En résumé
- La Fondation Ethereum a déployé des essaims d’agents IA contre son propre code et a découvert de véritables bugs dans le protocole.
- L'un des bugs trouvés était une panique à distance dans libp2p, corrigée et divulguée sous le nom CVE-2026-34219 sur Github.
- L’équipe a averti que les résultats de l’IA peuvent sembler convaincants même s’ils sont erronés, nécessitant un jugement humain constant.
La Fondation Ethereum utilise des essaims d’agents IA pour attaquer Ethereum avant tout le monde.
Dans un article de blog publié jeudi, les chercheurs de la Fondation Ethereum de l'équipe de sécurité du protocole ont noté qu'ils avaient déployé une série d'agents d'IA contre les logiciels dont dépend Ethereum, recherchant des vulnérabilités dans les systèmes cryptographiques, le code de protocole et les contrats intelligents.
« Nous avons utilisé des agents d'IA coordonnés contre le type de systèmes dont dépend le réseau, tels que les logiciels système, le code cryptographique et les contrats qui doivent fonctionner correctement », ont écrit les chercheurs. « Les agents ont trouvé de vrais bugs. »
L'un des bogues découverts était une panique déclenchée à distance dans le gossipsub libp2p, qui fait partie de la couche peer-to-peer utilisée par les clients de consensus Ethereum. Le problème a été résolu et divulgué sur Github sous le numéro CVE-2026-34219.
Connue sous le nom de Red Teaming, cette pratique implique que les entreprises déploient des chercheurs en sécurité pour attaquer leurs propres systèmes, tentant de les infiltrer ou de les perturber pour découvrir les faiblesses avant que les pirates malveillants ne les trouvent. Tandis que les équipes rouges attaquent un système, les équipes bleues sont chargées de le défendre.
Traditionnellement, les chercheurs humains recherchaient les vulnérabilités en examinant manuellement le code, mais les agents d'IA peuvent analyser des bases de code entières, tester les exploits potentiels et générer des résultats à examiner.
« Le fait que les agents aient trouvé des bugs n'était pas une surprise », a écrit l'équipe. « La surprise a été le peu de travail nécessaire pour les trouver, et combien il a fallu pour distinguer les vrais bugs de ceux qui en ressemblaient. »
Selon la Fondation Ethereum, les agents sont organisés en rôles spécialisés tels que la reconnaissance, la recherche, le comblement des lacunes et la validation. Certains recherchent des chemins d'attaque possibles, tandis que d'autres tentent de reproduire les failles et de vérifier si elles fonctionnent avec le code en production.
« Ce projet existe pour une raison », ont-ils déclaré. « Cela nécessite que vous fassiez une déclaration spécifique et testable, avec une définition claire de ce que signifie être prêt. Un agent qui doit rédiger un test observable ne peut pas recourir à « cela semble risqué ». »
Le rôle croissant de l'IA dans la recherche sur les vulnérabilités a été démontré en avril, lorsqu'une prépublication de Claude Mythos d'Anthropic a découvert 271 vulnérabilités dans le navigateur Firefox de Mozilla.
Les chercheurs ont comparé les agents d’IA à des fuzzers, des outils qui testent les failles des logiciels. Cependant, contrairement aux fuzzers, les agents IA peuvent générer des rapports de vulnérabilité, évaluer l’impact et créer des preuves de concept.
Cependant, ce n’est pas parce que c’est détaillé que c’est correct. Les résultats générés par l’IA peuvent sembler convaincants même lorsqu’ils sont erronés, obligeant les chercheurs à filtrer les doublons, les faux positifs et les vulnérabilités qui ne peuvent réellement être exploitées.
« Une règle compte plus que toute autre. Un candidat n'est pas une découverte tant qu'il n'existe pas un artefact autonome qui reproduit la faute par rapport au code réel et qui fonctionne pour quelqu'un qui ne l'a pas écrit », ont ajouté les chercheurs. « Le joueur ne lit pas le rapport et ne se soucie pas de la fiabilité du modèle. Soit il fonctionne, soit il ne fonctionne pas. »
Les outils d’IA ont déjà aidé les chercheurs en sécurité à découvrir des failles dans les réseaux blockchain.
En mai, le chercheur en sécurité Taylor Hornby a utilisé Claude Opus 4.8 d'Anthropic lors d'un audit assisté par l'IA qui a révélé une vulnérabilité critique dans le pool de confidentialité Orchard de Zcash. La faille existait depuis environ quatre ans et aurait pu permettre à un attaquant de créer une ZEC usurpée sans trace évidente sur la chaîne. Une mise à niveau du réseau visant à rétablir la confiance dans l'approvisionnement en Zcash est toujours en cours de développement.
L’expérience de la Fondation Ethereum apporte la technologie au sein de l’organisation, en utilisant des agents d’IA pour tester les vulnérabilités de son propre code.
« L'IA n'a pas remplacé le chercheur en sécurité. Elle a réorienté le travail », a noté la Fondation Ethereum. « Les agents nous permettent de couvrir beaucoup plus de terrain que ce que nous pourrions faire manuellement. En retour, ils nécessitent un jugement plus minutieux, appliqué à un ensemble beaucoup plus important de réclamations convaincantes. »
« Ce compromis en vaut la peine », ont-ils ajouté, « tant que vous vous souvenez que le jugement est le véritable produit ».
Débriefing quotidien Bulletin
Commencez chaque journée avec les principales actualités du moment, ainsi que des fonctionnalités originales, un podcast, des vidéos et bien plus encore.