비트코인 코어 보안 정책 변경 — AI로 찾기 쉬운 버그는 바로 고쳐서 공개

비트코인 코어가 취약점을 공개하는 규칙을 바꿨어요. 이제 "쉽게 찾을 수 있는" 버그는 오래 숨기지 않고, 고친 버전과 보안 공지를 바로 함께 내요. AI(LLM)로 누구나 비슷한 버그를 찾을 수 있게 되면서, 숨겨 두는 기간이 의미가 없어졌다는 판단이에요.

비트코인 코어 보안 정책, 무엇이 바뀌었나

비트코인 코어(Bitcoin Core)는 비트코인 네트워크에서 가장 많이 쓰는 노드 프로그램이에요. 노드는 블록과 거래를 직접 검증하는 컴퓨터를 말해요.

이 프로젝트는 2026년 10월 22일(미국 시간) 공식 사이트의 보안 공개 정책을 고쳤어요. 개발자 안투안 푸앙소(Antoine Poinsot)가 올린 변경안이 이날 반영됐어요.

새로 생긴 기준은 "쉽게 발견할 수 있는(easily discoverable)" 취약점이에요. 공식 정책은 이걸 "간단한 LLM 프롬프트처럼 적은 노력으로 찾을 수 있는 취약점"이라고 설명해요.

이런 취약점으로 분류되면 이렇게 처리해요.

• 지원 중인 메이저 버전마다 수정 내용을 담은 패치 버전(포인트 릴리스)을 최대한 빨리 내요
• 패치 버전과 함께 보안 공지(시큐리티 어드바이저리)를 올려요
• 심각도별 비공개 유예 기간(엠바고)을 적용하지 않아요

엠바고 — 취약점을 고친 뒤에도 일정 기간 세부 내용을 공개하지 않는 기간이에요. 사용자가 업데이트할 시간을 벌려는 장치예요.

기존 공개 일정은 그대로 남아요

쉽게 찾기 어려운 취약점은 원래 일정대로 공개해요. 심각도는 4단계로 나뉘어요.

심각도	예시	공개 시점
낮음(Low)	기본 설정이 아니거나 로컬 접근이 필요한 버그	수정이 담긴 메이저 버전 출시 2주 뒤
중간(Medium)	노드 성능·기능을 눈에 띄게 떨어뜨리지만 범위가 좁은 버그	마지막 영향 버전 지원 종료 2주 뒤
높음(High)	기본 설정에서 원격으로 노드를 멈추게 하는 버그	마지막 영향 버전 지원 종료 2주 뒤
치명(Critical)	코인 탈취, 무단 발행, 영구적인 체인 분리	정해진 일정 없이 그때그때 처리

중간·높음 등급은 수정 버전이 처음 나온 뒤 대략 1년이 지나야 공개돼요. 공개 2주 전에는 새 메이저 버전과 함께 고친 취약점 개수와 심각도만 먼저 알려요.

이번 변경으로 이 사전 안내 문구도 "엠바고가 걸린 취약점"에만 해당하도록 바뀌었어요.

왜 바꿨을까

푸앙소는 변경안 설명에서 이유를 직접 밝혔어요. 최근 쉽게 다시 찾아낼 수 있는 취약점 제보가 늘었고, LLM이 특정 유형의 버그나 몰래 넣은 수정을 찾는 문턱을 크게 낮췄다고 했어요.

보안 정책은 두 목표 사이에서 균형을 잡아야 해요.

• 투명성: 공격자와 방어자가 같은 정보를 갖게 해요
• 업데이트 시간: 사용자가 패치를 깔기 전에 버그가 알려지지 않게 해요

비트코인 코어는 사용자들이 업데이트를 느리게 하는 편이라, 지금까지 긴 엠바고를 택했어요. 그래서 보안 수정이 예전 버전에 따로 들어가지 못하고, 다음 메이저 버전이 나와야 받을 수 있었어요.

푸앙소는 쉽게 찾을 수 있는 버그에선 이게 "잘못된 선택"이라고 했어요. 공격자도 AI로 금방 찾을 수 있으니 엠바고로 얻는 게 거의 없고, 고친 버전만 늦어진다는 거예요.

노드 운영하는 분이 달라지는 점

직접 비트코인 코어 노드를 돌리는 분이라면 패치 버전이 지금보다 자주 나올 수 있어요. 쉽게 찾는 버그로 분류되면 예전 메이저 버전에도 수정이 들어가요.

CoinDesk는 이 방식이 수정을 더 빨리 배포하는 대신, 사용자에게 닿기 전 테스트 시간은 줄어든다고 짚었어요.

거래소 지갑에 코인을 맡겨 둔 분은 따로 할 일이 없어요. 노드 업데이트는 거래소가 맡아요.

정리

• 비트코인 코어가 2026년 10월 22일 보안 공개 정책을 바꿨어요
• AI로 쉽게 찾을 수 있는 취약점은 엠바고 없이 패치 버전과 보안 공지를 바로 내요
• 그 밖의 취약점은 기존처럼 심각도별 일정에 따라 공개해요

노드를 운영한다면 bitcoincore.org 보안 공지 페이지를 주기적으로 확인하고, 패치 버전이 나오면 업데이트해 보세요.