Une IA qui débusque des failles en quelques dizaines d’heures
Des chercheurs et acteurs de la cybersécurité constatent que les modèles d'intelligence artificielle multiplient la capacité à tester et à analyser du code. Selon le récit publicisé fin juillet, la Frontier Red Team d'Anthropic a utilisé Claude Mythos Preview pour identifier de nouvelles méthodes d'attaque contre des algorithmes cryptographiques : en particulier, une vulnérabilité touchant HAWK, un candidat de signature résistante aux ordinateurs quantiques. Là où des équipes humaines avaient mené deux ans d'examen, l'IA aurait mis environ 60 heures pour produire une attaque réduisant de moitié la robustesse effective des clés, pour un coût estimé d'environ 100 000 dollars en appels d'API.
Des conséquences déjà visibles dans l'écosystème Bitcoin
Parallèlement, des vols de Bitcoin touchant des utilisateurs de wallets Coldcard ont montré les effets concrets d'erreurs d'implémentation. Un bug introduit en 2021 aurait affaibli l'entropie de seeds générées par certains modèles de Coldcard ; des experts suspectent qu'un LLM a servi à générer les scripts d'automatisation des attaques, et possiblement à découvrir la faille elle‑même. Du côté des mainteneurs de Bitcoin Core, l'usage d'assistants IA est déjà courant : plus de rapports de sécurité et de contributeurs recourant à l'IA ont été observés.
Pourquoi l'IA change la donne
- Vitesse : l'IA permet d'explorer des vecteurs d'attaque à une cadence inaccessible à un auditeur humain isolé.
- Échelle : des tests automatisés peuvent s'appliquer à de vastes corpus open source ou à des implémentations variées.
- Coût : l'expérience signalée a nécessité l'usage d'API pour un montant relatif faible au regard de l'impact potentiel.
Entre amélioration de la sécurité et amplification du risque
Il y a une ambivalence nette : les mêmes outils qui accélèrent la découverte de vulnérabilités peuvent servir à les corriger plus vite, mais aussi à automatiser des attaques ou à trouver des erreurs d'implémentation avant qu'elles ne soient patchées. Le développeur Bitcoin Core interrogé souligne que présenter l'IA uniquement comme un risque serait une erreur : elle décuple surtout les capacités des développeurs — pour le meilleur et pour le pire.
Tableau : chiffres clés rapportés
| Élément | Valeur |
|---|---|
| Durée d'examen humain | 2 ans |
| Temps d'attaque par l'IA | 60 heures |
| Coût approximatif en API | 100 000 $ |
| Réduction de robustesse signalée | 50 % |
Quels scénarios pour l'avenir ?
Plusieurs conséquences sont à surveiller :
- une montée des rapports de sécurité mais aussi des exploitations automatisées ;
- l'importance accrue de procédures de revue formelle et d'audits indépendants, y compris contre des attaques guidées par IA ;
- la nécessité pour les wallets et implémentations critiques (nœuds, bibliothèques cryptographiques) d'adopter des pratiques rigoureuses de gestion de la qualité et des tests adversariaux.
Conclusion — entre opportunité et menace
L'intelligence artificielle modifie l'équilibre entre découverte et exploitation des vulnérabilités dans le monde des cryptomonnaies : elle accélère l'identification de failles potentielles mais réduit aussi le temps dont disposent les équipes pour corriger. Pour les acteurs du secteur, la réponse passera par une combinaison d'outils automatisés, d'audits humains indépendants et d'une gouvernance renforcée des implémentations critiques. Ce qui reste incertain et relève de la spéculation est la capacité des petits portefeuilles ou des utilisateurs individuels à suivre ce rythme — une faiblesse qui pourrait continuer d'alimenter des incidents similaires à ceux observés sur Coldcard.
