Bitcoin Core hat am Donnerstag, den 23. Oktober 2026, seine Sicherheitsrichtlinie angepasst, um auf Schwachstellen zu reagieren, die leicht durch Künstliche Intelligenz (KI) wiederentdeckt werden können[1][2][3]. Die Neuerung sieht vor, dass für solche 'leicht auffindbaren' Fehler umgehend Patches und Veröffentlichungen bereitgestellt werden, anstatt die bisher üblichen langen Embargos zu verhängen[1][2][3].
Das ist passiert
Die Änderung der Sicherheitsrichtlinie wurde notwendig, da Large Language Models (LLMs) die Hürde für das Auffinden bestimmter Fehlerklassen drastisch gesenkt haben, was zu einem Anstieg entsprechender Meldungen führte[1][2][3]. Antoine Poinsot, Entwickler bei Chaincode Labs und Autor des Vorschlags, kündigte die Anpassung am selben Tag in einer Nachricht an die Bitcoin Development Mailing List an[1][2][3].
Zuvor wurden Schwachstellen je nach Schweregrad mit Embargos belegt, die von zwei Wochen bis zu einem Jahr dauern konnten[1][3]. Für als 'leicht auffindbar' eingestufte Schwachstellen wird Bitcoin Core nun einen Fix auf alle unterstützten Hauptversionen zurückportieren, so schnell wie möglich Punkt-Releases veröffentlichen und gleichzeitig eine Sicherheitswarnung mit Details publizieren[1][2][3]. Die Kategorie 'leicht auffindbar' umfasst Probleme, die 'mit minimalem Aufwand, wie durch eine einfache LLM-Eingabeaufforderung' gefunden werden können, ist aber auch für Fehler offen, die auf andere Weise entdeckt wurden[1][2][3].
Poinsot argumentierte, dass die bisherige Abwägung für leicht wiederentdeckbare Fehler nicht funktioniert, da die Embargofrist wenig erreicht, aber die Verfügbarkeit einer behobenen Version verzögert[1][2][3]. Er lehnte den Vorschlag von Antoine Riard ab, einen Fix ohne Advisory zu veröffentlichen und Details fallweise zurückzuhalten, da dies 'unnötig mehr Risiko schaffen' könnte[1][3].
Diese Änderung folgt auf Monate erhöhten Drucks auf Open-Source-Projekte von Bitcoin. Im Juli entdeckte das 'Bitcoin Red Team' mittels KI-Modellen 4.962 Befunde, davon 85 als kritisch eingestuft[1][2][3]. Ein vom Bitcoin Red Team privat gemeldeter BTCPay Server-Fehler wurde im Juli auf Live-Händlerservern ausgenutzt, was zum Leeren von Lightning-Nodes führte[1][3]. Im August forderten Core Lightning-Entwickler die Betreiber auf, ein Upgrade durchzuführen oder die Verbindung zu trennen, nachdem KI-generierte Berichte an das Projekt sich als zutreffend erwiesen hatten[1][3]. Ein Coldcard Hardware-Wallet-Exploit am 30. Juli führte zum Verlust von 594 BTC in 25 Minuten, wobei die Verluste über vier Angriffe hinweg fast 114 Millionen US-Dollar erreichten[1][3].
Die Zahlen
| Ereignis | Anzahl / Wert | Einheit | Stand |
|---|---|---|---|
| Befunde durch Bitcoin Red Team | 4962 | Anzahl | Juli 2026 |
| Kritische Befunde | 85 | Anzahl | Juli 2026 |
| Verlust durch Coldcard Exploit | 594 | BTC | 2026-07-30 |
| Verlust durch Coldcard Exploit | 114000000 | USD | 2026-07-30 |
Quelle der Tabelle: [1]
Einordnung
Die Anpassung der Sicherheitsrichtlinie von Bitcoin Core spiegelt eine proaktive Reaktion auf die sich entwickelnden Fähigkeiten von Künstlicher Intelligenz wider. Die zunehmende Effizienz von LLMs beim Auffinden von Softwarefehlern stellt Open-Source-Projekte vor neue Herausforderungen. Durch die Priorisierung schneller Fixes für leicht identifizierbare Schwachstellen versucht Bitcoin Core, das Risiko potenzieller Ausnutzungen zu minimieren und die Sicherheit des Netzwerks zu gewährleisten. Dies unterstreicht die Notwendigkeit für dezentrale Projekte, flexibel auf technologische Fortschritte zu reagieren, um die Integrität und Souveränität ihrer Systeme zu erhalten.
Was noch offen ist
Antoine Poinsot räumte ein, dass schnelle Fixes weniger Testzeit haben werden, bevor sie die Nutzer erreichen[1]. Es ist noch unklar, wie die ersten nach der neuen Richtlinie als 'leicht auffindbar' markierten Schwachstellen umgesetzt werden und ob das Gleichgewicht zwischen Geschwindigkeit und Testumfang zu einer Rückkehr zur alten Praxis führen wird[1]. Zudem bleibt abzuwarten, ob kleinere Lightning-Implementierungsteams wie Core Lightning mit der Menge der von KI generierten Berichte Schritt halten können[1].
