Haseeb Qureshi, de Dragonfly, affirme qu'un audit IA à 2 dollars aurait pu détecter la faille de Coldcard

La faille de Coldcard pourrait pousser les entreprises du secteur des cryptomonnaies à tester chaque nouvelle version à l’aide de l’IA

L’intelligence artificielle rend la détection des vulnérabilités si peu coûteuse que la sécurité pourrait de plus en plus dépendre des sommes que les entreprises sont prêtes à dépenser avant que les attaquants ne le fassent. C’est l’avertissement lancé par Haseeb Qureshi, associé gérant de Dragonfly, après que des modèles d’IA auraient redécouvert en quelques minutes une faille critique dans le firmware du portefeuille Bitcoin de Coldcard.

« La cybersécurité est désormais une question de budget », a écrit M. Qureshi sur X. La question clé, a-t-il déclaré, est de savoir combien les développeurs investissent dans les tests basés sur l’IA par rapport aux attaquants potentiels.

Coldcard a révélé une faille d’entropie affectant les graines générées avec certaines versions du micrologiciel. Ce bug a conduit certains appareils à s’appuyer sur un générateur logiciel déterministe au lieu de la source matérielle de hasard prévue. Coinkite a publié des mises à jour d’urgence le 31 juillet et a conseillé aux utilisateurs concernés de créer de nouvelles graines et de transférer leurs fonds. L’installation d’un nouveau micrologiciel ne suffit pas à elle seule à corriger une ancienne graine.

La vulnérabilité aurait été détectée en quelques minutes

Un test aurait permis de détecter la faille avec le modèle Claude Code d’Anthropic en environ huit minutes. Qureshi a toutefois précisé que ce résultat pouvait avoir été influencé par l’accès à Internet, qui aurait pu exposer le modèle à des informations existantes concernant ce bug. Un autre test, réalisé sans accès à Internet et utilisant GLM 5.2, a reproduit la vulnérabilité en une vingtaine de minutes.

En se basant sur les coûts d’entrée et de sortie du modèle, il a estimé que l’audit avait coûté environ 2 $. « 2 $ consacrés au renforcement de la sécurité de l’IA auraient permis de détecter ce bug. Il n’y a aucune excuse à cela », a-t-il fait remarquer. M. Qureshi a proposé une nouvelle mesure appelée « coût de découverte » (Cost of Discovery, ou CoD). Cet indicateur permettrait d’estimer le coût pour un modèle d’IA de pointe de reproduire de manière indépendante une vulnérabilité.

Les petits fournisseurs de solutions de sécurité font face à une pression croissante

Cet épisode pourrait avoir des conséquences plus larges pour le marché des portefeuilles matériels. M. Qureshi a fait valoir que les grands fournisseurs seront avantagés, car ils peuvent consacrer davantage de moyens aux tests automatisés, aux audits et au renforcement de la sécurité des versions. Les petites entreprises pourraient avoir du mal à rivaliser avec des attaquants capables d’analyser le code en continu à moindre coût.

Il a recommandé aux start-ups développant des portefeuilles, des contrats intelligents ou d’autres produits destinés à protéger l’argent de procéder à des analyses de sécurité par IA avant chaque mise à jour. M. Qureshi a également remis en cause une idée reçue concernant la sécurité de l’open source. Selon lui, le code public peut protéger les utilisateurs contre les développeurs malveillants, mais il ne les protège pas automatiquement contre les attaquants.

L’IA peut servir les deux camps. Elle réduit le coût de la détection des vulnérabilités, mais elle offre également aux développeurs des outils de défense plus puissants. « Nous n’avons d’autre choix que de nous adapter », a déclaré M. Qureshi.