Chính sách tư vấn bảo mật đã công bố của Bitcoin Core quy định thời điểm công bố lỗ hổng theo cả mức độ nghiêm trọng của lỗi và tình trạng hỗ trợ phần mềm. Lỗi mức độ thấp được công bố sau hai tuần kể từ khi phát hành bản chính có bản vá, trong khi lỗi mức độ trung bình/cao được công bố sau hai tuần kể từ khi bản phát hành bị ảnh hưởng cuối cùng hết vòng đời. Flash được cung cấp, đề ngày 2025-10-23, cho biết các lỗi dễ phát hiện hiện có thể được xử lý nhanh hơn, song không tìm thấy điều khoản chính thức đã kiểm chứng nào trùng khớp với nội dung cụ thể liên quan đến LLM này.

Bitcoin Core công bố lỗ hổng theo cơ chế nào

Chính sách Security Advisories chính thức của Bitcoin Core không áp dụng một lịch công bố duy nhất cho mọi lỗi. Thay vào đó, thời điểm công bố được phân theo mức độ nghiêm trọng và vị trí của bản vá trong chu kỳ phát hành.

Theo chính sách đã công bố, các lỗ hổng mức độ thấp được công bố sau hai tuần kể từ khi phát hành phiên bản chính chứa bản vá. Các lỗ hổng mức độ trung bình và cao được công bố sau hai tuần kể từ khi bản phát hành bị ảnh hưởng cuối cùng hết vòng đời. Phần tóm tắt chính sách mô tả mốc thứ hai này vào khoảng một năm sau bản phát hành chính đầu tiên có bản vá.

Điều này giải đáp vấn đề thực tế quan trọng nhất với người dùng: thời điểm ra khuyến cáo không chỉ phụ thuộc vào thời điểm bản vá xuất hiện, mà còn tùy việc các nhánh cũ bị ảnh hưởng có còn trong thời gian hỗ trợ hay không.

Khung thời gian hỗ trợ phiên bản quyết định ai được cảnh báo và khi nào

Tài liệu phát hành của Bitcoin Core cho thấy chính sách này không chỉ là một văn bản quản trị nền tảng. Chính sách được áp dụng trực tiếp trong các thông báo về vòng đời phiên bản, nhằm cho người dùng biết khi nào các nhánh cũ ngừng nhận cập nhật và khi nào một số thông tin lỗ hổng có thể được công bố.

Trong thông báo phát hành Bitcoin Core 29.0 ngày 2025-04-14, dự án cho biết các phiên bản 26.x và cũ hơn đã kết thúc giai đoạn bảo trì và sẽ không còn nhận cập nhật. Thông báo cũng nêu rằng, hai tuần sau bản phát hành đó, các lỗ hổng mức độ trung bình và cao ảnh hưởng đến 26.x, nếu có, sẽ được công bố, cùng với các lỗ hổng mức độ thấp ảnh hưởng đến 28.x.

Tài liệu phát hành 31.0 áp dụng cùng một logic. Tài liệu nêu các phiên bản 28.x và cũ hơn đã hết vòng đời, đồng thời báo trước việc công bố sau hai tuần đối với các lỗ hổng mức độ trung bình/cao được vá trong 29.0; trong khi đó, không có lỗ hổng mức độ thấp nào được vá trong 31.0 để công bố theo mốc này.

Hệ quả thực tế rất rõ ràng: nhà vận hành các nhánh cũ không thể chỉ xem ghi chú bản vá. Họ cũng cần theo dõi dòng phiên bản mình dùng còn được hỗ trợ hay không, vì trạng thái này ảnh hưởng đến thời điểm thông tin bảo mật chi tiết hơn có thể được công khai.

Tuyên bố mới xoay quanh AI bổ sung điều gì và đâu là phần chưa được xác minh

Flash được cung cấp mô tả sự kiện hiện tại là thay đổi chính sách xuất phát từ năng lực ngày càng tăng của các mô hình ngôn ngữ lớn trong việc hỗ trợ nhà nghiên cứu tìm lỗi. Theo đó, các lỗ hổng có thể phát hiện dễ dàng với ít công sức sẽ được vá trên toàn bộ các phiên bản chính còn được hỗ trợ và được công bố bằng khuyến cáo bảo mật cùng thời điểm phát hành bản cập nhật.

Điều này có thể phản ánh một điều chỉnh thực tế gần đây, nhưng các trích đoạn chính thức đã kiểm tra chỉ hỗ trợ một kết luận hẹp hơn. Trong bài đăng trên danh sách thư ngày 2024-09-19, Antoine Poinsot đã mô tả một khuyến cáo công khai ảnh hưởng đến các phiên bản Bitcoin Core trước 24.0.1 là một phần trong quá trình dự án dần áp dụng chính sách công bố lỗ hổng mới. Điều đó cho thấy các tài liệu nguồn hiện có chỉ ra việc triển khai đã bắt đầu trước thời điểm năm 2025 của Flash.

Vì vậy, cách hiểu rõ ràng nhất không phải là Bitcoin Core đến nay mới có khuôn khổ như vậy. Thay vào đó, chính sách công bố dựa trên mức độ nghiêm trọng và vòng đời của Bitcoin Core đã thể hiện trong các tài liệu chính thức, còn tuyên bố cụ thể hơn của Flash về lỗi dễ phát hiện hoặc có sự hỗ trợ của LLM vẫn là thông tin bổ sung được đưa tin hiện tại. Điều tương tự cũng áp dụng cho việc Flash dẫn lời Poinsot rằng thời gian bảo mật dài giúp người dùng có thời gian nâng cấp nhưng khiến việc đưa bản vá sang các phiên bản cũ khó khăn hơn: lập luận này phù hợp với khuôn khổ dựa trên vòng đời đã được xác minh, nhưng phát biểu gốc chưa được kiểm tra tại đây.