AIによるバグ発見の容易化を受け、Bitcoin Coreがセキュリティポリシーを変更し禁止措置を解除

Bitcoin Coreがセキュリティポリシーを変更

Bitcoin Core（ビットコイン・コア）は、大規模言語モデル（LLM）をはじめとするAI（人工知能）ツールの急激な進化に伴い、セキュリティポリシーの抜本的な改定に踏み切った。

従来の脆弱性開示ルールでは、攻撃者に悪用されるリスクを防ぐため、修正パッチが適用された後も長期間にわたって情報を非公開にするエンバーゴ（情報公開猶予期間）が設けられていた。

しかし、AIを活用した自動分析によって、誰でも簡単にコードの欠陥や過去の修正痕跡を発見できるようになり、これまでの長期的な非公開対応は、かえってセキュリティ上のリスクを高める要因となっていた。こうした背景を受け、プロジェクト側はAI時代に対応した新たなセキュリティルールの運用を開始している。

AIの進化がもたらした脆弱性発見の劇的な変化

これまでのBitcoin Coreにおける脆弱性対応では、報告された欠陥の深刻度に応じて情報開示のタイミングが細かく調整されていた。

例えば…、中程度から高い深刻度を持つ問題については、影響を受ける最後のソフトウェアバージョンがサポート終了を迎えるまで、最長で1年近くも情報が非公開にされるケースが存在。このアプローチは、アップグレードのペースが緩やかなノード運営者に対し、詳細が公表される前に移行のための十分な時間を与えることを目的としていた。

しかし、16人の開発者からなるBitcoinレッドチームによる大規模なセキュリティ調査などにおいて、AIを活用した自動分析が驚異的なスピードで数千件規模の潜在的な問題をあぶり出すことが実証された。開発者のアントワーヌ・ポワンソ（Antoine Poinsot）氏が指摘するように、LLMへの簡単なプロンプト入力だけでも脆弱性の特定や過去のパッチの追跡が容易になった現在では、情報を長期間隠し続ける手法はもはや機能しない。AIの普及により、隠蔽（いんぺい）による安全性の前提が崩れ去ったことが、今回のポリシー変更を促す最大の原動力となった。

迅速な修正プログラムの配布と情報公開の新ルール

2026年10月22日（木曜日）に承認・統合された新しいセキュリティポリシーでは、従来の枠組みを大きく見直し、迅速な対応へと舵（かじ）を切っている。改定のポイントは以下の通りだ。

容易に発見可能な脆弱性の新設：
LLMへのプロンプトなど、最小限の労力で特定できる欠陥については、新たなカテゴリーとして分類されます。
長期エンバーゴの廃止：
従来最長1年近くにおよんでいた公開猶予期間を撤廃。サポート対象のすべての主要メジャーバージョンに対して迅速に修正プログラム（ポイントリリース）をバックポートする。
アドバイザリの同時公開：
修正版ソフトウェアのリリースと同時に、詳細を記したセキュリティ警告を速やかに発行する。
従来の例外規定：
プロトコルレベルでのコインの不正増加や恒久的なチェーン分岐を引き起こすようなクリティカルな問題については、これまで通り個別の対応が検討される。

この迅速化に対しては、ユーザーの元に届くまでのテスト期間が短縮される懸念や、不必要な慌ただしさを招くのではないかという議論も一部で存在した。しかし最終的には、隠し通すことのデメリットの方が大きいため、迅速なアップデートと透明性の高い警告の両立が最善であると判断された。

AI時代における暗号資産エコシステムの新たな課題

今回のBitcoin Coreによる方針転換は、基盤となるブロックチェーンだけでなく、周辺のインフラストラクチャーやウォレット、各種関連プロジェクトを含めた暗号資産エコシステム全体に大きな影響を与えている。

夏場には、BTCPay ServerやCore Lightningといった関連サービスにおいて、AI支援技術による脆弱性報告や実際のインシデントが相次ぎ、迅速なシステムのアップグレードやネットワークからの切断が余儀なくされる事態が発生。ハードウェアウォレットなどを狙ったセキュリティ上の脅威も顕在化しており、基盤技術が健全であっても周辺環境の脆弱性が資産を危険にさらすリスクが改めて浮き彫りになっている。

Bitcoin Coreが情報公開のスピードを加速させたことは、ノード運営者に対してより素早い対応を求める一方で、AI時代におけるオープンソースセキュリティのあり方に新たな基準を示すものとなった。今後は、開発者コミュニティ全体で自動化された脅威に対抗するための、より敏捷で柔軟な防衛体制の構築が求められている。