En résumé
- Taylor Hornby a révélé avec l'aide de Claude Opus 4.8 une faille critique dans Zcash qui permettait de frapper un nombre illimité de ZEC et était active depuis mai 2022.
- La vulnérabilité a déjà été corrigée, mais il n'existe aucun moyen cryptographique de confirmer si elle a été exploitée, ce qui a fait baisser le prix du ZEC.
- Les experts préviennent que l’IA amplifie à la fois les attaquants et les défenseurs, avec plus de 840 millions de dollars volés dans DeFi au cours des cinq premiers mois de 2026.
La dernière génération de modèles d’IA frontaliers ne se limite plus à discuter avec les utilisateurs, à générer des images ou à écrire du code. Les chercheurs utilisent de plus en plus des systèmes tels que Claude Mythos et Claude Opus 4.8 d'Anthropic, ainsi que GPT-5.5 d'OpenAI, pour identifier les vulnérabilités logicielles, ce qui soulève des inquiétudes quant à ce qui se passera lorsque ces capacités deviendront largement disponibles.
Cette semaine, les investisseurs en cryptographie ont reçu un avertissement concernant la menace croissante posée par l'IA lorsque les développeurs de Zcash ont révélé que Claude Opus 4.8 avait aidé à découvrir une vulnérabilité critique qui aurait permis à un attaquant de créer ZEC de manière illimitée. En raison de la conception du réseau, il n'existe actuellement aucun moyen de savoir avec certitude si une ZEC contrefaite a été frappée, et cette incertitude a fait chuter le prix de la ZEC plus tard cette semaine.
Les experts préviennent que de nombreuses autres vulnérabilités pourraient être découvertes dans les semaines et les mois à venir, à mesure que les logiciels d’IA deviennent plus performants et que ces outils deviennent plus accessibles. Vous trouverez ci-dessous une analyse de la menace croissante et de son impact sur le monde de la cryptographie.
Les premiers modèles d’IA étaient utilisés professionnellement comme assistants de programmation, aidant les développeurs à écrire, expliquer et déboguer des logiciels. À mesure que la technologie s'améliorait, les chercheurs ont commencé à utiliser les mêmes systèmes pour la révision du code, les audits de logiciels et la recherche de vulnérabilités.
La transition d’assistant de programmation à outil de sécurité a coïncidé avec un changement plus large dans l’utilisation de l’IA dans le développement de logiciels. Suite à la sortie de Claude Code en 2025, Anthropic a signalé une augmentation significative du code généré par l'IA au sein de ses équipes d'ingénierie, reflétant le passage de modèles suggérant du code à des systèmes capables de l'écrire et de l'exécuter.
Les professionnels de la sécurité affirment que les implications vont au-delà de l’aide aux développeurs pour écrire du code.
« L'IA est bien meilleure que la plupart des gens pour examiner le code et y trouver des vulnérabilités potentielles », a déclaré Danny Jenkins, PDG et co-fondateur de ThreatLocker. Décrypter. Jenkins a déclaré que les systèmes d'IA actuels accélèrent déjà la découverte de vulnérabilités, tandis que des modèles plus récents comme Mythos pourraient étendre considérablement ces capacités, qualifiant cela de « gros problème » imminent.
« Ce n'est qu'une question de temps avant qu'une personne malveillante y ait accès », a-t-il ajouté.
Selon Jenkins, l’IA réduit également les barrières à l’entrée pour la recherche sur les vulnérabilités, permettant à davantage de personnes d’analyser le code, d’identifier les faiblesses et de développer des exploits. À mesure que l’accès à des systèmes de plus en plus performants s’étend, attendez-vous à ce que le rythme de découverte des vulnérabilités s’accélère.
« Avant l'IA, les menaces et les exploits en matière de cybersécurité augmentaient chaque année », a-t-il déclaré. « Après l'IA, c'est devenu encore plus rapide, et je pense que cela a été plus rapide pour deux raisons. La première est que vous pouvez désormais utiliser l'IA pour aider à trouver des vulnérabilités et des exploits, et le nombre de personnes capables de le faire a énormément augmenté. »
À mesure que les systèmes d’IA sont devenus plus performants, les entreprises ont commencé à les appliquer à la cybersécurité. Mardi, Anthropic a élargi l'accès au projet Glasswing, donnant à 150 entreprises et institutions l'accès à Claude Mythos pour les aider à identifier et à corriger les vulnérabilités logicielles avant que le modèle ne soit diffusé plus largement.
En avril, Mozilla a révélé que les modèles Anthropic avaient permis d'identifier des centaines de vulnérabilités corrigées dans le navigateur Web Firefox, tandis que des chercheurs californiens ont utilisé Mythos Preview dans un travail qui a produit l'un des premiers exploits publics ciblant les puces M5 d'Apple.
Stanislav Fort, ancien chercheur chez Google DeepMind et Anthropic, et aujourd'hui fondateur et scientifique en chef de la société de sécurité Aisle, a noté que les préoccupations concernant la découverte de vulnérabilités basées sur l'IA sont valables, mais souvent mal comprises.
« La réponse naïve est d'essayer de contrôler l'accès aux modèles les plus puissants. Je pense qu'il s'agit essentiellement d'une sécurité par l'obscurité, et la sécurité par l'obscurité est l'une des pires idées dans ce domaine », a déclaré Fort. Décrypter. « La capacité de découverte du jour zéro est déjà largement distribuée dans des modèles que personne ne peut restreindre. Essayer de la contenir à la frontière n'élimine pas le risque ; cela ne fait que la retarder tout en ralentissant les défenseurs qui ont le plus besoin de ces outils. »
Fort a noté que le plus grand risque est que les défenseurs, en particulier les responsables de la maintenance open source, n'aient pas accès aux mêmes outils d'IA avancés dont disposent les attaquants.
« Ce déséquilibre constitue le véritable danger », a-t-il déclaré. « La réponse n'est pas la restriction, mais la démocratisation du système défensif. »
Anthropic n’est pas le seul à promouvoir des modèles d’IA axés sur la cybersécurité. En mai, Microsoft a présenté MDASH, un système agent de découverte de vulnérabilités qui, selon la société, a permis d'identifier des vulnérabilités inconnues dans Windows.
Le risque pour l’écosystème crypto
L’écosystème crypto et DeFi commence à ressentir l’impact de la chasse aux bugs basée sur l’IA. Les projets blockchain ont toujours été des cibles attractives car il y a beaucoup d’argent en jeu et une grande partie du code est publique. Jenkins a déclaré qu'à mesure que l'IA détecte mieux les failles logicielles, les projets de cryptographie open source pourraient devenir des cibles plus faciles à la fois pour les chercheurs en sécurité à la recherche de bogues et pour les attaquants cherchant à les exploiter.
Dans l'un des exemples les plus clairs de la façon dont les modèles d'IA avancés peuvent aider les chercheurs à découvrir des vulnérabilités qui ont survécu à des années d'examen humain, le chercheur indépendant en sécurité Taylor Hornby a révélé la vulnérabilité critique du pool de confidentialité Orchard de Zcash, qu'il a découvert avec l'aide de Claude Opus 4.8.
La faille aurait pu permettre à un attaquant de créer un nombre illimité de ZEC usurpées et n'a pas été détectée pendant des années avant d'être corrigée. On ignore si l’exploit a réellement été utilisé.
« La vulnérabilité était présente depuis l'activation d'Orchard en mai 2022 jusqu'au déploiement du correctif d'urgence le 1er juin 2026 », a écrit Shielded Labs, l'organisation à l'origine du développement de Zcash, dans un article de divulgation. « En raison des propriétés de confidentialité d'Orchard et de la nature du bug, il n'existe aucun moyen définitif de déterminer, en utilisant uniquement la cryptographie, si une telle exploitation a eu lieu. »
L’attaque intervient à un moment où les protocoles DeFi sont déjà confrontés à l’une de leurs pires années en termes d’exploits. Plus de 840 millions de dollars ont été volés aux projets DeFi au cours des cinq premiers mois de 2026, dont plus de 600 millions de dollars rien qu'en avril, lors d'attaques contre des projets tels que KelpDAO et Drift Protocol.
L'émergence de ce que l'on appelle le « vibe hacking », dans lequel les attaquants utilisent des agents de code d'IA pour automatiser la reconnaissance, le vol d'identifiants, le développement de logiciels malveillants et d'autres tâches, a fait naître des inquiétudes quant au fait que l'IA réduit les obstacles à la réalisation de cyberattaques sophistiquées.
Selon Natalie Newson, chercheuse principale en blockchain chez la plateforme de sécurité Web3 CertiK, même si le mois d'avril a été exceptionnellement sévère en termes d'exploits cryptographiques, la tendance générale reste stable et inférieure au nombre maximal d'incidents enregistrés les années précédentes.
« Avril 2026 a été un mauvais mois pour les exploits cryptographiques ; il n'y a eu que trois jours sans exploit au cours desquels au moins 10 000 $ ont été volés », a-t-il noté. « Cependant, si l'on regarde la situation dans son ensemble, le nombre d'incidents (hors phishing) a été assez constant et reste inférieur au pic de 2023. »
Bien que l'IA facilite les exploits dans DeFi, selon Raz Niv, directeur technique de Blockaid, le plus grand risque n'est pas que l'IA remplace les pirates informatiques, mais plutôt qu'elle les amplifie, permettant aux attaquants de se concentrer sur des techniques plus sophistiquées tandis que l'IA s'occupe des tâches de routine.
« La bonne nouvelle est que les défenseurs peuvent utiliser les mêmes outils », a-t-il déclaré. « La surveillance et la simulation assistées par l'IA deviennent essentielles pour les équipes de sécurité qui tentent de rester à jour. »
Débriefing quotidien Bulletin
Commencez chaque journée avec les principales actualités du moment, ainsi que des fonctionnalités originales, un podcast, des vidéos et bien plus encore.
Voir l’article original en espagnol
