La política publicada de avisos de seguridad de Bitcoin Core vincula la divulgación de vulnerabilidades tanto con la gravedad del error como con el estado de soporte del software. Las fallas de baja gravedad se divulgan dos semanas después del lanzamiento de una versión principal que incorpora la corrección, mientras que las de gravedad media o alta se revelan dos semanas después de que la última versión afectada llegue al fin de su vida útil. Un Flash proporcionado, fechado el 2025-10-23, añade que los errores fáciles de descubrir podrían tratarse ahora con mayor rapidez, aunque esa disposición específica relacionada con LLM no pudo verificarse en el texto oficial de la política revisado.

Así funciona actualmente la divulgación de vulnerabilidades, según Bitcoin Core

La política oficial de Avisos de Seguridad de Bitcoin Core no aplica un único calendario de divulgación a todos los errores. En cambio, diferencia los plazos según la gravedad y el punto del ciclo de lanzamientos en que se incorpora la corrección.

Según la política publicada, las vulnerabilidades de baja gravedad se divulgan dos semanas después del lanzamiento de una versión principal que contiene la corrección. Las vulnerabilidades de gravedad media y alta se revelan dos semanas después de que la última versión afectada llegue al fin de su vida útil. El resumen de la política describe este segundo plazo como aproximadamente un año después de la primera versión principal corregida.

Esto responde a la principal cuestión práctica para los usuarios: el momento del aviso no depende solo de cuándo existe un parche. También depende de si las ramas antiguas afectadas siguen dentro de su periodo de soporte.

Cómo las ventanas de soporte determinan quién recibe avisos y cuándo

Los materiales de lanzamiento de Bitcoin Core muestran que la política no es solo un documento de gobernanza de fondo. Se utiliza directamente en los anuncios sobre el ciclo de vida de las versiones, que indican a los usuarios cuándo las ramas antiguas dejan de recibir actualizaciones y cuándo pueden publicarse ciertos detalles de vulnerabilidades.

En el anuncio del lanzamiento de Bitcoin Core 29.0, fechado el 2025-04-14, el proyecto señaló que las versiones 26.x y anteriores habían llegado al fin de mantenimiento y ya no recibirían actualizaciones. También indicó que, dos semanas después de ese lanzamiento, se divulgarían las vulnerabilidades de gravedad media y alta que afectaran a 26.x, si las hubiera, junto con las vulnerabilidades de baja gravedad que afectaran a 28.x.

Los materiales del lanzamiento 31.0 aplican la misma lógica. Señalan que las versiones 28.x y anteriores habían llegado al fin de su vida útil y anticipan una divulgación dos semanas después sobre vulnerabilidades de gravedad media/alta corregidas en 29.0. También aclaran que no hubo vulnerabilidades de baja gravedad corregidas en 31.0 que debieran revelarse dentro de esa ventana.

La consecuencia práctica es clara: los operadores que usan ramas antiguas no pueden limitarse a revisar las notas de los parches. También deben vigilar si su línea de versiones continúa soportada, ya que ese estado incide en cuándo puede hacerse pública información de seguridad más detallada.

Qué añade la afirmación actual sobre IA y qué sigue sin verificarse

El Flash proporcionado presenta el evento actual como un cambio de política impulsado por la creciente capacidad de los modelos de lenguaje de gran tamaño para ayudar a los investigadores a encontrar errores. Según el texto, las vulnerabilidades fáciles de descubrir con un esfuerzo mínimo se corregirían en todas las versiones principales compatibles y se divulgarían mediante un aviso de seguridad al mismo tiempo que el lanzamiento de la actualización.

Esto podría reflejar un ajuste reciente real, pero los extractos oficiales revisados respaldan una conclusión más acotada. Una publicación en la lista de correo de Antoine Poinsot, del 2024-09-19, ya describía un aviso público que afectaba a versiones de Bitcoin Core anteriores a 24.0.1 como parte de la adopción gradual por parte del proyecto de una nueva política de divulgación de vulnerabilidades. Esto indica que el material primario disponible apunta a una implementación ya en marcha antes de la fecha de 2025 del Flash.

Por tanto, la interpretación más clara no es que Bitcoin Core careciera de este marco hasta ahora. Más bien, la política de divulgación de Bitcoin Core basada en gravedad y ciclo de vida ya aparece en los materiales oficiales, mientras que la afirmación más específica del Flash sobre errores fáciles de descubrir o asistidos por LLM sigue siendo la incorporación reportada actualmente. Lo mismo ocurre con la atribución del Flash a Poinsot, según la cual los largos periodos de confidencialidad daban tiempo a los usuarios para actualizarse, pero dificultaban trasladar las correcciones a versiones antiguas: ese razonamiento encaja con el marco verificado basado en el ciclo de vida, pero aquí no se revisó la declaración original.