Bitcoin Core verschärft Regeln, weil KI Angreifer schneller macht

2014 wurde Heartbleed öffentlich. Eine Sicherheitslücke in OpenSSL traf damals einen Baustein, den sehr viele Dienste nutzten, aber kaum jemand beachtete. Der Vorgang zeigte eine einfache Wahrheit über offene Software: Der Code liegt sichtbar da, doch Sichtbarkeit ist keine Sicherheit. Jetzt steht Bitcoin Core vor einer ähnlichen, leiseren Verschiebung. Laut CoinDesk ändern die Maintainer die Sicherheitsregeln, weil KI Fehler finden kann, für die früher mehr Zeit und Können nötig waren.

Der Befund ist nüchtern. KI macht Open-Source-Code nicht automatisch unsicherer. Sie macht etwas anderes. Sie senkt die Kosten der Suche. Was ein guter Prüfer früher mühsam nachvollzog, kann heute in manchen Fällen ein Modell mit einem einfachen Prompt wiederfinden. Dadurch kippt die alte Logik der Geheimhaltung.

Die alte Sicherheitskultur setzte auf Zeitgewinn

Bitcoin Core ist die Software, auf der laut CoinDesk der größte Teil des Bitcoin-Netzwerks läuft. Sie wird von Knoten genutzt, also von Rechnern, die Transaktionen prüfen und weiterleiten. Fehler in dieser Software sind deshalb keine Randnotiz. Sie betreffen die Infrastruktur, die Bitcoin überhaupt verlässlich machen soll.

Bisher ordnete Bitcoin Core gemeldete Schwachstellen nach Schwere ein. CoinDesk berichtet, dass Fehler mit niedriger Schwere zwei Wochen nach der nächsten großen Version offengelegt wurden. Mittlere und hohe Schwachstellen blieben länger unter Sperre. Teilweise dauerte die Geheimhaltung bis zwei Wochen nach dem Ende der Unterstützung der letzten betroffenen Version.

Diese Regel hatte eine klare Logik. Erst wird der Fehler behoben. Dann bekommen Betreiber Zeit für Updates. Erst später erfährt die Öffentlichkeit genau, was kaputt war. Die Sperrfrist schützt vor einer unangenehmen Reihenfolge: Angreifer kennen die Lücke, bevor genug Nutzer die Korrektur installiert haben.

Dieses Modell passt zu einer Welt, in der gute Fehlersuche knapp ist. Knappheit schafft Schutz. Wenn nur wenige Menschen eine Lücke finden können, gewinnt man durch Schweigen Zeit. KI greift genau diese Knappheit an.

KI verändert nicht den Code, sondern die Angreiferrechnung

Ein Programmfehler bleibt derselbe, egal ob ihn ein Mensch oder ein Modell findet. Die Gefahr ändert sich durch die Verteilung des Wissens. Wenn ein Fehler leicht wiederentdeckt werden kann, wird eine lange Sperrfrist selbst riskant. Dann schützt Schweigen weniger. Es schafft eher eine stille Zone, in der Angreifer und Verteidiger dieselben Werkzeuge nutzen, aber die Verteidiger noch nicht offen warnen.

Antoine Poinsot, Entwickler bei Chaincode Labs, schrieb laut CoinDesk in seinem Vorschlag, es gebe zuletzt mehr Berichte über Sicherheitslücken, die leicht gefunden oder wiedergefunden werden könnten. Das ist eine trockene Formulierung für einen großen Kulturwechsel. Der Engpass verschiebt sich. Nicht mehr das Finden ist der schwerste Teil. Schwerer wird das schnelle Sortieren: Was ist echt, was ist harmlos, was muss sofort in eine Version?

Open Source lebt seit jeher von vielen Augen. Der alte Satz klang beruhigend. Mehr Augen finden mehr Fehler. KI fügt aber Augen hinzu, die nie müde werden, kaum etwas kosten und auch von Leuten bedient werden können, die den Code nicht tief verstehen. Das ist gut für Verteidiger. Es ist auch gut für Angreifer.

Schnellere Offenlegung tauscht ein Risiko gegen ein anderes

Die neue Regel von Bitcoin Core ist deshalb kein Eingeständnis, dass die Software plötzlich schwach wäre. Sie ist ein Eingeständnis, dass die Umgebung härter geworden ist. Wenn eine Lücke mit einem einfachen Prompt gefunden werden kann, ist sie praktisch schon halb öffentlich. Dann hilft ein langes Embargo, also eine Sperrfrist vor der Veröffentlichung, nur noch begrenzt.

Der Tausch bleibt unbequem. Schnellere Patches können Fehler schneller schließen. Sie können aber auch weniger Reife haben. CoinDesk nennt genau diesen Punkt: Updates könnten Nutzer mit weniger Tests erreichen. Sicherheit ist selten ein reines Mehr. Sie ist oft ein Wechsel zwischen zwei schlechten Möglichkeiten.

Für Bitcoin ist dieser Wechsel besonders empfindlich. Das Netzwerk hat keine zentrale Betriebsabteilung, die alle Rechner gleichzeitig aktualisiert. Es lebt von vielen unabhängigen Betreibern. Eine Sicherheitskultur, die auf ruhige, späte Offenlegung setzt, braucht langsame Angreifer. Wenn Angreifer schneller werden, muss die Kultur mitziehen.

Was Beobachter an Bitcoin Core jetzt prüfen können

Der wichtige Maßstab ist nicht, ob es künftig mehr Meldungen gibt. Mehr Meldungen können auch bedeuten, dass mehr gesucht wird. Beobachtenswert ist, wie sauber Bitcoin Core zwischen Lärm und echten Risiken trennt. Die Zahl aus dem CoinDesk-Bericht zeigt das Problem: In 390 Bitcoin-Projekten wurden 4.962 mögliche Schwachstellen gefunden, aber nur 85 galten als kritisch. Die Masse ist groß. Die Priorisierung zählt.

Ebenso wichtig ist die Update-Disziplin der Nutzer. Eine schnelle Offenlegung hilft wenig, wenn Knotenbetreiber alte Versionen lange weiterlaufen lassen. Das war schon vor KI so. KI macht nur sichtbarer, wie teuer Trägheit werden kann.

2014 las sich Heartbleed wie eine Warnung vor übersehenem Code. Heute liest sich dieselbe Episode anders. Der Code war sichtbar, aber die Suche war knapp. Diese Knappheit verschwindet. Bitcoin Core reagiert nicht auf eine neue Art von Fehler. Es reagiert auf eine neue Geschwindigkeit, mit der Fehler zu Wissen werden.