Ngày 23/10/2026, các nhà phát triển Bitcoin Core, phần mềm nền tảng vận hành phần lớn các nút xác thực mạng Bitcoin, đã chính thức sáp nhập một thay đổi quan trọng trong chính sách công bố lỗ hổng bảo mật. Dự án sẽ từ bỏ chính sách giữ bí mật kéo dài hàng tháng đối với các lỗi phần mềm mà mô hình trí tuệ nhân tạo có thể dễ dàng tái phát hiện chỉ bằng một câu lệnh đơn giản.

Sự trỗi dậy của các công cụ mô hình ngôn ngữ lớn (LLM) đã phá vỡ hoàn toàn tiền đề an ninh vốn được xây dựng cho thời kỳ việc tìm lỗ hổng đòi hỏi kỹ năng chuyên sâu của con người.

Sự lỗi thời của chính sách cấm tiết lộ kéo dài

Trước đây, Bitcoin Core phân loại lỗ hổng theo mức độ nghiêm trọng và áp dụng thời gian giữ kín (embargo) tương ứng. Các lỗi nghiêm trọng trung bình và cao thường bị giữ bí mật cho đến hai tuần sau khi phiên bản bị ảnh hưởng cuối cùng hết vòng đời hỗ trợ, tức có thể kéo dài tới cả năm trời. Logic đằng sau cơ chế này là âm thầm vá lỗi để kẻ tấn công không biết đến lỗ hổng trước khi các nhà vận hành node kịp cập nhật.

Tuy nhiên, nhà phát triển Antoine Poinsot từ Chaincode Labs chỉ ra rằng tiền đề này không còn đúng khi LLM hạ thấp rào cản tìm kiếm lỗi đến mức nguy hiểm. Giữ kín thông tin trong nhiều tháng lúc này chỉ làm chậm trễ việc phát hành bản vá tới người dùng, trong khi kẻ xấu có thể dùng AI quét mã nguồn và tái tạo lại điểm yếu bất cứ lúc nào. Giống như các đợt phần mềm mã nguồn mở vá khẩn cấp gần đây, tốc độ phát hành bản vá giờ đây quan trọng hơn việc cố gắng giữ bí mật.

Theo quy định mới, các lỗi được đánh giá là dễ phát hiện bằng một prompt AI sẽ lập tức được đưa vào bản cập nhật nhỏ cho mọi phiên bản còn hỗ trợ và phát hành sớm nhất có thể kèm theo thông báo kỹ thuật công khai.

Thử thách kiểm thử và làn sóng rà quét bằng AI

Mặc dù quy trình mới giúp đẩy nhanh tốc độ vá lỗi, Poinsot cũng thừa nhận một sự đánh đổi: các bản vá sẽ có ít thời gian kiểm thử nội bộ hơn trước khi được gửi tới tay người dùng. Nhà nghiên cứu Antoine Riard từng đề xuất giữ lại quyền âm thầm vá lỗi mà không cần phát hành thông báo kỹ thuật, nhưng bị từ chối vì việc cảnh báo mập mờ có thể gây hoang mang và dẫn đến việc di chuyển hệ thống vội vã không cần thiết.

Nỗi lo ngại của các nhà phát triển Bitcoin Core không phải là giả thuyết viển vông. Vào cuối tháng 07 vừa qua, nhóm tình nguyện Bitcoin Red Team gồm 16 lập trình viên đã dùng mô hình AI quét qua 390 dự án liên quan đến Bitcoin chỉ trong một ngày, ghi nhận 4.962 phát hiện bất thường, trong đó có 85 lỗi nghiêm trọng. Chỉ ít ngày sau, một lỗi private trên BTCPay Server đã bị khai thác trực tiếp trên máy chủ của các thương nhân. Tương tự, lỗ hổng ví lạnh Coldcard từng gây thất thoát gần 114 triệu USD qua nhiều đợt quét tài sản, một lời cảnh tỉnh gay gắt được ghi nhận trong báo cáo thiệt hại bảo mật quý 3.

Việc điều chỉnh chính sách phản ánh một thực tế không thể đảo ngược: trong kỷ nguyên mã nguồn mở đối mặt với khả năng phân tích tự động của AI, an ninh dựa trên sự mù mờ (security through obscurity) đã chính thức bị khai tử.