La Fondation Ethereum et l’Intelligence Artificielle
La Fondation Ethereum utilise des essaims d’agents d’intelligence artificielle (IA) pour tester la sécurité d’Ethereum avant que des hackers malveillants ne le fassent. Dans un article de blog publié jeudi, les chercheurs de la Fondation Ethereum, au sein de l’équipe de sécurité des protocoles, ont annoncé avoir déployé une série d’agents IA pour analyser le logiciel sur lequel repose Ethereum, à la recherche de vulnérabilités dans les systèmes cryptographiques, le code des protocoles et les contrats intelligents.
« Nous avons fait fonctionner des agents IA coordonnés contre les types de systèmes dont le réseau dépend, tels que les logiciels systèmes, le code cryptographique et les contrats qui doivent être corrects », ont écrit les chercheurs. « Les agents ont trouvé de réels bugs. »
Découvertes et Corrections
L’un des bugs découverts concernait un déclenchement à distance d’une panique dans le gossipsub de libp2p, une partie de la couche pair-à-pair utilisée par les clients de consensus d’Ethereum. Ce problème a été corrigé et divulgué sur GitHub sous le nom de CVE-2026-34219.
Cette pratique, connue sous le nom de red teaming, consiste à déployer des chercheurs en sécurité pour attaquer leurs propres systèmes, tentant d’infiltrer ou de perturber les réseaux afin de découvrir des faiblesses avant que des hackers malveillants ne les exploitent. Pendant que les équipes rouges attaquent un système, il appartient aux équipes bleues de le défendre.
Rôle des Agents IA
Traditionnellement, les chercheurs humains recherchaient des vulnérabilités en examinant le code manuellement, mais les agents IA peuvent scanner des bases de code entières, tester des exploits potentiels et générer des résultats pour examen.
« Le fait que les agents trouvent des bugs n’était pas la surprise », a écrit l’équipe. « La surprise résidait dans le peu de travail nécessaire pour les identifier, et dans la quantité de travail requise pour distinguer les véritables bugs de ceux qui semblaient simplement réels. »
Selon la Fondation Ethereum, les agents sont organisés en rôles spécialisés, incluant la reconnaissance, la chasse, le comblement des lacunes et la validation. Certains agents recherchent des chemins d’attaque possibles, tandis que d’autres tentent de reproduire des échecs et de vérifier leur efficacité contre le code de production.
« Le schéma est là pour une raison », ont-ils écrit. « Il impose une affirmation spécifique et testable ainsi qu’une définition claire de ce qui est terminé. Un agent qui doit écrire une preuve observable ne peut pas se contenter de dire « cela semble risqué ».
Comparaison avec d’autres Outils
Le rôle croissant de l’IA dans la recherche de vulnérabilités a été illustré en avril, lorsque la version préliminaire de Claude Mythos d’Anthropic a découvert 271 vulnérabilités dans le navigateur Firefox de Mozilla. Les chercheurs ont comparé les agents IA à des fuzzers, ou outils qui testent les logiciels pour détecter des défauts. Cependant, contrairement aux fuzzers, les agents IA peuvent générer des rapports de vulnérabilité, évaluer l’impact et créer des tests de preuve de concept.
« Une règle prime sur toutes les autres. Un candidat n’est pas une découverte tant qu’il n’y a pas un artefact autonome qui reproduit l’échec contre le vrai code, et qui fonctionne pour quelqu’un qui ne l’a pas écrit », ont écrit les chercheurs.
Conclusion
Les outils IA ont déjà aidé les chercheurs en sécurité à découvrir des défauts dans les réseaux blockchain. En mai, le chercheur en sécurité Taylor Hornby a utilisé Claude Opus 4.8 d’Anthropic lors d’un audit assisté par IA qui a trouvé une vulnérabilité critique dans le pool de confidentialité Orchard de Zcash.
L’expérience de la Fondation Ethereum amène la technologie en interne, utilisant des agents IA pour tester son propre code afin de détecter des vulnérabilités.
« L’IA n’a pas remplacé le chercheur en sécurité. Elle a déplacé le travail », a déclaré la Fondation Ethereum. « Les agents nous permettent de couvrir beaucoup plus de terrain que nous ne pourrions le faire manuellement. En échange, ils demandent un jugement plus minutieux, à travers une pile beaucoup plus grande de revendications qui semblent confiantes. »
« C’est un échange qui vaut la peine d’être fait », ont-ils ajouté, « tant que vous vous souvenez que le jugement est le véritable produit.
