O Bitcoin Core alterou sua política de divulgação de vulnerabilidades para acelerar a correção de falhas que podem ser identificadas facilmente por ferramentas de inteligência artificial. A mudança, incorporada em 22 de outubro de 2026, permite divulgar determinados problemas de segurança sem aguardar os longos períodos de confidencialidade anteriormente exigidos.
A nova política estabelece uma categoria para vulnerabilidades de fácil descoberta, incluindo aquelas que podem ser identificadas com um simples prompt enviado a um modelo de linguagem. Nesses casos, os desenvolvedores poderão disponibilizar correções e avisos públicos mais rapidamente.
Falhas fáceis de redescobrir deixarão de seguir embargos prolongados
Pelas regras tradicionais, vulnerabilidades de baixa gravidade são divulgadas duas semanas após o lançamento de uma versão principal com a correção. Para problemas de gravidade média ou alta, a divulgação ocorre duas semanas depois do fim do suporte à última versão afetada, um intervalo que pode chegar a aproximadamente um ano após o lançamento da correção.
Com a alteração, falhas classificadas como facilmente descobertas terão correções distribuídas para todas as versões principais ainda mantidas, acompanhadas de um aviso de segurança, assim que possível. Os prazos tradicionais continuarão válidos para os demais problemas.
Antoine Poinsot, desenvolvedor responsável pela proposta, explicou que o Bitcoin Core passou a receber mais relatos de vulnerabilidades que podem ser redescobertas com pouco esforço. Segundo ele, os modelos de linguagem reduziram significativamente a dificuldade de identificar determinadas falhas e até reconhecer correções implementadas discretamente.
Na discussão pública, Poinsot argumentou que manter esses problemas em sigilo oferece pouca proteção adicional e acaba atrasando a disponibilização das correções. Ele também reconheceu que lançamentos acelerados poderão passar por períodos menores de testes antes de chegar aos usuários.
Vulnerabilidades críticas continuarão sujeitas a procedimentos específicos, conforme a gravidade e as circunstâncias de cada caso. A nova classificação também não depende exclusivamente do uso de inteligência artificial.
A alteração modifica os procedimentos de resposta a incidentes do software, mas não representa o anúncio de uma nova vulnerabilidade ou de um comprometimento da rede Bitcoin.
