Bitcoin Core berhenti menyembunyikan bug yang bisa ditemukan AI dalam satu prompt

CoinDesk melaporkan pada 23 Oktober 2026 bahwa pengelola Bitcoin Core, perangkat lunak yang menjalankan sebagian besar jaringan bitcoin, menggabungkan perubahan kebijakan keamanan pada Kamis sebelumnya. Kebijakan lama menilai setiap laporan kerentanan menurut tingkat keparahan lalu mengatur waktu pengungkapannya. Cacat ringan dibuka dua minggu setelah versi mayor berikutnya dirilis, sedangkan cacat sedang dan berat tetap berada di bawah embargo sampai dua minggu setelah versi terakhir yang terdampak mencapai akhir masa dukungan, yang dalam praktik sering berarti sekitar satu tahun. Logikanya masuk akal pada masanya: menambal secara senyap lalu menjelaskan jauh di kemudian hari membuat penyerang tidak sempat mempelajari celah sebelum operator node memperbarui sistemnya.

Kebijakan baru menambahkan label mudah ditemukan. Bitcoin Core kini bisa menandai sebuah laporan sebagai masalah yang dapat ditemukan dengan upaya minimal, dalam praktiknya berarti bisa muncul dari satu prompt sederhana ke model bahasa besar. Untuk kategori itu, perbaikan disalin ke setiap versi mayor yang masih dirawat, dirilis dalam versi titik secepat mungkin, dan disertai pengumuman keamanan yang memuat sebagian detail. Pengusulnya, Antoine Poinsot dari Chaincode Labs, menulis bahwa proyek mengalami peningkatan jumlah laporan kerentanan yang mudah ditemukan ulang, dan menyebut penyebab utamanya adalah model bahasa yang menurunkan ambang untuk menemukan kelas masalah tertentu atau untuk mengidentifikasi perbaikan terselubung. Menurut dokumen kebijakan itu, embargo justru sedikit manfaatnya bagi masalah yang mudah ditemukan, karena hanya menunda tersedianya rilis yang sudah diperbaiki.

Konteks yang melatari keputusan ini cukup keras. Sepanjang musim panas, red team sukarela menjalankan agen AI atas 390 proyek bitcoin dalam waktu sekitar 30 jam dan mengumpulkan 4.962 temuan, 85 di antaranya dinilai kritis. Angka itu tidak otomatis berarti 4.962 kerentanan nyata, tetapi cukup untuk mengubah cara proyek memandang kerahasiaan: kalau model bisa membaca perbedaan antarversi, maka jeda antara perbaikan dan pengumuman tidak lagi melindungi siapa pun.

Ada harga yang harus dibayar dan itu diakui sendiri oleh pengusulnya. Perbaikan yang dirilis cepat tidak punya cukup waktu pengujian sebelum sampai ke pengguna, atau dalam istilah Poinsot, tidak lagi punya banyak waktu pematangan. Sebagian pengembang tidak sepenuhnya sepakat: Antoine Riard, peneliti keamanan bitcoin yang lama, ingin Core tetap menyimpan opsi merilis perbaikan tanpa pengumuman dan menahan detailnya lebih lama. Perdebatan itu wajar, karena pilihannya bukan antara aman dan tidak aman, melainkan antara risiko eksploitasi cepat dan risiko regresi akibat tambalan yang kurang diuji.

Bagi pemegang dana dan tim yang mengoperasikan infrastruktur, implikasi praktisnya tiga hal. Pertama, siklus tambal kini lebih pendek daripada siklus rilis, sehingga jadwal pemeliharaan dan uji regresi harus disiapkan untuk menerima versi titik yang datang tiba-tiba. Kedua, memantau pengumuman keamanan menjadi kewajiban rutin, bukan pekerjaan sampingan. Ketiga, dan ini yang paling sering terlewat, logika yang sama berlaku untuk sistem internal bank dan layanan publik yang memakai komponen terbuka: kalau model bahasa bisa menemukan cacatnya dengan satu prompt, maka penyerang juga bisa, dan menunda tambalan tidak lagi membeli waktu.