L'IA peut détecter des vulnérabilités critiques dans les crypto-monnaies : les experts préviennent que l'industrie n'est pas prête

Un chercheur en sécurité utilisant Claude Opus 4.8 d'Anthropic a découvert en quelques jours une faille critique dans le pool de confidentialité Orchard de Zcash, exposant une vulnérabilité qui avait survécu à quatre ans d'examen par les principaux cryptographes à connaissance nulle.

Cette divulgation a fait plonger le ZEC d'environ 38 % jeudi et a soulevé des inquiétudes plus larges dans l'industrie de la cryptographie quant à savoir si les modèles d'IA de pointe deviennent de plus en plus efficaces pour détecter les vulnérabilités que la plupart des humains.

« L'important n'est pas vraiment que l'IA puisse trouver des bugs », a déclaré Ben Goertzel, fondateur et PDG de SingularityNET. Décrypter. « C'est juste que le type de bug que vous pouvez désormais trouver a changé. »

Au lieu de simplement signaler des erreurs de codage évidentes, les modèles frontières sont de plus en plus capables de déterminer si les logiciels se comportent comme prévu par leurs concepteurs, a-t-il noté.

En mai, Taylor Hornby, un chercheur en sécurité embauché par Shielded Labs, a découvert une faille critique dans le circuit Orchard de Zcash avec l'aide de Claude Opus 4.8 d'Anthropic. Caché dans deux lignes de code, le bug provenait d'une vérification qui semblait valider les entrées de transaction mais n'appliquait pas réellement les règles prévues, permettant potentiellement à un attaquant de créer une ZEC usurpée au sein du pool protégé sans être détecté. Hornby a développé un exploit fonctionnel pour vérifier la vulnérabilité avant de la signaler aux développeurs. Une solution d'urgence a été mise en place le 1er juin.

À la panique qui a affecté Zcash et le marché de la cryptographie en général jeudi et vendredi s’ajoute le fait que la faille n’a pas été découverte depuis plus de quatre ans.

Pour Goertzel, la découverte est importante non seulement parce que l’IA a découvert une vulnérabilité, mais aussi parce qu’elle pointe vers un nouveau modèle de recherche en matière de sécurité.

« Je pense que c'est un indicateur précoce d'un changement qu'il sera difficile d'exagérer », a-t-il déclaré. « Le modèle d'enquête de sécurité, consistant en une poignée de spécialistes humains vénérés effectuant des audits lents, artisanaux et hautement spécialisés, ne va pas disparaître, mais ce n'est plus le seul jeu sur le terrain. »

Goertzel a noté que la faille Orchard appartient à une classe de bogues logiques subtils que les modèles d'IA frontaliers sont de plus en plus capables de détecter, tels que les bogues dans les contrats intelligents, les failles dans le contrôle d'accès et les situations dans lesquelles les logiciels se comportent différemment de ce que leurs concepteurs avaient prévu. À mesure que ces capacités s'améliorent, il a ajouté que la recherche en sécurité évolue vers un modèle dans lequel des spécialistes humains supervisent un examen continu alimenté par l'IA, capable d'analyser les bases de code de manière beaucoup plus approfondie que les audits traditionnels.

La réponse de Zcash elle-même pourrait offrir un aperçu de cet avenir, a soutenu Goertzel.

« Le fait que Shielded Labs ait embauché un chercheur spécifiquement pour rechercher des failles au niveau du protocole avec un modèle frontière avant qu'un acteur malveillant ne puisse le faire est, je suppose, le modèle, pas l'exception », a déclaré Goertzel. « L'examen proactif, renforcé par l'IA et contradictoire de la conception devient la norme minimale, et les protocoles qui ne l'adoptent pas seront de plus en plus ceux qui apprendront leurs vulnérabilités auprès de l'attaquant plutôt que d'un allié. »

Selon Sean Ren, PDG de Sahara AI et professeur d'informatique à l'Université de Californie du Sud, les progrès de l'IA redéfinissent également l'équilibre entre les attaquants et les défenseurs, car les modèles pionniers peuvent rapidement tester les stratégies d'attaque, tirer les leçons des résultats et identifier les faiblesses.

« Pour construire une meilleure défense, nous devons utiliser ces modèles d'IA de pointe comme attaquants potentiels pour tester ces systèmes », a déclaré Ren. Décrypter.

Ren a noté que les réseaux blockchain sont particulièrement exposés car leur code open source peut être directement analysé par des modèles d'IA de pointe, qui peuvent tester rapidement les stratégies d'attaque et identifier les vulnérabilités plus rapidement que les examens de sécurité traditionnels.

« Si vous pensez aux laboratoires de modélisation pionniers comme OpenAI, Anthropic et Google DeepMind, ils ont un accès anticipé aux modèles inédits les plus puissants et peuvent mener de nombreuses expériences sur des systèmes de réseaux publics comme les blockchains, ils ont donc le pouvoir entre leurs mains », a-t-il déclaré. « Si une personne malveillante avait accès à ces capacités, elle pourrait mener des attaques et créer des vulnérabilités. »

Cette fenêtre pourrait se fermer plus rapidement que prévu, et selon Danny Jenkins, PDG et co-fondateur de la société de cybersécurité ThreatLocker, la découverte de vulnérabilités assistée par l'IA progresse plus rapidement que de nombreuses organisations ne peuvent protéger les logiciels sur lesquels elles comptent déjà.

« Nous avons cet énorme fossé qu'il faudra des années et des années pour combler », a déclaré Jenkins. Décrypter. « Tous ces logiciels auront toutes ces vulnérabilités, nous n'aurons ni correctifs ni mises à jour pendant longtemps, et les gens pourront trouver ces vulnérabilités très rapidement. »

Jenkins a noté que l’IA ne change pas fondamentalement la recherche sur la vulnérabilité, mais qu’elle l’accélère considérablement. Les tâches qui nécessitaient auparavant que les chercheurs en sécurité examinent manuellement le code et procèdent à l'ingénierie inverse des logiciels peuvent désormais être effectuées en quelques secondes avec les modèles actuels.

« Avant l'IA, les menaces et les exploits en matière de cybersécurité augmentaient chaque année », a-t-il déclaré. « Après l'IA, c'est devenu encore plus rapide, et je pense que cela a été plus rapide pour deux raisons. La première est que vous pouvez désormais utiliser l'IA pour trouver des vulnérabilités et des exploits, et le nombre de personnes qui ont la capacité de le faire a énormément augmenté. Vous n'avez plus besoin d'être un enfant du script. »

Malgré ces risques, Goertzel a fait valoir que l’écosystème crypto pourrait être mieux placé que d’autres secteurs pour s’adapter, puisque sa source est ouverte et ses communautés sont hautement axées sur la sécurité.

« La crypto est la plus proche de la porte, mais c'est aussi la partie de la pièce qui peut la voir venir », a-t-il déclaré.