比特幣核心客戶端本週一口氣公開三個由 AI 掃描揪出的漏洞，其中一個能讓遠端攻擊者把 Windows、macOS 或 BSD 上的節點灌到記憶體耗盡當機。這批漏洞之所以這麼快見光，是因為 Bitcoin Core 計畫改了沿用多年的保密規則。
（前情提要：比特幣閃電網路拉響資安警報！Blockstream 旗下節點軟體 Core Lightning 遭 AI 揪出隱藏漏洞）
（背景補充：OpenAI 砸 10 億鎂補貼資安！Daybreak 降價、Astra 能自找零日漏洞）
比特幣核心（Bitcoin Core）本週把三個由人工智慧掃描揪出的漏洞一次攤在陽光下，其中最嚴重的一個，能讓任何一臺連上節點的電腦不斷灌資料，直到 Windows、macOS 或 BSD 上的節點記憶體耗盡、直接當機。
這個漏洞最早在 10 月 23 日由一次 AI 掃描標記出來，開發者當天就完成確認，10 月 27 日推出修補，並在週三連同掃描找到的另外兩個漏洞，一併公開細節。節點是負責檢查、轉發每一筆比特幣交易的軟體，而 Bitcoin Core 正是絕大多數節點採用的程式。
改變的關鍵在規則。在上一週之前，Core 開發者對這類中等嚴重度的漏洞可以向外界保密長達一年，好讓節點營運者有時間更新、避免攻擊者先知道該往哪裡找。
但這套做法在 10 月 22 日針對計畫認定「容易被發現」的漏洞正式鬆綁，理由正是大型語言模型（LLM）已讓這類漏洞的挖掘成本大幅下降，修補因此改為盡快推送到所有支援版本，並附上公開的安全公告。
三個洞，全出自同一趟 AI 掃描
三個漏洞全都來自同一趟自動化掃描。該掃描以大型語言模型逐一爬梳 Bitcoin Core 的程式碼，每一項發現都先由人類貢獻者確認，才會送到專案的安全團隊手上，相關內容已列在 Bitcoin Core 的官方安全公告頁。
第二個漏洞最能說明 Core 為何要改規則。掃描的發現早在 9 月 15 日就回報給專案，結果六天後另一名開發者又獨立找到同一個問題。這個漏洞讓連上的節點假裝自己跑的是舊版協定、然後卡住不回應，受害節點的記憶體會以每條連線每小時最多 2MB、每條對外連線每小時 5MB 的速度持續累積。
第三個漏洞被評為低嚴重度，卻一共出現三次：一次來自 AI 掃描，另兩次是開發者分別在 8 月與 10 月 23 日的獨立回報。礦工可以精心構造區塊，讓節點為處理區塊鏈重組（reorg）而儲存的檔案發生溢位。
在 64 位元機器上，發動這種攻擊大約要耗掉全網整整一個月的出塊量；到了 Windows 與 32 位元系統，節點會直接失效，公告明白寫著「重新啟動也沒用」，而且 32 位元機器、或把區塊存在老舊 FAT32 硬碟上的節點，就算裝了修補仍會暴露在風險中。
這批修補隨新版本一起發布。開發者另在版本說明中指出，還有三個中等與高嚴重度的漏洞已在 30.0 版修好，兩週後才會公布細節，出貨版本可在開發者討論區查到。換句話說，現在公開的只是這一波的一小部分。
對一般營運者而言，這次行動的訊號很清楚：只要機器上跑著全節點，尤其是 Windows 或 32 位元環境，都應盡快升到已修補的版本。比特幣節點承載的是整條鏈的驗證工作，一臺被灌爆的節點不會讓鏈停擺，卻會削弱網路的冗餘與抗審查能力，這正是資安研究者在意這類「只是當機」漏洞的原因。
AI 當抓漏工具，開源專案的保密邏輯被改寫
過去把中等嚴重度漏洞壓著一年，本質上是賭攻擊者不會自己找到；當 LLM 幾分鐘內就能掃出同樣的東西，保密反而讓守方處於資訊劣勢。
Core 用「容易被發現」當成公開門檻，等於承認傳統負責任揭露（responsible disclosure）的時間差已被 AI 壓縮。對加密基礎設施來說，這層意義尤其重：節點軟體分散、版本更新慢，任何一個節點漏洞都可能被當成癱瘓或分裂網路的前置步驟，把漏洞快速公開，等於把升級壓力明確轉向營運者。
後續值得盯兩件事。一是兩週後那三個中高嚴重度漏洞的內容，將測試這套「盡快公開」政策能不能承受更敏感的資訊；二是閃電網路的 Core Lightning、以太坊客戶端等鄰近專案，會不會跟進採用同樣門檻，讓 AI 時代的漏洞揭露變成開源圈的共同標準。
