Plus de 40 entreprises du secteur des cryptomonnaies tirent la sonnette d'alarme sur le fossé en matière de sécurité lié à l'IA

Le Bitcoin Policy Institute a publié cette lettre ouverte, intitulée « Defenders Need the Frontier », le 10 août. Parmi les signataires figurent Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor, ainsi que des groupes de soutien aux développeurs tels que Brink, Chaincode Labs, Btrust, OpenSats et BTCPay Server.

Une course entre attaquants et défenseurs

Cette demande s’inscrit dans le contexte d’une réalité en pleine mutation en matière de cybersécurité. Des systèmes d’IA avancés sont capables d’analyser d’énormes quantités de code informatique, d’identifier d’éventuelles failles et d’aider les chercheurs à vérifier si une faille peut être exploitée.

Cela permet d’accélérer et d’approfondir les audits de sécurité. Mais cela rend également les attaques moins coûteuses et plus faciles à déployer à grande échelle. Cette actualité fait suite à la récente faille de sécurité de Coldcard, où l’IA aurait repéré la faille du micrologiciel du portefeuille matériel avant que celle-ci ne soit exploitée.

La coalition affirme que les grands laboratoires d’IA et un petit groupe de partenaires sélectionnés ont souvent un accès précoce à ces capacités, contrairement aux personnes chargées de la maintenance des logiciels financiers open source largement utilisés. Selon la lettre, d’ici à ce que des outils plus puissants soient largement disponibles, les attaquants auront peut-être déjà trouvé des moyens d’accéder à des capacités comparables, de les copier ou de les développer.

« L’IA de pointe est en train de bouleverser l’économie tant de la recherche en sécurité que des opérations cybernétiques », indique la lettre. Elle met en garde contre le fait que les défenseurs se heurtent fréquemment à des restrictions de sécurité lorsqu’ils tentent d’utiliser des produits d’IA publics à des fins de recherche légitime, ce qui les oblige « à se rabattre sur des alternatives open-source moins performantes pour les évaluations de sécurité critiques ».

Les modèles open-source sont des systèmes d’IA dont le logiciel sous-jacent peut être téléchargé et adapté par des développeurs externes. Ils peuvent s’avérer utiles, mais la coalition estime qu’ils ne sont pas forcément à la hauteur des modèles les plus performants proposés par les grands laboratoires. Cette différence est importante lorsqu’une petite équipe doit inspecter des logiciels complexes qui gèrent de l’argent réel.

Quels sont les risques ?

Le bitcoin à lui seul représente plus de 1 000 milliards de dollars de valeur, selon la lettre. L’écosystème plus large des actifs numériques dépend également de logiciels open source pour les portefeuilles, les bibliothèques cryptographiques, les processeurs de paiement, les plateformes d’échange, les services de conservation et les outils du Lightning Network.

Une faille dans l’un de ces éléments peut avoir de graves conséquences. Les actifs numériques fonctionnent souvent comme des titres au porteur : le contrôle des identifiants cryptographiques peut signifier le contrôle des fonds. Une fois l’argent transféré, il peut être difficile, voire impossible, de le récupérer.

Cela rend la détection rapide particulièrement importante pour les consommateurs détenant des économies, les commerçants acceptant les paiements en bitcoins et les entreprises qui protègent les actifs de leurs clients. La coalition fait valoir que les failles de sécurité peuvent exposer les comptes de retraite, les fonds d’entreprise, les économies d’urgence et les capitaux institutionnels, et pas seulement les systèmes logiciels.

La lettre indique que la pression se fait déjà sentir au sein des petites équipes de maintenance. Elle précise que le Bitcoin Policy Institute a reçu des informations selon lesquelles des acteurs sophistiqués, y compris d’éventuels adversaires étrangers, utilisent des capacités avancées d’IA pour maintenir la pression sur les développeurs open source. Même les attaques infructueuses peuvent mobiliser du temps et de l’argent que les responsables de la maintenance consacreraient autrement à l’amélioration de leurs logiciels.

Un audit récent a démontré le pouvoir défensif de l’IA

Cette initiative fait suite à un projet bénévole lancé début août, baptisé « Bitcoin Red Team », qui a utilisé des outils assistés par l’IA pour auditer le code lié au Bitcoin. Parmi les participants figuraient Calle, développeur de Cashu, et Rob Hamilton, PDG d’Anchorwatch.

Dans un premier bilan publié sur X, le groupe a examiné 390 projets en environ 27,5 heures et a répertorié quelque 4 962 failles. Parmi celles-ci, des dizaines ont été classées comme critiques et des centaines comme présentant un niveau de gravité élevé. L’équipe a utilisé plusieurs systèmes d’IA, notamment Kimi K3 de Moonshot, les systèmes d’OpenAI et les variantes de Claude d’Anthropic, tandis qu’Opensats a contribué à financer les coûts de calcul, estimés à plusieurs dizaines de milliers de dollars.

Ces résultats ne constituent pas automatiquement des vulnérabilités confirmées. Les rapports générés par l’IA doivent encore être vérifiés par des experts, qui évaluent leur gravité et coordonnent les corrections. Mais l’ampleur de cet effort a montré à quelle vitesse l’IA peut aider les chercheurs en sécurité à passer au crible un code complexe dont l’examen aurait autrement pris beaucoup plus de temps.

La coalition affirme que les restrictions d’accès ont contraint le groupe à s’appuyer fortement sur les modèles disponibles lors de ses premiers travaux. Son argument général est que les défenseurs qualifiés devraient pouvoir utiliser les systèmes les plus performants avant que ceux-ci ne deviennent des outils courants pour les criminels ou les gouvernements hostiles.

Une véritable faille a fait monter les enjeux

Le débat a pris un caractère d’urgence après que BTCPay Server a révélé une faille critique affectant les versions antérieures à la 2.4.2. BTCPay est un logiciel open source qui aide les commerçants à accepter les paiements en bitcoins.

Cette vulnérabilité pouvait permettre à un attaquant distant non authentifié d’obtenir les identifiants d’administrateur sensibles de LND, une implémentation couramment utilisée du Lightning Network. Ces identifiants pouvaient donner à un attaquant le contrôle des portefeuilles connectés et lui permettre de vider les fonds. La faille a été activement exploitée, et certains opérateurs ont signalé des pertes.

Cet incident a fourni un exemple concret pour étayer l’argumentation de la lettre. Les membres de la Bitcoin Red Team ont contribué à l’analyse du problème, tandis que Craig Raw, développeur de Sparrow Wallet, a joué un rôle clé dans son identification après en avoir été victime, selon le rapport source. BTCPay a déclaré que l’IA modifie l’équilibre entre attaquants et défenseurs en réduisant le coût de l’analyse de bases de code volumineuses.

La coalition ne demande pas une publication libre

Les signataires ne réclament pas un accès public illimité aux modèles d’IA les plus performants en matière de cybersécurité. Ils souhaitent plutôt la mise en place de programmes permanents d’accès de confiance destinés aux personnes et aux groupes capables de démontrer qu’ils assument des responsabilités légitimes en matière de sécurité.

Les programmes qu’ils proposent offriraient un accès précoce et contrôlé à des modèles avancés, y compris à des systèmes en préversion le cas échéant. Ils réclament également une capacité de calcul suffisante pour les tâches d’IA de longue durée, des espaces sécurisés pour inspecter du code privé ou sous embargo, ainsi que des canaux de communication directs avec les équipes de sécurité des laboratoires.

La lettre demande expressément aux laboratoires de ne pas limiter l’éligibilité aux grandes entreprises et aux gouvernements. Les petites associations à but non lucratif, les mainteneurs indépendants et les développeurs bénévoles protègent souvent des logiciels utilisés par des millions de personnes, précise-t-elle, mais peuvent manquer des ressources ou des liens institutionnels nécessaires pour intégrer les programmes existants.

« Les défenseurs ont besoin de cette nouvelle frontière », conclut la lettre. « Veuillez leur accorder une longueur d’avance équitable. » La suite des événements dépendra de la décision des principaux laboratoires d’IA d’étendre ou non leurs programmes spécialisés d’accès à la cybersécurité et d’inclure ou non les infrastructures financières open source dans leurs critères d’éligibilité. La lettre reste ouverte à de nouvelles signatures, et les utilisateurs, commerçants et investisseurs de bitcoin devraient suivre de près les réponses des laboratoires, les nouveaux résultats d’audit et les nouvelles informations communiquées par les projets logiciels qui s’appuient sur des évaluations de sécurité assistées par l’IA.