Agents IA et sécurité du protocole Ethereum : ce qui a changé

Ethereum News : L'équipe de sécurité du protocole de la Fondation Ethereum, dans un article du 9 juillet 2026 rédigé par Nikos Baxevanis, a publié un compte rendu détaillé de l'exécution d'agents d'IA coordonnés contre le code de protocole principal d'Ethereum, y compris les logiciels système, les bibliothèques cryptographiques et les contrats, et le résultat principal est méthodologique, pas seulement la vulnérabilité qu'ils ont révélée.

Les agents ont découvert un véritable bug : une panique déclenchable à distance dans la couche gossipsub de libp2p, le substrat peer-to-peer dont dépendent tous les clients du consensus Ethereum, désormais corrigé et divulgué publiquement sous le numéro CVE-2026-34219. Mais Baxevanis considère cette divulgation comme secondaire par rapport à une vision plus durable de la destination réelle du temps de recherche en matière de sécurité lorsque les agents entrent dans le pipeline.

EXPLORER : la prochaine crypto va exploser au troisième trimestre

Ethereum News : le goulot d'étranglement s'est déplacé, pas disparu

L'argument central de l'article est précis : les agents IA sont des outils de recherche, pas des oracles, et le travail qu'ils créent n'est pas une génération mais un tri. Comme Baxevanis le déclare directement dans son article : « L'IA n'a pas remplacé le chercheur en sécurité.

Cela a déplacé le travail. Le temps consacré à l’élaboration et à la recherche d’hypothèses est désormais consacré à leur jugement à grande échelle, notamment à la construction de l’oracle, à l’exécution du tri, à la tenue de la liste des problèmes connus et à la gestion de la divulgation.

L'équipe exécute de nombreux agents en parallèle sur une seule cible, en se coordonnant via un état partagé dans le contrôle de version plutôt qu'un processus central, une approche que le post fait référence à l'article publié par Anthropic sur la construction d'un compilateur C avec une flotte d'agents. Les rôles émergent du travail lui-même : Recon convertit la surface d'attaque en hypothèses testables ; Hunting trace les chemins de code et construit des reproducteurs ; Le remplissage des lacunes suit la couverture et met en file d'attente le lot suivant ; La validation revérifie chaque candidat indépendamment et effectue l'appel d'acceptation ou de rejet.

L'équipe de sécurité du protocole a pointé les agents d'IA vers le code du protocole d'Ethereum. Notre principal point à retenir ne consistait pas à trouver des bogues, mais à trier.

Voici les notes de terrain du travail.https://t.co/HVtc8XcrJK

– Fondation Ethereum (@ethereumfndn) 9 juillet 2026

La barre d’acceptation est stricte. Un candidat ne devient pas une découverte jusqu'à ce qu'un artefact autonome reproduise l'échec par rapport au code d'expédition réel et s'exécute pour quelqu'un qui ne l'a pas écrit.

Le message identifie trois faux positifs récurrents que l'exigence du reproducteur filtre : une panique qui n'apparaît que dans une version de débogage ; un reproducteur qui construit une valeur interne qu'aucun chemin d'entrée contrôlé par un attaquant ne pourrait jamais produire ; et une preuve de vérification formelle qui est trivialement satisfaite indépendamment de ce que fait le code sous-jacent. « Ce qui est nouveau, c'est le volume », note Baxevanis. « Un agent écrit la version inutile aussi vite que la vraie, et avec autant de confiance. »

DÉCOUVRIR : Meilleures pièces Meme à acheter en 2026

Agents IA en sécurité : ce qu'ils font bien et où ils induisent en erreur

Le message cartographie les capacités des agents avec une franchise inhabituelle. Les agents lisent efficacement les spécifications et le code ensemble, énoncent et vérifient les invariants réels et rédigent des reproducteurs à partir d'une idée d'une seule ligne.

Ils induisent en erreur sur des chaînes d'appels qui semblent accessibles mais ne le sont pas, jouant le contrôle de réussite pour produire une réussite pour la mauvaise raison, gonflant la gravité pour correspondre à un langage de rédaction dramatique et, par conséquent, des bogues qui s'étendent sur une séquence valide d'étapes où seul l'ordre est erroné.

Pour cette dernière classe, Baxevanis soutient que le rôle de l'agent est de suggérer quelles séquences valent la peine d'être exécutées via un faisceau de tests avec état, et non de s'en substituer à une seule.

Le message crédite le cadrage de la « frontière irrégulière » de Stanislav Fort : un modèle qui récupère une chaîne d'exploitation complète sur une base de code peut échouer au traçage de flux de données de base sur une autre, donc aucun bon résultat n'implique que le suivant tiendra.

Excellent article de blog pour les chercheurs en sécurité.

TL:DR

– L’exécution d’agents d’IA coordonnés vers le code peut révéler de nombreuses vulnérabilités.
– Le produit est le tri. Le goulot d’étranglement est désormais le jugement humain expert. https://t.co/uKDqjz3DJ4

– Cotabe.eth (@Cotabe_M) 9 juillet 2026

Chaque candidat est vérifié indépendamment, quelles que soient ses performances antérieures. Le travail parallèle de l'industrie au sein de l'équipe Frontier Red d'Anthropic et de Cloudflare a convergé vers la même architecture, reconnaissance, chasse parallèle, validation indépendante, déduplication, que l'article considère comme une preuve que la méthode est stable même si les outils changent rapidement.

Il ne s’agit pas simplement d’un article sur le déploiement de l’IA dans un flux de travail de sécurité. Il s’agit d’un débat structurel sur les domaines dans lesquels le jugement humain reste non négociable : non pas pour générer des hypothèses, mais pour décider de ce qui compte comme preuve, de ce qui constitue une copie d’un problème connu, et de ce qui est divulgué et quand.

La structure organisationnelle de la Fondation Ethereum, telle que rapportée par CoinSpeaker, donne à cet argument un poids opérationnel : l'équipe a besoin du pipeline pour évaluer le jugement, pas seulement le débit. Comme Baxevanis conclut : « en ignorant cela, vous finissez par envoyer un faux « ça va ». »

suivant

Clause de non-responsabilité: Coinspeaker s'engage à fournir des rapports impartiaux et transparents. Cet article vise à fournir des informations précises et actuelles, mais ne doit pas être considéré comme un conseil financier ou d'investissement. Étant donné que les conditions du marché peuvent changer rapidement, nous vous encourageons à vérifier les informations par vous-même et à consulter un professionnel avant de prendre toute décision basée sur ce contenu.

Actualités Web3, Actualités Ethereum