Yapay zekâ tek yazıyla yüzlerce bitcoin açığı buldu: Bitcoin Core gizlilik kuralını kaldırdı

Bir yaz boyunca yapay zekâ araçları, insanlardan önce yüzlerce bitcoin zafiyeti tespit etti. Bu dalganın doğrudan sonucu olarak Bitcoin Core'un sürdürücüleri, yapay zekâ modelleriyle kolayca yeniden bulunabilecek güvenlik açıklarının artık aylarca gizli tutulmayacağını öngören yeni bir güvenlik politikasını perşembe günü projeye merge etti.

Değişikliğin gerekçesini öneri metninde açıklayan Chaincode Labs geliştiricisi Antoine Poinsot, son dönemde "kolayca yeniden keşfedilebilen" güvenlik açığı bildirimlerinde artış yaşandığını, bunun büyük dil modellerinin (LLM) belirli sorun sınıflarını bulma barını ciddi biçimde düşürmesinden kaynaklandığını yazdı.

İlgili: Bitcoin tercih hisseleri 136 bin BTC alımı finanse etti: Temettü yükü büyüyor

Bir günde 390 proje, binlerce zafiyet

Politikayı tetikleyen olaylar temmuz sonunda yaşandı. "Bitcoin Red Team" adını kullanan 16 gönüllü geliştiriciden oluşan grup, yaklaşık bir gün içinde yapay zekâ modellerini 390 bitcoin projesinde çalıştırdı ve 4.962 olası zafiyet tespit etti; bunların 85'i kritik olarak sınıflandırıldı.

Grubun özel olarak bildirdiği bir BTCPay Server açığı günler içinde canlı ticari sunucularda sömürülmeye başladı ve tacirlerin küçük bitcoin ödemeleri aldığı Lightning düğümleri boşaltıldı. Core Lightning ise küçük ekibine gelen yapay zekâ kaynaklı bildirimlerin gerçek çıkması üzerine operatörleri bağlantılarını kesmeye çağırdı.

En büyük kayıp ise yapay zekâ gerektirmeyen bir açıkta yaşandı: Coldcard donanım cüzdanı yazılımında 2021'den beri var olan bir zafiyet, 30 temmuzda saldırganların 25 dakikada 594 BTC çekmesine izin verdi ve dört ayrı harekette kayıplar 114 milyon dolara yaklaştı. Coldcard, düzeltmesini yayınlarken süreçte yapay zekânın ek zafiyetleri yakalamaya da yardım ettiğini belirtti.

Eski sistem neden yetersiz kaldı?

Eski kuralda bildirilen her açık şiddetine göre sınıflandırılıyordu: Düşük şiddetli açıklar bir sonraki büyük sürüm çıktıktan iki hafta sonra, orta ve yüksek şiddetli açıklar ise etkilenen son sürümün ömrü tamamlanmasından iki hafta sonra gün yüzüne çıkıyordu. Bu yaklaşımın mantığı, ağın her bitcoin işlemini doğrulayan ve ileten bilgisayarlar olan düğümleri yürüten kullanıcılar güncellemeyi yükleyene kadar saldırganların açıdan habersiz kalmasını sağlamaktı.

Politika metnine göre bu tür kolay bulunabilir açıklar için gizlilik dönemi "pek bir işe yaramıyor ama sabit sürümün ulaşılabilirliğini geciktiriyor". Dolayısıyla eski düzen, hata bulmanın beceri gerektirdiği bir dünyaya göre tasarlanmıştı ve yapay zekâ araçlarının yaygınlaşması bu mekanizmayı işlemez hale getirdi.

Yeni kural nasıl işleyecek?

Yeni düzenlemeyle inceleme (triage) aşamasında "bir LLM'e basit bir komutla bulunabilir" niteliğinde görülen açıklar işaretlenebilecek. Bu zaaflar için düzeltme, Core'un halen desteklediği tüm sürümlere geri taşınacak ve güvenlik danışma belgesiyle birlikte "mümkün olan en kısa sürede" bir ara sürüm olarak yayınlanacak. Bedeli ise düzeltmelerin kullanıcılara ulaşmadan önce eskisi kadar test edilmemesi olacak; Poinsot bunu "fırında daha az bekletme" şeklinde tanımladı.

Değişiklik üzerinde geliştiriciler arasında tam mutabakat yoktu. Uzun süreli bitcoin güvenlik araştırmacısı Antoine Riard, bazı durumlarda detay verilmeden yalnızca düzeltme yayınlanması seçeneğinin olay bazında korunmasını istedi. Poinsot bu yaklaşımı reddederek, detaysız bir güvenlik uyarısının, aksi hâlde etkilenmeyecek kullanıcıların panikle göç etmesine yol açarak gereksiz risk yaratabileceğini savundu.