이며 투자 권유가 아니에요. 투자 판단과 책임은 본인에게 있어요. 수치는 기사 작성 시점 기준이에요.