Core Lightning确认AI生成漏洞报告中的真实安全缺陷
Core Lightning开发团队于8月14日发布声明，指出过去十日内接收到大量由人工智能生成的漏洞报告，经人工验证后发现其中包含若干实际存在的安全问题。为保障网络稳定性，团队强烈建议节点运营者在正式修复方案上线前，避免完全关闭节点，而应采用离线模式重新启动。
与众多开源比特币生态项目类似，Core Lightning近期频繁遭遇来自不同渠道的自动化提交的CVE报告。尽管多数内容为虚假或重复信息，但团队联合几位核心贡献者已投入资源对这些报告进行逐项甄别与分类……
根据官方指引，启用--offline参数可使节点断开所有对等连接，从而阻止支付路由通过，同时维持守护进程运行状态。此举确保节点仍能持续监控链上动态，并在通道对手方发起强制关闭时作出及时响应。若完全断电，则无法实现这一关键防御机制。
修复前设置两周保密窗口
Core Lightning计划在数日内发布经过签名的二进制更新包。完整的技术披露（包括被确认的真实漏洞编号）将延迟两周公开，旨在防止攻击者在广泛部署修补程序前逆向分析漏洞细节。目前所有旧版本（含26.04）均已停止支持。原定于9月26日发布的下一版本，仍按计划于9月下旬推出。
团队近来集中处理了海量由AI生成的漏洞申报，其中部分已被证实为有效威胁，并正进入协调修复阶段。
当前行动指南：切勿停用节点。请使用--offline标志执行重启操作。
该参数将切断所有外部连接，因此不会接受任何支付路径请求……
截至本文撰写时，尚未有记录显示上述漏洞已被实际利用或导致资金损失。据其GitHub仓库信息，当前推荐稳定版本为v26.06.6。选择不立即下线而是采取保守策略的做法，并非仅限于Core Lightning；例如MANTRA项目曾在确认上游漏洞被滥用后，果断暂停服务，而非在风险不明时继续运行链上交易。
为何优先离线而非彻底关机
离线模式与完全断电之间存在本质差异，这并非单纯的安全冗余。8月7日，BTCPay Server在其安全通告中揭示一个已被积极利用的严重漏洞，呼吁用户升级至2.4.2版本或直接停机。硬件钱包厂商Foundation及比特币媒体Citadel21均确认其闪电节点在此次事件中遭清空。
BTCPay创始人Nicolas Dorier表示，该漏洞最初是通过开发者自身资金损失并追踪溯源才得以暴露，而非依赖自动化扫描工具发现。
Core Lightning选择离线模式的核心逻辑在于——即使不参与路由，节点仍可实时监测链上行为，并对对手方强制关闭通道做出反应。这一设计恰好回应了三周前出现的一种故障场景：全宕节点无法在面临强制关闭时进行有效防御。虽然未明确提及BTCPay Server，但其指导原则显然参考了邻近项目的教训。今年加密领域其他案例也印证了错误应对的代价：BounceBit在漏洞耗尽其流通代币四分之一后才被迫关停，警示我们一旦漏洞被恶意利用，损失可能在极短时间内迅速扩大。
运营者应持续关注Core Lightning官方渠道，获取签名版更新文件，安装前务必验证数字签名，并在成功升级后移除--offline标志以恢复正常功能。