Plus de trois douzaines d'entreprises Bitcoin des secteurs Bitcoin et Crypto-monnaie ont fait appel aux principaux laboratoires d'intelligence artificielle pour donner aux spécialistes de la sécurité un accès anticipé aux modèles les plus puissants. Les signataires estiment que les développeurs qui protègent aujourd’hui des milliards de dollars d’infrastructures sont obligés de travailler avec des outils plus faibles que ceux qui recherchent des vulnérabilités à attaquer.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Ce dont les entreprises ont besoin
La lettre a été préparée par le Bitcoin Policy Institute. Parmi les signataires :
- Coinbase – échange de crypto-monnaie ;
- Block est une société d'infrastructure de paiement et Bitcoin ;
- BitGo et Anchorage Digital sont des plateformes de garde ;
- Blockstream est un développeur d'infrastructure Bitcoin ;
- ARK Invest et Bitwise sont des gestionnaires de produits d'investissement ;
- Foundry est une entreprise du secteur minier ;
- Casa et Exodus – services de portefeuille et de stockage ;
- Brink, Chaincode et Btrust sont des fondations et des organisations qui accompagnent les développeurs.
La principale plainte concerne l'accès à des programmes propriétaires pour les partenaires de confiance en matière de cybersécurité. Les développeurs Bitcoin Core qui gèrent les logiciels réseau clés ne sont pas inclus dans ces programmes. Lorsqu’ils utilisent des modèles publics, les filtres de sécurité intégrés empêchent souvent non seulement les scripts malveillants, mais également la chasse légitime aux bogues.
En conséquence, les défenseurs doivent s’appuyer sur des modèles à poids ouvert. Ils peuvent être téléchargés gratuitement, mais en termes de capacités, ils sont généralement inférieurs aux systèmes les plus avancés des grands laboratoires d'IA.
Pour les défenseurs de l’infrastructure Bitcoin, l’accès rapide à des modèles d’IA puissants n’est pas un avantage, mais un moyen de tester le code avant que les attaquants ne disposent de capacités similaires.
Pourquoi est-ce important pour l’infrastructure Bitcoin ?
Les signataires affirment que les attaquants ne sont pas soumis à de telles restrictions. De nouvelles capacités d'attaque, selon leur évaluation, sont d'abord disponibles pour les laboratoires et un cercle restreint de partenaires, mais continuent ensuite à s'échapper – via des modèles publics, des accès volés aux systèmes d'entreprise et des outils de piratage spécialement créés.
Pour le secteur des actifs numériques, cela devient une question de durabilité de l’ensemble de l’infrastructure. Bitcoin a longtemps été perçu non seulement comme une monnaie numérique, mais aussi comme un actif au bilan des entreprises, des fonds et des détenteurs privés. Par conséquent, les défaillances du logiciel sous-jacent peuvent affecter les bourses, les services de paiement, les plateformes de garde et les utilisateurs qui détiennent des espèces ou des dollars américains à côté d’actifs cryptographiques dans le cadre d’une stratégie financière unique.
La lettre formulait cinq demandes principales :
- un accès anticipé aux modèles d'IA les plus puissants dotés de cybercapacités, y compris avant leur publication publique ;
- une limite de calculs suffisante pour effectuer une vérification complète du code ;
- environnements de test sécurisés pour analyser les logiciels propriétaires ;
- admission de petits mainteneurs indépendants, et pas seulement de grands acteurs du marché ;
- un canal de communication direct avec les équipes de sécurité des laboratoires d’IA pour signaler les problèmes constatés.
Les récentes attaques ont accru la pression sur les laboratoires d’IA
Le moment de l’appel ne semble pas être aléatoire. Ces dernières semaines, deux signataires ont été confrontés à des situations qui montrent clairement les deux côtés du problème.
BTCPay Server a signalé une vulnérabilité critique que les attaquants ont déjà utilisée pour attaquer les nœuds Lightning des commerçants. Foundation, fabricant de portefeuilles matériels et également participant à la lettre, a perdu son propre nœud dans le cadre de la même attaque. BTCPay Server a ensuite noté que l'IA modifiait l'équilibre entre les attaquants et les défenseurs, ce qui rendait plus rapide et moins coûteuse la recherche de faiblesses dans les grandes bases de code.
Dans le même temps, les défenseurs ont découvert le problème lui-même. L'équipe bénévole Bitcoin Red a commencé à exécuter le code du projet Bitcoin via des modèles d'IA et a soumis des milliers de résultats à des centaines de référentiels. L'un de ces rapports est devenu la base du correctif BTCPay Server.
Contexte du marché financier
Les principaux acteurs financiers dépendent de la fiabilité de l’infrastructure blockchain. Coinbase fonctionne comme un échange cryptographique, BitGo et Anchorage Digital en tant que dépositaires, Block est associé à l'infrastructure de paiement, Bitwise et ARK Invest aux produits d'investissement, Foundry au secteur minier et Casa et Exodus aux portefeuilles et au stockage d'actifs. Pour ces entreprises, la sécurité des codes est directement liée à la liquidité du marché, au risque opérationnel et à la confiance des clients.
Il existe déjà sur le marché des exemples d’entreprises pour lesquelles Bitcoin est devenu une partie importante de leur modèle financier. MicroStrategy reste l’exemple le plus visible de participations d’entreprises dans Bitcoin, et le secteur discute de stratégies de trésorerie, de fonds négociés en bourse de crypto-actifs et de produits dérivés comme les options. Dans un tel environnement, un bug dans le code d’infrastructure peut rapidement se propager au-delà de la portée d’un seul projet.
Les signataires demandent essentiellement aux laboratoires d’IA de reconnaître les développeurs open source comme participants à part entière au périmètre de sécurité. Leur argument est simple : si une banque, une bourse ou une grande entreprise technologique accède à des outils de sécurité avancés, alors les responsables du code cryptographique critique ne devraient pas être laissés pour compte.