Un groupe d'entreprises et d'organisations du secteur des cryptomonnaies a appelé les laboratoires d'IA de pointe à donner aux développeurs de Bitcoin et d'autres infrastructures financières open source un accès de confiance à leurs modèles les plus performants, alors que les menaces cybernétiques assistées par l'IA deviennent plus avancées.
Résumé
- Les entreprises de cryptomonnaies ont exhorté les laboratoires d'IA de pointe à donner aux développeurs de Bitcoin et d'infrastructures financières open source un accès de confiance à leurs modèles les plus performants.
- Le Bitcoin Policy Institute a déclaré que les restrictions actuelles peuvent laisser des défenseurs qualifiés dépendre d'outils d'IA moins performants, tandis que des attaquants sophistiqués accèdent à des systèmes avancés.
- Anchorage Digital, BitGo, Bitwise, Blockstream, Kraken, Ledger, MARA et Trezor figurent parmi les entreprises et organisations qui ont signé la lettre ouverte.
- Le BPI a déclaré que l'IA avancée peut aider les défenseurs à analyser de grandes bases de code et à trouver des vulnérabilités plus rapidement, mais ces mêmes capacités peuvent également être utilisées par les attaquants.
Le Bitcoin Policy Institute a déclaré dans une lettre ouverte publiée lundi que les développeurs chargés de sécuriser les systèmes financiers open source peuvent être exclus des programmes cybernétiques spécialisés ou être limités par les garde-fous intégrés aux modèles d'IA de pointe disponibles publiquement.
Les développeurs de Bitcoin cherchent à accéder à des outils de sécurité IA plus puissants
Selon la proposition, les entreprises d'IA devraient « établir ou étendre des programmes permanents d'accès de confiance pour les défenseurs qualifiés de l'infrastructure financière open source », permettant aux chercheurs en sécurité et aux mainteneurs vérifiés d'utiliser des capacités qui pourraient autrement être restreintes.
Le BPI a fait valoir que l'accès est devenu plus important à mesure que les systèmes d'IA avancés gagnent la capacité d'examiner de grandes bases de code, d'identifier des vulnérabilités potentielles et d'accélérer des travaux techniques difficiles. Ces capacités peuvent aider les chercheurs légitimes à trouver des failles, mais l'institut a déclaré qu'elles peuvent également être utilisées par des attaquants à la recherche de faiblesses.
Pour les développeurs de Bitcoin, la lettre indique que le fossé d'accès peut laisser les mainteneurs dépendre de modèles open-weight moins performants lorsque les systèmes de pointe refusent les demandes liées à la sécurité ou ne restent disponibles que via des programmes qui n'incluent pas l'infrastructure financière open source.
L'institut a souligné le montant de capital dépendant de ces logiciels, notant que Bitcoin à lui seul sécurise plus de 1 000 milliards de dollars de valeur. Une vulnérabilité grave dans l'infrastructure financière peut donc mettre en danger les économies des utilisateurs, indique la lettre.
Plusieurs grandes entreprises de cryptomonnaies ont rejoint la demande, notamment Anchorage Digital, BitGo, Bitwise, Blockstream, Bull Bitcoin, MARA, Kraken, Ledger et Trezor. L'African Bitcoin Institute figurait également parmi les organisations ayant signé la lettre.
Les récents travaux de sécurité de Bitcoin Core ont fourni des exemples du type de vulnérabilités que les mainteneurs doivent identifier avant qu'elles ne puissent affecter les utilisateurs. En juin, crypto.news a précédemment rapporté que Bitcoin Core 31.1rc1 avait corrigé un problème de confidentialité impliquant PrivateBroadcast qui pouvait exposer l'adresse IP d'un utilisateur dans certaines conditions de réseau. Le candidat à la version contenait également des modifications couvrant la précision du portefeuille, la mise en réseau, la validation de la blockchain et la sécurité MuSig2.
Un mois plus tôt, les développeurs de Bitcoin Core ont divulgué un bug de gravité élevée suivi sous le nom de CVE-2024-52911 qui pouvait permettre aux mineurs de faire planter à distance certains nœuds. La vulnérabilité affectait les versions après 0.14.0 et avant 29.0, bien que son déclenchement nécessitait que les mineurs produisent des blocs de preuve de travail coûteux. Le chercheur en sécurité Cory Fields a signalé la faille en privé en 2024 avant que Bitcoin Core 29.0 ne soit livré avec le correctif en avril 2025.
L'IA de pointe pourrait renforcer les défenseurs open source
Le BPI a décrit l'IA de pointe comme une technologie qui change l'économie de la recherche en cybersécurité et des opérations cybernétiques, car des modèles de plus en plus performants peuvent effectuer des tâches qui nécessitaient auparavant une quantité substantielle de travail humain spécialisé.
Les modèles avancés pourraient éventuellement devenir l'une des « technologies défensives les plus puissantes jamais développées », a déclaré l'institut, en particulier lorsque les chercheurs les utilisent pour inspecter les logiciels et identifier les faiblesses avant que les attaquants ne les exploitent.
« Sans programmes d'accès dédiés, les défenseurs pourraient manquer des outils nécessaires pour suivre le rythme des menaces évolutives pesant sur l'infrastructure qu'ils maintiennent », indique la lettre.
BPI a également déclaré avoir reçu plusieurs rapports indépendants de mainteneurs de logiciels open source concernant des acteurs sophistiqués utilisant des capacités avancées d'IA pour soutenir des attaques. Selon l'institut, certaines de ces activités pourraient impliquer des adversaires étrangers.
Plutôt que de demander aux développeurs d'IA de supprimer les contrôles de sécurité de leurs modèles pour tous les utilisateurs, les signataires cherchent à mettre en place des programmes permanents grâce auxquels des défenseurs qualifiés pourraient obtenir un accès supplémentaire après avoir été vérifiés.
La proposition rapprocherait les développeurs financiers open source des chercheurs et des organisations déjà autorisés à utiliser des capacités cybernétiques avancées dans le cadre de programmes contrôlés, tout en conservant des restrictions destinées à empêcher un accès sans restriction par des utilisateurs malveillants.
La valeur défensive potentielle de l'IA a déjà été testée ailleurs dans le secteur des cryptomonnaies. En juillet, une étude de la Fondation Ethereum a révélé que des agents d'IA coordonnés pouvaient découvrir de véritables vulnérabilités dans les logiciels utilisés par Ethereum, notamment une faille libp2p divulguée plus tard sous le nom de CVE-2026-34219. L'équipe de sécurité du protocole de la Fondation a déclaré que la partie la plus difficile était de déterminer quels rapports générés par l'IA représentaient de véritables vulnérabilités plutôt que de faux positifs convaincants.
La validation humaine et la preuve reproductible restent donc nécessaires même lorsque les systèmes d'IA identifient avec succès des problèmes de sécurité, selon la Fondation.
Les attaques assistées par l'IA augmentent la pression sur la sécurité des cryptomonnaies
Cette demande intervient après que les plateformes de cryptomonnaies ont subi une nouvelle période de pertes de sécurité importantes en 2026, les attaquants étant de plus en plus capables de combiner des vulnérabilités logicielles, des identifiants compromis, de l'ingénierie sociale et d'autres méthodes d'attaque.
Les données de DefiLlama citées en juin montrent que plus de 634 millions de dollars ont été volés sur les plateformes de cryptomonnaies en avril, la perte mensuelle la plus élevée de l'industrie depuis le piratage de Bybit, qui a contribué à environ 1,4 milliard de dollars de pertes en février 2025.
Des chiffres antérieurs couverts en avril montraient que plus de 606 millions de dollars avaient déjà été volés lors de 12 incidents au cours des 18 premiers jours du mois. Ce montant était environ 3,7 fois supérieur aux 165,5 millions de dollars perdus au cours du premier trimestre 2026.
Deux attaques ont représenté la majeure partie des pertes d'avril à ce stade. Drift Protocol a perdu environ 285 millions de dollars, tandis qu'une exploitation impliquant KelpDAO a entraîné des pertes d'environ 292 millions de dollars, les deux incidents représentant environ 95 % du total signalé au cours des 18 premiers jours.
Le schéma d'attaque a également évolué au-delà des bugs isolés de contrats intelligents. DefiLlama avait enregistré plus de 17 milliards de dollars de pertes sur 518 incidents de piratage de cryptomonnaies au cours de la décennie précédente en avril, les fuites de clés privées, le hameçonnage et le vol d'identifiants représentant une part croissante des dégâts aux côtés des exploits de protocoles.
Parallèlement, les sociétés de sécurité ont averti que l'IA peut réduire le temps et le travail technique nécessaires pour rechercher des faiblesses exploitables. CertiK a déclaré en avril que le hameçonnage assisté par l'IA, les deepfakes et les outils d'exploitation automatisés rendaient les attaques plus rapides et plus difficiles à détecter, tandis que l'infrastructure inter-chaînes et l'ingénierie sociale restaient des voies d'attaque importantes.
Les modèles d'IA avancés ont changé la découverte de vulnérabilités
Les préoccupations concernant l'accès se sont intensifiées à mesure que les modèles de pointe démontrent des capacités plus fortes de découverte de vulnérabilités, donnant aux chercheurs en sécurité des outils capables d'inspecter des logiciels à une échelle auparavant difficile à atteindre.
Mitchell Amador, PDG de la plateforme de bug bounty Immunefi, a décrit la prolifération de systèmes tels que Claude Opus 4.8 et ChatGPT 5.5 comme contribuant à une « apocalypse de vulnérabilités » pour la sécurité des cryptomonnaies, arguant que les modèles avancés avaient modifié l'équilibre entre attaquants et défenseurs.
Amador a déclaré que les trois à quatre prochaines années pourraient être critiques pour la cybersécurité des cryptomonnaies pendant que les équipes de défense travaillent à utiliser les mêmes capacités d'IA pour produire des bases de code plus sécurisées. Une utilisation accrue des systèmes de sécurité participatifs pourrait réduire cette période à moins de deux ans, a-t-il ajouté.
Les outils de sécurité basés sur l'IA faisaient déjà partie de l'infrastructure défensive de l'industrie avant les dernières préoccupations. Dans une interview avec Immunefi en octobre 2025, Amador a déclaré que la détection automatisée des vulnérabilités devrait fonctionner en parallèle des audits, des programmes de bug bounty, des systèmes de surveillance et des pare-feu de transactions, plutôt que de les remplacer. Il a déclaré à l'époque que moins de 10 % des projets utilisaient des outils d'IA pour les vulnérabilités.
Le cofondateur d'Ethereum, Vitalik Buterin, a fait une déclaration similaire en faveur des utilisations défensives en mai, affirmant que la vérification formelle assistée par l'IA pourrait éventuellement permettre aux développeurs de combiner des logiciels hautement optimisés avec des preuves de correction vérifiées par machine. Il a cité des applications potentielles dans les systèmes de consensus d'Ethereum, la technologie à connaissance nulle et la cryptographie résistante aux quantiques, tout en avertissant que la vérification formelle ne pourrait pas éliminer toutes les sources de risque logiciel.
