La nouvelle IA anthropique pourrait augmenter massivement les piratages cryptographiques

Anthropic a présenté « Claude Mythos Preview », un modèle d'IA qui pourrait annoncer une nouvelle ère en matière de cybersécurité. Selon l'entreprise, l'IA non seulement trouve des vulnérabilités zero-day non détectées auparavant, mais peut dans de nombreux cas les traduire directement en exploits fonctionnels. Du point de vue de l’industrie de la cryptographie, il s’agit bien plus qu’une simple anecdote du secteur adjacent de l’IA. Si les performances du modèle se confirment dans la pratique, le rapport de force entre attaquants et défenseurs changerait sensiblement, notamment dans le secteur DeFi particulièrement vulnérable.

Selon Anthropic, Mythos a déjà trouvé des failles de sécurité dans tous les principaux systèmes d'exploitation et navigateurs Web. Un autre point est particulièrement explosif. Dans le texte technique qui l'accompagne, la société cite les faiblesses des bibliothèques et protocoles cryptographiques largement utilisés tels que TLS, AES-GCM et SSH. Ces éléments de base sécurisent une grande partie de l’infrastructure numérique sur laquelle les sociétés de cryptographie, les dépositaires, les bourses et les équipes DeFi s’appuient quotidiennement. Si de telles implémentations peuvent être attaquées de manière plus fiable et plus rapide, le risque augmente non seulement pour les systèmes informatiques classiques, mais également pour l'infrastructure autour des portefeuilles, des validateurs, des oracles, des ponts et des plateformes de trading.

Pourquoi DeFi est particulièrement vulnérable

Pour les protocoles DeFi, le développement est délicat pour une raison simple. Le code est ouvertement visible. La transparence est un principe fondamental dans le secteur de la cryptographie, mais elle devient une arme à double tranchant en matière de sécurité. Ce qui a jusqu’à présent été analysé ligne par ligne par des auditeurs, des hackers et des outils de sécurité spécialisés, un modèle comme Mythos pourrait à l’avenir le parcourir automatiquement, en parallèle et à une échelle beaucoup plus grande.

Cela ne modifie pas seulement la vitesse à laquelle les vulnérabilités sont détectées. Le coût marginal des attaques diminue. Ce qui nécessite aujourd'hui des semaines de travail de la part de développeurs d'exploits expérimentés pourrait être préparé demain en quelques heures, voire automatiquement. Ceci est particulièrement délicat pour les protocoles DeFi. Le délai entre la découverte d’une vulnérabilité et son exploitation active est susceptible de se réduire. Il s’agit d’un risque structurel, notamment dans le cas des contrats intelligents, qui ne peuvent souvent être modifiés que de manière limitée après le déploiement ou en cas de retard de gouvernance.

Ce ne sont pas seulement les contrats intelligents qui sont concernés

Cependant, le débat ne doit pas se limiter à Solidity et Rust dans le domaine onchain. Le plus grand effet de levier pourrait même résider dans l’infrastructure hors chaîne. La plupart des piratages cryptographiques les plus graves de ces dernières années n’ont pas affecté le mécanisme de consensus d’une blockchain elle-même, mais plutôt les ponts, les frontaux, les configurations de signature, les configurations cloud, la gestion des clés ou l’accès administrateur.

Si l’IA parvient à mieux exploiter les vulnérabilités de l’accès SSH, des bibliothèques cryptographiques ou des bacs à sable des navigateurs, la pression augmentera sur toutes les entreprises qui exploitent une infrastructure cryptographique. Cela affecte les échanges centralisés ainsi que les fournisseurs de services de garde, les teneurs de marché, les émetteurs de stablecoins et les protocoles DeFi avec des clés d'administration, des droits de mise à niveau ou des oracles. Même si le contrat intelligent est formellement propre, l’environnement reste vulnérable. C’est peut-être le plus grand danger. La sécurité cryptographique n’est pas seulement une question de contrat intelligent, mais toujours une question de l’ensemble de la pile technologique.

Ce que cela signifie pour Bitcoin

Pour Bitcoin, la situation est plus nuancée. Le logiciel de la couche de base est considéré comme ayant été développé de manière relativement conservatrice ; le code a été intensivement vérifié pendant des années et les changements se produisent lentement. Cela ne rend pas Bitcoin immunisé, mais cela le rend moins vulnérable que de nombreuses très jeunes blockchains et projets DeFi.

Néanmoins, des dommages conséquents importants seraient envisageables dans l’environnement Bitcoin. Car même si le protocole lui-même n'est pas directement affecté, les logiciels de portefeuille, les implémentations Lightning, l'infrastructure d'échange, les systèmes de garde et l'ensemble du paysage des communications et des serveurs restent des points d'attaque.

Le BSI et les autorités américaines tirent la sonnette d’alarme

Les réactions des autorités montrent que la question n’est pas considérée comme une simple annonce de relations publiques. Aux États-Unis, selon Bloomberg, les dirigeants des banques d’importance systémique ont été convoqués dans les plus brefs délais pour discuter des nouveaux cyber-risques. En Allemagne, la présidente du BSI, Claudia Plattner, a déclaré que « des bouleversements dans la gestion des failles de sécurité » étaient attendus.

Il s’agit d’un signal d’alarme particulièrement important pour l’industrie de la cryptographie. Car il combine trois caractéristiques qui le rendent particulièrement vulnérable à un tel scénario : du code open source, une forte densité de capital et des transactions pour la plupart irréversibles. Là où les banques traditionnelles peuvent bloquer des comptes ou récupérer des paiements en cas d’attaque, c’est souvent l’inverse qui s’applique dans le secteur de la cryptographie. Si un exploit réussit, les fonds volés sont souvent répartis sur plusieurs chaînes, ponts et mélangeurs en quelques minutes.

Le véritable changement de paradigme

Le changement clé est que l’IA déplace la course à la sécurité de l’expertise individuelle vers une approche à grande échelle. Jusqu’à présent, le nombre de personnes capables d’approfondir suffisamment les bases de codes complexes et de créer des attaques de grande envergure à partir de petites erreurs était très limité. Avec des modèles comme Mythos, cela menace de devenir un processus reproductible à grande échelle.

Cela aurait des conséquences économiques massives. Les audits auront probablement des demi-vies plus courtes. Les programmes de bug bounty devraient devenir nettement plus attractifs afin de maintenir les chapeaux blancs en concurrence avec les attaquants. Les protocoles prévoyant des pauses d’urgence, des coupe-circuit, des verrouillages horaires et des plans clairs de réponse aux incidents deviendraient relativement plus attrayants.

La question de savoir si Mythos est réellement aussi révolutionnaire que le prétend Anthropic ne deviendra claire qu’au cours des prochains mois. Mais il est déjà clair que l’industrie de la cryptographie ne devrait pas considérer cette annonce comme de la science-fiction. Si les modèles d’IA peuvent trouver et exploiter de manière fiable et à grande échelle des vulnérabilités jusque-là cachées, cela frappera probablement particulièrement durement un secteur avec du code ouvert, des actifs élevés et, pour la plupart, des transactions finales.