03
2026-10-29
33分
Bitcoin Core 首批公告：3 項 AI 一句話找得到的漏洞
交易所、託管商與錢包後端跑的比特幣節點，多半是 Bitcoin Core。10 月 22 日它改了漏洞揭露政策：AI 一句話就找得到的漏洞，要盡快補到所有維護中的版本並公開安全公告，不再壓上一年。
10 月 28 日 Bitcoin Core 公布三項漏洞，修補版本是 29.5、30.4、31.2 與 32.1，全由 Spiral 的 Project Loupe 以 AI 掃出，修補由寫下新政策的 Antoine Poinsot 提交。兩項屬中度：TCP 緊急資料可讓 Windows、macOS、BSD 節點記憶體耗盡當機（Linux 不受影響），停滯的舊協議對等節點也能讓記憶體每小時增加 2 至 5 MB。第三項屬低度，是 undo 檔案溢位。
- Bitcoin CoreBitcoin Core 安全公告：非 Linux 系統上經由 TCP 緊急資料造成的記憶體無限成長
- Bitcoin CoreBitcoin Core 安全公告：已暫停的 pre-BIP31 對等節點造成記憶體緩慢無限成長
- Bitcoin CoreBitcoin Core 安全公告：極端條件下 undo 檔案溢位
- CoinDeskAI 找到讓 Windows 與 Mac 上比特幣節點當機的方法，現已公開
相關脈絡 · 1 件
交易所、託管商與錢包後端跑的比特幣節點，多半是同一套軟體 Bitcoin Core。它原本的漏洞揭露政策很慢：低風險漏洞在下個大版本發布兩週後公開，中、高風險漏洞要等最後一個受影響版本停止維護兩週後才公開，實際上可能壓一年。今年 8 月，志工用 AI 在 27.5 小時內掃過 390 個比特幣專案，回報 85 個嚴重漏洞。
10 月 22 日，Bitcoin Core 合併了新的安全政策（PR #1281，Antoine Poinsot 撰寫）。維護者分流時可以把漏洞標成「容易被發現」，例如用一句 AI 提示就找得到的。這類漏洞會補到所有仍在維護的版本，盡快發小版本，並同步公布安全公告，不再等禁運期。維護者也承認，這些修補上線前的測試時間會變短。截至目前，還沒有漏洞依新規則標記。