La policy pubblicata da Bitcoin Core per gli avvisi di sicurezza collega la divulgazione delle vulnerabilità sia alla gravità del bug sia allo stato di supporto del software. Le falle a bassa gravità vengono rese note due settimane dopo il rilascio di una versione principale che contiene la correzione, mentre quelle a gravità media o alta due settimane dopo che l'ultima release interessata è giunta al termine del ciclo di vita. Un Flash fornito, datato 2025-10-23, aggiunge che i bug facilmente individuabili potrebbero ora essere gestiti più rapidamente, ma la specifica disposizione relativa agli LLM non trova riscontro nei testi ufficiali della policy esaminati.

Come Bitcoin Core disciplina oggi la divulgazione delle vulnerabilità

La policy ufficiale Security Advisories di Bitcoin Core non adotta un unico calendario di divulgazione per tutti i bug. Distingue invece le tempistiche in base alla gravità e al punto del ciclo di rilascio in cui viene introdotta la correzione.

In base alla policy pubblicata, le vulnerabilità a bassa gravità vengono divulgate due settimane dopo il rilascio di una versione principale contenente la correzione. Quelle a gravità media e alta vengono invece divulgate due settimane dopo che l'ultima release interessata ha raggiunto il termine del ciclo di vita. Il riepilogo della policy descrive questa seconda scadenza come collocata approssimativamente un anno dopo la prima major release corretta.

Per gli utenti, la conclusione pratica è chiara: il momento dell'avviso non dipende soltanto dalla disponibilità di una patch, ma anche dal fatto che i rami più vecchi interessati siano ancora supportati.

In che modo le finestre di supporto determinano chi viene avvisato e quando

I materiali di rilascio di Bitcoin Core mostrano che la policy non è soltanto un documento di governance sullo sfondo. Viene applicata direttamente negli annunci sul ciclo di vita delle versioni, che informano gli utenti su quando i rami più vecchi cessano di ricevere aggiornamenti e quando possono essere pubblicati alcuni dettagli delle vulnerabilità.

Nell'annuncio del rilascio Bitcoin Core 29.0, datato 2025-04-14, il progetto ha dichiarato che le versioni 26.x e precedenti avevano raggiunto il termine della manutenzione e non avrebbero più ricevuto aggiornamenti. Ha inoltre precisato che, due settimane dopo quel rilascio, sarebbero state divulgate eventuali vulnerabilità di gravità media e alta riguardanti la serie 26.x, insieme alle vulnerabilità a bassa gravità riguardanti la serie 28.x.

I materiali relativi al rilascio 31.0 applicano la stessa logica. Indicano che le versioni 28.x e precedenti avevano raggiunto il termine del ciclo di vita e anticipano una divulgazione, due settimane più tardi, delle vulnerabilità di gravità media/alta corrette nella 29.0; precisano inoltre che nella 31.0 non vi erano vulnerabilità a bassa gravità corrette da divulgare in quella finestra.

La conseguenza pratica è semplice: gli operatori che usano rami meno recenti non possono limitarsi alle note di rilascio delle patch. Devono anche verificare se la propria linea di versione è ancora supportata, poiché questo status influisce sul momento in cui informazioni di sicurezza più dettagliate possono diventare pubbliche.

Cosa aggiunge l'attuale affermazione sull'IA e cosa resta da verificare

Il Flash fornito inquadra l'evento attuale come un cambiamento di policy indotto dalla crescente capacità dei modelli linguistici di grandi dimensioni di aiutare i ricercatori a individuare bug. Sostiene che le vulnerabilità scopribili con facilità e minimo sforzo verrebbero corrette in tutte le principali versioni supportate e rese note attraverso un avviso di sicurezza contestualmente al rilascio dell'aggiornamento.

Potrebbe trattarsi di un'effettiva evoluzione recente, ma gli estratti ufficiali esaminati consentono una conclusione più circoscritta. Un messaggio in mailing list di Antoine Poinsot del 2024-09-19 descriveva già un avviso pubblico relativo alle versioni di Bitcoin Core precedenti alla 24.0.1 come parte della graduale adozione da parte del progetto di una nuova policy di divulgazione delle vulnerabilità. Il materiale primario disponibile indica quindi che l'implementazione era già in corso prima della data del 2025 riportata nel Flash.

L'interpretazione più chiara non è dunque che Bitcoin Core fosse privo di un simile quadro fino a oggi. La policy di divulgazione basata su gravità e ciclo di vita è già visibile nei materiali ufficiali, mentre l'affermazione più specifica del Flash sui bug facilmente individuabili o assistiti da LLM resta l'integrazione attualmente riportata. Lo stesso vale per l'attribuzione a Poinsot, nel Flash, dell'idea che lunghi periodi di riservatezza dessero agli utenti il tempo di aggiornare ma rendessero più difficile trasferire le correzioni alle versioni meno recenti: questa motivazione è coerente con il quadro verificato basato sul ciclo di vita, ma la dichiarazione originale non è stata esaminata qui.