Bitcoin Core modificó su política de divulgación de vulnerabilidades para acelerar la corrección de fallos que pueden ser identificados fácilmente por herramientas de inteligencia artificial. El cambio, incorporado en 22 de octubre de 2026, permite divulgar determinados problemas de seguridad sin esperar los largos períodos de confidencialidad exigidos anteriormente.
La nueva política establece una categoría para vulnerabilidades de fácil descubrimiento, incluidas aquellas que pueden identificarse con un simple prompt enviado a un modelo de lenguaje. En esos casos, los desarrolladores podrán poner a disposición correcciones y avisos públicos más rápidamente.
Los fallos fáciles de redescubrir dejarán de estar sujetos a embargos prolongados
Según las reglas tradicionales, las vulnerabilidades de baja gravedad se divulgan dos semanas después del lanzamiento de una versión principal con la corrección. Para los problemas de gravedad media o alta, la divulgación se produce dos semanas después del fin del soporte de la última versión afectada, un intervalo que puede llegar a aproximadamente un año después del lanzamiento de la corrección.
Con el cambio, los fallos clasificados como de fácil descubrimiento tendrán correcciones distribuidas para todas las versiones principales que aún se mantienen, acompañadas de un aviso de seguridad, tan pronto como sea posible. Los plazos tradicionales seguirán vigentes para los demás problemas.
Antoine Poinsot, el desarrollador responsable de la propuesta, explicó que Bitcoin Core empezó a recibir más informes de vulnerabilidades que pueden redescubrirse con poco esfuerzo. Según él, los modelos de lenguaje redujeron significativamente la dificultad de identificar determinados fallos e incluso de reconocer correcciones implementadas discretamente.
En la discusión pública, Poinsot argumentó que mantener esos problemas en secreto ofrece poca protección adicional y acaba retrasando la puesta a disposición de las correcciones. También reconoció que los lanzamientos acelerados podrán pasar por períodos más cortos de pruebas antes de llegar a los usuarios.
Las vulnerabilidades críticas seguirán sujetas a procedimientos específicos, según la gravedad y las circunstancias de cada caso. La nueva clasificación tampoco depende exclusivamente del uso de inteligencia artificial.
El cambio modifica los procedimientos de respuesta a incidentes del software, pero no representa el anuncio de una nueva vulnerabilidad ni de un compromiso de la red Bitcoin.
