سیاست منتشرشده بیت‌کوین کور برای هشدارهای امنیتی، افشای آسیب‌پذیری‌ها را هم به شدت باگ و هم به وضعیت پشتیبانی نرم‌افزار وابسته می‌داند. آسیب‌پذیری‌های کم‌خطر دو هفته پس از انتشار یک نسخه اصلی دارای اصلاحیه افشا می‌شوند، اما برای آسیب‌پذیری‌های با شدت متوسط و بالا، افشا دو هفته پس از پایان عمر آخرین نسخه آسیب‌دیده انجام می‌گیرد. یک فلش خبری ارائه‌شده به تاریخ 2025-10-23 نیز می‌افزاید که باگ‌های آسان‌کشف ممکن است اکنون سریع‌تر رسیدگی شوند، اما متن دقیق این بند مرتبط با LLM در متن رسمی سیاستی که بررسی شده، یافت نشد.

سازوکار فعلی افشای آسیب‌پذیری‌ها از نگاه بیت‌کوین کور

سیاست رسمی هشدارهای امنیتی بیت‌کوین کور برای همه باگ‌ها یک جدول زمانی واحد برای افشا در نظر نمی‌گیرد. در عوض، زمان افشا را بر اساس شدت آسیب‌پذیری و جایگاه انتشار اصلاحیه در چرخه نسخه‌ها تفکیک می‌کند.

بر اساس سیاست منتشرشده، آسیب‌پذیری‌های کم‌خطر دو هفته پس از انتشار نسخه اصلی حاوی اصلاحیه افشا می‌شوند. آسیب‌پذیری‌های با شدت متوسط و بالا نیز دو هفته پس از پایان عمر آخرین نسخه آسیب‌دیده اعلام خواهند شد. خلاصه این سیاست، زمان‌بندی دوم را حدود یک سال پس از نخستین انتشار اصلی دارای اصلاحیه توصیف می‌کند.

این موضوع به پرسش اصلی کاربران پاسخ می‌دهد: زمان انتشار هشدار صرفاً به آماده‌بودن وصله وابسته نیست، بلکه به این هم بستگی دارد که آیا شاخه‌های قدیمی‌تر آسیب‌دیده همچنان تحت پشتیبانی هستند یا نه.

پنجره‌های پشتیبانی نسخه‌ها چگونه تعیین می‌کنند چه کسانی و چه زمانی هشدار می‌گیرند

مطالب منتشرشده درباره نسخه‌های بیت‌کوین کور نشان می‌دهد این سیاست صرفاً یک سند حاکمیتی در پس‌زمینه نیست. این سیاست مستقیماً در اطلاعیه‌های چرخه عمر نسخه‌ها به کار می‌رود؛ اطلاعیه‌هایی که به کاربران می‌گویند شاخه‌های قدیمی چه زمانی دیگر به‌روزرسانی دریافت نمی‌کنند و چه زمانی ممکن است برخی جزئیات آسیب‌پذیری‌ها منتشر شود.

در اطلاعیه انتشار بیت‌کوین کور 29.0 به تاریخ 2025-04-14، این پروژه اعلام کرد نسخه‌های 26.x و قدیمی‌تر به پایان دوره نگهداری رسیده‌اند و دیگر به‌روزرسانی دریافت نخواهند کرد. همچنین گفت دو هفته پس از آن انتشار، در صورت وجود، آسیب‌پذیری‌های با شدت متوسط و بالای مؤثر بر 26.x، همراه با آسیب‌پذیری‌های کم‌خطر مؤثر بر 28.x افشا می‌شوند.

مطالب انتشار 31.0 نیز از همین منطق پیروی می‌کنند. در این مطالب آمده است نسخه‌های 28.x و قدیمی‌تر به پایان عمر رسیده‌اند و افشای دو هفته بعدِ آسیب‌پذیری‌های با شدت متوسط/بالای اصلاح‌شده در 29.0 را پیش‌بینی می‌کند؛ در عین حال تأکید شده که هیچ آسیب‌پذیری کم‌خطری در 31.0 اصلاح نشده بود که مشمول این بازه افشا باشد.

پیامد عملی روشن است: اپراتورهای شاخه‌های قدیمی نباید تنها یادداشت‌های اصلاحیه را دنبال کنند. آن‌ها باید بررسی کنند که خط نسخه مورد استفاده‌شان هنوز پشتیبانی می‌شود یا نه، زیرا این وضعیت بر زمان عمومی‌شدن اطلاعات امنیتی دقیق‌تر اثر می‌گذارد.

ادعای جدید مبتنی بر هوش مصنوعی چه می‌گوید و چه مواردی هنوز تأیید نشده‌اند

فلش خبری ارائه‌شده، رویداد فعلی را تغییری در سیاست ناشی از افزایش توانایی مدل‌های زبانی بزرگ در کمک به پژوهشگران برای یافتن باگ‌ها توصیف می‌کند. بر اساس این گزارش، آسیب‌پذیری‌هایی که با تلاش اندک قابل کشف هستند، در همه نسخه‌های اصلی پشتیبانی‌شده اصلاح می‌شوند و هم‌زمان با انتشار نسخه به‌روزرسانی، هشدار امنیتی برای آن‌ها منتشر خواهد شد.

ممکن است این موضوع واقعاً یک اصلاحیه جدید در سیاست باشد، اما بخش‌های رسمی بررسی‌شده نتیجه محدودتری را پشتیبانی می‌کنند. آنتوان پوآنسو در پستی در فهرست پستی به تاریخ 2024-09-19، یک هشدار عمومی درباره نسخه‌های بیت‌کوین کور پیش از 24.0.1 را بخشی از پذیرش تدریجی سیاست جدید افشای آسیب‌پذیری پروژه توصیف کرده بود. بنابراین، منابع دست‌اول موجود نشان می‌دهند اجرای این سیاست پیش از تاریخ 2025 فلش خبری آغاز شده بود.

در نتیجه، تفسیر روشن‌تر این نیست که بیت‌کوین کور تا امروز فاقد چنین چارچوبی بوده است. بلکه سیاست افشای مبتنی بر شدت و چرخه عمر نسخه‌ها از پیش در اسناد رسمی دیده می‌شود و ادعای مشخص‌تر فلش خبری درباره باگ‌های آسان‌کشف یا قابل کشف با کمک LLM، همچنان افزوده گزارش‌شده فعلی است. همین وضعیت درباره انتساب این گفته به پوآنسو نیز صدق می‌کند که دوره‌های طولانی محرمانگی به کاربران فرصت ارتقا می‌داد، اما انتقال اصلاحیه‌ها به نسخه‌های قدیمی‌تر را دشوارتر می‌کرد: این منطق با چارچوب تأییدشده مبتنی بر چرخه عمر سازگار است، اما متن اصلی این اظهارنظر در اینجا بررسی نشده است.