Bitcoin Core corrige trois vulnérabilités détectées par l’IA

Bitcoin Core a révélé trois vulnérabilités de sécurité le 28 octobre, après la publication des correctifs dans les versions 29.5, 30.4, 31.2 et 32.1. Project Loupe, un scanner automatisé dirigé par Elias Rohrer, de Spiral, a découvert les bogues grâce à l’analyse de code assistée par IA ; le développeur Gregory Sanders les a vérifiés. Le modèle d’IA utilisé n’a pas été précisé. Deux failles ont été évaluées comme présentant une gravité moyenne. L’une pourrait permettre à un pair malveillant de faire planter des nœuds fonctionnant sous Windows, macOS ou BSD ; les nœuds Linux ne sont pas concernés. Une autre pourrait augmenter progressivement l’utilisation de la mémoire jusqu’à 2 Mo par heure pour chaque pair entrant, ou 5 Mo par heure pour chaque pair sortant. Un troisième bogue, de faible gravité, pourrait corrompre les fichiers d’annulation de la blockchain et arrêter un nœud dans certaines conditions ; le risque pratique est plus élevé sous Windows et sur les systèmes 32 bits. L’avis précédent mentionnait également des limites liées aux systèmes 32 bits et aux lecteurs FAT32. Les avis n’indiquaient pas si l’une de ces failles avait été exploitée. Il n’a pas été rapporté que ces bogues permettent de voler des bitcoins, mais un nœud non mis à jour pourrait perturber la validation ou la propagation des transactions. La politique de divulgation mise à jour de Bitcoin Core autorise la publication rapide des vulnérabilités considérées comme faciles à redécouvrir, y compris celles détectables au moyen d’une simple requête adressée à un LLM. Le projet prévoit de divulguer trois autres vulnérabilités de gravité moyenne et élevée dans environ deux semaines. Les opérateurs de nœuds et les entreprises devraient consulter les avis officiels et effectuer la mise à niveau. Ces divulgations soulèvent des préoccupations en matière de sécurité opérationnelle, mais n’indiquent aucun changement direct de l’offre de bitcoins ni des règles du protocole.