Bitcoin(BTC) 버그 봉쇄 정책 폐지...Bitcoin Core, AI 재발견 쉬운 취약점 공개 정책 전면 개편

발견 쉬운 취약점은 더 빠르게 고친다

대다수 비트코인(BTC) 노드가 구동하는 참조 구현체인 Bitcoin (BTC) Core가 보안 취약점 공개 방식을 손질하고 있다. 개발자 Antoine Poinsot는 10월 22일 목요일 Bitcoin Development 메일링 리스트를 통해 이번 변경을 공지했다. 기존 정책은 취약점 세부 내역을 일정 기간 에밀고(비공개로 묶어 두고) 사용자가 업그레이드할 시간을 벌어 주는 구조였다. 그러나 이런 신중함에는 대가가 따랐다. 결함이 비밀로 유지되는 동안에는 수정 사항을 구버전 소프트웨어에 역방향으로 반영(백포트)할 수 없어, 레거시 버전 사용자는 다음 메이저 릴리스를 기다려야 보호를 받을 수 있었다. 이번 변경은 자산 뒤에 있는 소프트웨어 자체에 관한 것으로, 비트코인 가격 수준은 새 규칙에 아무런 역할을 하지 않는다. Poinsot의 논거는 이렇다. 대규모 언어 모델(LLM)이 취약점을 다시 발견하는 비용을 무너뜨렸다는 것이다. 단순한 프롬프트 한 번으로 일부 결함을 다시 표면화할 수 있게 됐다면, 수개월의 비밀 유지는 큰 보호를 사 주지 못하면서 수정 릴리스 도착만 늦춘다. 그는 에밀고 기간이 실제로는 큰 성과를 내지 못하며 주로 수정 버전 출시를 붙잡아 둔다고 썼다. 새로 정비된 보안 정책에 따르면, 기본적인 LLM 프롬프트로도 노출될 수 있는 취약점 같은 쉽게 발견 가능한 결함은 유지 보수 중인 모든 메이저 버전에서 최대한 빨리 수정되고, 권고문도 업데이트와 동시에 게시된다. 그 외 등급은 심각도 기준 일정을 유지한다. 낮은 심각도의 버그는 수정 사항이 포함된 메이저 릴리스가 출시된 뒤 2주 후에 공개된다. 중간 및 높은 심각도의 결함은 마지막 영향받은 릴리스가 수명을 다한 뒤 2주 후에 공개되는데, 이는 보통 수정 사항이 새 메이저 버전에 반영된 시점에서 약 1년 후다. 네트워크의 작업증명 보안을 위협할 수 있는 치명적 버그는 표준 정책 밖에 두고 사안별로 판단하는 별도 절차를 따른다. Bitcoin (BTC) Infinity Show 진행자이자 『Defending Bitcoin』 저자인 Luke de Wolf는 과거 Poinsot의 보안 접근에 반대했지만, 이번 업데이트는 긍정적 조치라고 평했다.

AI 보고서가 생태계 전반을 훑는다

이번 정책 전면 개편은 비트코인 생태계 전반에서 커지는 AI 보조 보안 연구의 압박 속에 이뤄졌다. 지난 8월 자원봉사 보안 연구 단체 Bitcoin Red Team은 390개 프로젝트에서 약 5,000건의 잠재적 이슈를 보고했으며, 다만 그중 5분의 1 정도만이 당시 재현 검증을 거친 상태였다. 이 비율은 트레이드오프를 그대로 보여 준다. 모델은 넓은 코드베이스를 빠르게 훑어 수상한 패턴을 표시할 수 있지만, 보고서가 진짜 취약점인지 잡음인지는 여전히 사람의 검증이 결정한다. 라이트닝 네트워크의 주요 구현체 Core Lightning은 같은 달에 이를 직접 겪었다. 개발진은 다수의 AI 생성 취약점 보고서를 받았고, 노드 운영자에게는 업그레이드를 권고했으며 업데이트가 현실적으로 어려운 경우 일시적으로 노드 운영을 멈추라고 안내했다. 기술적 세부 내역은 수정 준비 기간 2주 동안 비공개로 유지됐는데, 구 정책 아래에서는 모든 결함에 적용되던 이 절차가 이제는 일부 취약점에만 적용된다. 논쟁은 비트코인의 가장 잘 알려진 창업자들에게도 미쳤다. 전 바이낸스 수장 CZ는 암호학을 깨지 않고도 유출된 데이터와 피싱을 통해 AI가 비트코인을 위협할 수 있다고 경고한 바 있다. 프라이빗 키를 보관하는 노드를 돌리거나 라이트닝 결제를 라우팅하는 운영자에게는 수정 패치가 얼마나 빨리 나오고, 권고문이 얼마나 분명하게 쓰이는지가 가장 직접적인 관심사다.

비밀 유지는 힘을 잃었다

정책 원문을 우리 편집부가 읽은 결론은 이렇다. 이는 비밀 유지가 더는 안전을 사 주지 못하는 지점에서 정확히 비밀을 속도로 바꾸는 거래다. 핵심 쟁점은 판정이다. 쉽게 발견 가능 등급이 붙으면 유지 중인 모든 버전에서 즉시 수정이 이뤄지므로, 분류가 잘못되면 구버전 사용자가 예상보다 이른 시점에 공개된 세부 내역에 노출될 수 있다. 심각도 사다리는 중간 및 높은 심각도 결함에 약 1년의 조용한 수정 기간을 유지해, 조정된 공개 체계를 포기하지 않으면서도 최신 소프트웨어를 돌릴 유인을 보존한다. 노드 운영자는 권고문이 릴리스 뒤가 아니라 릴리스와 함께 도착한다고 가정하고 업그레이드 일정을 잡는 것이 좋다.