นโยบายการแจ้งเตือนด้านความปลอดภัยที่ Bitcoin Core เผยแพร่ กำหนดการเปิดเผยช่องโหว่โดยอิงทั้งระดับความรุนแรงของบั๊กและสถานะการรองรับซอฟต์แวร์ โดยช่องโหว่ระดับต่ำจะเปิดเผยภายในสองสัปดาห์หลังออกเวอร์ชันหลักที่มีการแก้ไข ส่วนช่องโหว่ระดับกลางและสูงจะเปิดเผยภายในสองสัปดาห์หลังเวอร์ชันสุดท้ายที่ได้รับผลกระทบสิ้นสุดอายุการใช้งาน Flash ที่ให้มาซึ่งลงวันที่ 2025-10-23 ระบุเพิ่มเติมว่าบั๊กที่ค้นพบได้ง่ายอาจได้รับการจัดการเร็วขึ้น แต่ยังไม่พบข้อความในนโยบายทางการที่ตรวจสอบซึ่งตรงกับข้อกำหนดเกี่ยวกับ LLM นี้โดยเฉพาะ

Bitcoin Core ระบุว่าการเปิดเผยช่องโหว่ทำงานอย่างไร

นโยบาย Security Advisories อย่างเป็นทางการของ Bitcoin Core ไม่ได้ใช้ตารางเวลาการเปิดเผยชุดเดียวกับบั๊กทุกประเภท แต่แยกกำหนดเวลาออกตามระดับความรุนแรงและจุดที่การแก้ไขถูกนำเข้าสู่รอบการออกเวอร์ชัน

ตามนโยบายที่เผยแพร่ ช่องโหว่ระดับต่ำจะเปิดเผยภายในสองสัปดาห์หลังออกเวอร์ชันหลักที่มีแพตช์แก้ไข ขณะที่ช่องโหว่ระดับกลางและสูงจะเปิดเผยภายในสองสัปดาห์หลังเวอร์ชันสุดท้ายที่ได้รับผลกระทบสิ้นสุดอายุการใช้งาน สรุปนโยบายระบุว่ากำหนดเวลาส่วนหลังอยู่ที่ราวหนึ่งปีหลังการออกเวอร์ชันหลักแรกที่มีการแก้ไข

นี่ตอบคำถามสำคัญในทางปฏิบัติสำหรับผู้ใช้ได้ว่า เวลาการแจ้งเตือนไม่ได้ขึ้นอยู่เพียงว่ามีแพตช์แล้วหรือไม่ แต่ยังขึ้นกับว่าสาขาเวอร์ชันเก่าที่ยังได้รับผลกระทบนั้นอยู่ในช่วงได้รับการรองรับหรือไม่

ช่วงเวลาการรองรับเวอร์ชันส่งผลต่อผู้ที่ได้รับคำเตือนอย่างไร

เอกสารการออกเวอร์ชันของ Bitcoin Core แสดงให้เห็นว่านโยบายนี้ไม่ใช่เพียงเอกสารกำกับดูแลเบื้องหลัง แต่ถูกนำมาใช้โดยตรงในประกาศวงจรชีวิตของเวอร์ชัน ซึ่งบอกผู้ใช้ว่าเมื่อใดสาขาเก่าจะไม่ได้รับการอัปเดตอีก และเมื่อใดรายละเอียดช่องโหว่บางส่วนอาจถูกเผยแพร่

ในประกาศออก Bitcoin Core 29.0 ลงวันที่ 2025-04-14 โครงการระบุว่าเวอร์ชัน 26.x และเก่ากว่าเข้าสู่สถานะสิ้นสุดการบำรุงรักษา และจะไม่ได้รับการอัปเดตอีกต่อไป ทั้งยังระบุว่าหลังการออกเวอร์ชันดังกล่าวสองสัปดาห์ จะมีการเปิดเผยช่องโหว่ระดับกลางและสูงที่กระทบ 26.x หากมี รวมถึงช่องโหว่ระดับต่ำที่กระทบ 28.x

เอกสารประกอบการออกเวอร์ชัน 31.0 ใช้หลักการเดียวกัน โดยระบุว่าเวอร์ชัน 28.x และเก่ากว่าเข้าสู่สถานะสิ้นสุดอายุการใช้งาน และคาดว่าจะมีการเปิดเผยข้อมูลในอีกสองสัปดาห์สำหรับช่องโหว่ระดับกลาง/สูงที่แก้ไขใน 29.0 พร้อมระบุว่าไม่มีช่องโหว่ระดับต่ำที่แก้ไขใน 31.0 ซึ่งต้องเปิดเผยภายใต้กรอบเวลานี้

ผลในทางปฏิบัตินั้นชัดเจน ผู้ดำเนินการที่ใช้สาขาเวอร์ชันเก่าไม่อาจดูเพียงบันทึกแพตช์เท่านั้น แต่ต้องติดตามด้วยว่าเวอร์ชันที่ใช้อยู่ยังได้รับการรองรับหรือไม่ เพราะสถานะดังกล่าวมีผลต่อเวลาที่ข้อมูลความปลอดภัยเชิงลึกอาจกลายเป็นข้อมูลสาธารณะ

ข้ออ้างล่าสุดเกี่ยวกับ AI เพิ่มอะไร และประเด็นใดยังไม่ได้รับการยืนยัน

Flash ที่ให้มานำเสนอเหตุการณ์ปัจจุบันในฐานะการเปลี่ยนแปลงนโยบายที่เกิดจากความสามารถที่เพิ่มขึ้นของโมเดลภาษาขนาดใหญ่ในการช่วยนักวิจัยค้นหาบั๊ก โดยระบุว่าช่องโหว่ที่ค้นพบได้ง่ายด้วยความพยายามเพียงเล็กน้อยจะได้รับการแก้ไขในทุกเวอร์ชันหลักที่ยังรองรับ และจะมีการเผยแพร่คำแนะนำด้านความปลอดภัยพร้อมกับการออกอัปเดต

ข้อมูลดังกล่าวอาจสะท้อนการปรับปรุงนโยบายที่เกิดขึ้นจริงในปัจจุบัน แต่ข้อความทางการที่ตรวจสอบสนับสนุนข้อสรุปที่แคบกว่า โพสต์ในเมลลิงลิสต์ของ Antoine Poinsot เมื่อ 2024-09-19 ได้อธิบายการแจ้งเตือนสาธารณะที่กระทบ Bitcoin Core เวอร์ชันก่อน 24.0.1 ว่าเป็นส่วนหนึ่งของการทยอยนำนโยบายเปิดเผยช่องโหว่ใหม่มาใช้ จึงหมายความว่าเอกสารปฐมภูมิที่มีอยู่ชี้ว่าการดำเนินการนี้เริ่มขึ้นก่อนวันที่ของ Flash ในปี 2025 แล้ว

ดังนั้น การตีความที่ชัดเจนที่สุดไม่ใช่ว่า Bitcoin Core เพิ่งมีกรอบเช่นนี้ในเวลานี้ แต่คือ นโยบายการเปิดเผยตามระดับความรุนแรงและวงจรชีวิตเวอร์ชันของ Bitcoin Core ปรากฏอยู่ในเอกสารทางการแล้ว ขณะที่ข้ออ้างเฉพาะเจาะจงของ Flash เกี่ยวกับบั๊กที่ค้นพบได้ง่ายหรือบั๊กที่มี LLM ช่วยค้นหายังคงเป็นข้อมูลเพิ่มเติมที่รายงานในปัจจุบัน เช่นเดียวกับการที่ Flash อ้างคำกล่าวของ Poinsot ว่าระยะเวลาการเก็บเป็นความลับที่ยาวนานทำให้ผู้ใช้มีเวลาอัปเกรด แต่ทำให้การนำแพตช์ไปยังเวอร์ชันเก่ายากขึ้น เหตุผลดังกล่าวสอดคล้องกับกรอบตามวงจรชีวิตที่ตรวจสอบยืนยันได้ แต่ยังไม่ได้ตรวจสอบคำกล่าวต้นฉบับในที่นี้