Les experts tirent la sonnette d'alarme alors que l'intelligence artificielle découvre une vulnérabilité critique dans une importante plateforme de cryptomonnaie, suscitant des craintes d'effets d'entraînement potentiels sur les institutions financières traditionnelles.
La découverte d’une faille critique dans le réseau Zcash, facilitée par l’intelligence artificielle, a provoqué une onde de choc dans toute la communauté des cryptomonnaies, suscitant des inquiétudes quant à l’existence potentielle de vulnérabilités similaires dans d’autres systèmes cryptographiques et bancaires. Ce bug, qui rôdait sur le réseau depuis quatre ans, n'a été identifié que récemment par Shielded Labs, un développeur à but non lucratif, en utilisant le modèle d'IA de pointe Opus 4.8 d'Anthropic. Si rien n’était fait, cette vulnérabilité aurait pu permettre à un attaquant de créer un nombre illimité de jetons contrefaits.
La révélation a déclenché une panique généralisée, le jeton Zcash ayant chuté de près de 38 % au cours des dernières 24 heures. Certains sont même allés jusqu’à déclarer la disparition de la cryptomonnaie, suggérant que l’industrie aurait dû plutôt se concentrer sur l’intelligence artificielle. Alors qu'Anthropic se prépare à publier son très attendu modèle Mythos, qui promet d'être encore plus apte à identifier et à exploiter les faiblesses, la question qui préoccupe tout le monde est la suivante : la sécurité de l'industrie de la cryptographie peut-elle résister à l'examen minutieux croissant des audits basés sur l'IA ?
Haseeb Qureshi, associé directeur chez Dragonfly, une importante société de capital-risque cryptographique et premier investisseur dans Zcash, offre une perspective plus optimiste. Selon Qureshi, la capacité de l’IA à détecter les vulnérabilités est une évolution positive, car elle conduira à terme à un code plus robuste. Il estime que l'IA permettra non seulement d'identifier les bogues, mais également de fournir des solutions, citant la vérification formelle comme la clé du renforcement des logiciels dans l'ensemble du secteur.
Ben Goertzel, PDG de la société d'IA SingularityNET, partage l'enthousiasme de Qureshi pour le rôle de l'IA dans l'amélioration de la sécurité cryptographique, mais met également en garde contre le potentiel de vulnérabilités similaires dans les systèmes bancaires traditionnels. Bien que d'autres crypto-monnaies ne soient peut-être pas sensibles au bug spécifique trouvé dans Zcash, Goertzel note qu'elles sont susceptibles d'héberger des faiblesses similaires, que les outils d'IA découvriront inévitablement dans les semaines et les mois à venir. En outre, il suggère que l’infrastructure logicielle des banques et autres institutions centralisées est également susceptible de contenir de graves bugs qui seront révélés par les audits d’IA.
Alors, quelle est la solution à cette menace émergente ? Qureshi et Goertzel conviennent que la réponse réside dans la vérification formelle, un processus qui implique l'écriture de preuves mathématiques pour garantir l'exactitude du code. Cette approche, a expliqué Vitalik Buterin, co-fondateur d'Ethereum, consiste à créer des théorèmes qui peuvent être automatiquement vérifiés, éliminant ainsi la possibilité de bogues de mise en œuvre. À mesure que les systèmes d’IA deviennent de plus en plus sophistiqués, la vérification formelle deviendra probablement un outil crucial pour la cybersécurité.
Cependant, mettre en œuvre une vérification formelle est plus facile à dire qu’à faire. Selon Goertzel, les développeurs hésitent souvent à adopter cette approche en raison du travail supplémentaire que cela implique et du fait que certains langages de programmation, tels que Rust, utilisent des constructions « dangereuses » difficiles à vérifier. De plus, réécrire le code pour le rendre vérifiable peut entraîner un ralentissement des performances, un problème qui peut être atténué à l'aide de techniques avancées telles que la supercompilation.
Le paysage de la sécurité devient de plus en plus asymétrique, avec des pirates informatiques motivés par le profit et prêts à consacrer des ressources importantes pour exploiter les vulnérabilités. Ronghui Gu, PDG et co-fondateur de la société de sécurité CertiK, note que les défenseurs sont désavantagés, car ils doivent protéger plusieurs clients simultanément, tandis que les pirates peuvent concentrer leurs efforts sur une seule cible. Pour contrer cette menace, Gu préconise d'intégrer des scanners automatisés dans les flux de développement et de s'appuyer sur des preuves mathématiques pour garantir la sécurité des contrats.
Alors que le débat autour de ces vulnérabilités se poursuit, une chose est claire : l’industrie de la cryptographie doit s’adapter à l’évolution du paysage des menaces. Josh Swihart, PDG de ZODL et ancien PDG d'Electric Coin Company, un développeur clé de Zcash, résume bien le défi : « La question la plus intéressante est de savoir comment garantir que les vulnérabilités ne se reproduiront plus. La meilleure réponse est une vérification formelle.