Bitcoin Core Ubah Protokol Keamanan: AI Bikin Celah Kode Mudah Ditemukan, Era Embargo Panjang Berakhir

Bitcoin Core, perangkat lunak yang menjadi tulang punggung mayoritas node di jaringan bitcoin, resmi mengakhiri praktik menyimpan perbaikan celah keamanan selama berbulan-bulan. Para pengelola proyek pada Kamis (23/10) menyetujui perubahan kebijakan yang memungkinkan perbaikan segera didistribusikan ketika sebuah bug dinilai dapat ditemukan kembali dengan mudah oleh kecerdasan buatan (AI).

Keputusan ini menandai pergeseran besar dalam cara tim keamanan bitcoin menimbang risiko. Sebelumnya, setiap laporan kerentanan diklasifikasikan berdasarkan tingkat keparahan. Flaw dengan severity rendah baru diungkap dua pekan setelah versi mayor berikutnya dirilis, sementara kerentanan menengah dan tinggi tetap berada di bawah embargo hingga dua pekan setelah versi terakhir yang terdampak mencapai akhir masa pakai. Logikanya sederhana: menutup celah secara diam-diam dan menjelaskannya belakangan mencegah penyerang mempelajari lubang sebelum operator node sempat memperbarui sistem.

Namun, asumsi itu runtuh ketika alat AI generatif semakin murah dan mudah diakses. Antoine Poinsot, pengembang dari Chaincode Labs yang merancang perubahan tersebut, mengungkapkan bahwa pihaknya belakangan menerima lonjakan laporan kerentanan yang dapat ditemukan ulang dengan cepat. Menurut dia, model bahasa besar (LLM) telah menurunkan ambang teknis untuk mengidentifikasi kelas masalah tertentu atau bahkan mendeteksi perbaikan tersembunyi.

"Kami baru-baru ini mengalami peningkatan jumlah laporan kerentanan keamanan yang dapat dengan mudah ditemukan kembali. Ini sebagian besar disebabkan oleh LLM yang secara drastis menurunkan hambatan untuk menemukan kelas masalah tertentu atau mengidentifikasi perbaikan covert," tulis Poinsot dalam proposalnya.

Dalam kebijakan anyar, Core dapat menandai sebuah bug sebagai mudah ditemukan saat triase—definisinya adalah bug yang "bisa ditemukan dengan prompt sederhana ke LLM." Untuk kategori ini, perbaikan akan disalin ke setiap versi Core yang masih didukung dan dirilis dalam point release "sesegera mungkin" disertai security advisory yang memuat sejumlah detail. Kebijakan baru itu menilai embargo lama sebagai trade-off yang keliru untuk kasus semacam ini karena periode penahanan hanya sedikit memberi manfaat tetapi justru menunda ketersediaan rilis yang sudah diperbaiki.

Keputusan ini tidak sepenuhnya mulus. Antoine Riard, peneliti keamanan bitcoin senior, menginginkan Core tetap memiliki opsi merilis perbaikan tanpa advisory dan menahan detail secara kasus per kasus. Namun Poinsot menolak. Ia beralih pada argumen bahwa memberi peringatan kepada pengguna tentang kerentanan tanpa detail apa pun dapat menciptakan risiko yang tidak perlu, terutama memicu migrasi terburu-buru oleh pengguna yang sebenarnya tidak terdampak.

Di sisi lain, konsekuensi teknis dari kebijakan baru ini adalah perbaikan tidak akan memiliki waktu pematangan (bake time) yang memadai dalam pengujian sebelum mencapai pengguna. Poinsot sendiri mengakui hal itu. Meski demikian, ia menilai bahwa untuk bug yang mudah ditemukan, penundaan justru lebih berbahaya karena penyerang dapat lebih dulu memanfaatkannya.

Perubahan ini juga menyoroti tekanan yang kian besar terhadap ekosistem kripto yang selama ini mengandalkan kerahasiaan sebagai lapisan pertahanan. Insiden pada Coldcard dan BTCPay Server menunjukkan bahwa AI tidak hanya mempercepat penemuan bug, tetapi juga memperpendek jendela waktu antara pelaporan dan eksploitasi. Dalam beberapa kasus, laporan yang dihasilkan AI ternyata valid dan langsung disalahgunakan di lapangan.

Bagi Indonesia, dinamika ini relevan mengingat semakin banyak pelaku industri lokal yang mengadopsi bitcoin dan Lightning Network untuk pembayaran lintas batas. Operator node dan penyedia layanan dompet di dalam negeri perlu mencermati ritme pembaruan keamanan yang lebih cepat, sekaligus mengantisipasi risiko eksploitasi yang datang lebih awal. Regulator juga dituntut untuk tidak hanya fokus pada aspek legalitas aset, tetapi juga pada ketahanan infrastruktur teknis yang digunakan.

Ke depan, pertanyaan besarnya adalah seberapa jauh komunitas bitcoin akan mengorbankan stabilitas jangka panjang demi responsivitas terhadap ancaman berbasis AI. Jika model bahasa terus berkembang, bisa jadi tidak lama lagi setiap celah kode akan dianggap sebagai rahasia umum yang dapat diungkap siapa saja dalam hitungan detik—dan kebijakan keamanan pun harus beradaptasi lebih cepat dari sebelumnya.