비트코인 코어, AI 위험 속 취약점 공개 정책 개정

대규모 언어 모델로 일부 소프트웨어 결함을 훨씬 쉽게 찾아낼 수 있게 되면서 비트코인 코어가 보안 취약점 처리 방식을 개정하고 있다. 개정된 정책에 따라 쉽게 발견할 수 있는 것으로 분류된 취약점은 유지·관리 중인 모든 주요 버전에 가능한 한 신속하게 수정 사항을 적용한다. 보안 권고도 해당 업데이트와 함께 발표한다. 비트코인 코어는 간단한 프롬프트를 대규모 언어 모델에 입력하는 방법을 포함해, 큰 노력 없이 찾아낼 수 있는 결함을 해당 분류에 포함한다고 밝혔다.

비트코인 코어 개발자 앙투안 푸아조는 목요일 비트코인 개발 메일링 리스트에 보낸 이메일에서 변경 내용을 설명했다. 푸아조는 개발자들이 취약점 세부 내용이 공개되기 전에 사용자들이 업그레이드할 수 있도록 이전에는 공개를 오랫동안 유예했다고 말했다. 비밀 유지는 대체로 개발자들이 이전 소프트웨어 버전에 수정 사항을 백포팅하는 것을 막았고, 이에 따라 사용자들은 다음 주요 버전이 나올 때까지 기다려야 했다. 그러나 푸아조는 이제 대규모 언어 모델 때문에 일부 취약점을 다시 찾아내기가 매우 쉬워져, 수정을 미루더라도 보호 효과가 거의 없다고 말했다. 푸아조는 이런 취약점의 공개를 유예해도 얻는 것은 거의 없는 반면 수정된 소프트웨어의 배포만 늦어진다고 말했다.

그 밖의 취약점은 심각도에 따라 정해진 공개 일정을 유지한다. 심각도 분류는 비트코인의 근본적 보안을 위협하는 치명적 취약점부터 개별 노드에 제한적인 영향을 미치는 위험도가 낮은 결함까지 포괄한다. 비트코인 코어는 심각도가 낮은 취약점은 수정 사항이 포함된 주요 버전이 출시된 지 2주 후 공개한다고 밝혔다. 심각도가 중간 또는 높은 취약점은 영향을 받은 최종 버전의 지원이 종료된 지 2주 후 공개한다고 밝혔다. 이 시점은 일반적으로 수정 사항이 새 주요 버전에 반영된 지 1년 뒤다. 비트코인 코어는 치명적 버그는 표준 정책에서 제외된다고 밝혔다. 이런 버그에는 대체로 임시 절차가 필요하기 때문이다.

AI를 활용한 보안 연구가 비트코인 소프트웨어 생태계 전반의 개발자들에게 부담을 키우고 있다. 비트코인 인피니티 쇼 진행자이자 《디펜딩 비트코인》(Defending Bitcoin)의 저자인 루크 드 울프(Luke de Wolf)는 푸아조의 보안 접근 방식에 과거 이견을 보였지만 이번 개정은 환영했다.

자원봉사자들로 구성된 비트코인 레드팀은 8월 390개 프로젝트에 영향을 미치는 잠재적 문제를 5,000건 가까이 보고했다. 그러나 당시 발견 사항 가운데 재현된 것은 약 5분의 1에 불과했다. 같은 달 코어 라이트닝 개발자들은 AI가 생성한 취약점 보고를 여러 건 받은 뒤 운영자들에게 노드를 업그레이드하거나 연결을 끊으라고 권고했다. 코어 라이트닝 개발자들은 기술 세부 사항을 2주 동안 공개하지 않았다.