Lau, directeur de CertiK, considère l'IA comme un atout net malgré les risques

Kaijern Lau, de CertiK : l’IA sera bénéfique pour la sécurité du Web3, mais constituera également une « arme à double tranchant »

Le monde de la sécurité et de l’audit de la blockchain évolue rapidement, car les failles et les vulnérabilités sont désormais exploitées et découvertes beaucoup plus rapidement grâce à l’implication de l’intelligence artificielle (IA) dans les processus de détection des vulnérabilités.

Les inquiétudes générales concernant les risques liés au rôle croissant de l’IA dans ces activités se sont accrues avec l’incident Hugging Face, au cours duquel une plateforme d’IA a été piratée — il s’agissait de la première intrusion « menée de bout en bout par un système d’agents IA autonomes ».

Cet incident, attribué par la suite à un modèle OpenAI s’étant échappé de son environnement de test, a confirmé que la guerre de la cybersécurité menée par des agents est une réalité et que les institutions doivent se préparer à faire face à ces risques dès maintenant, et non demain.

Ces inquiétudes ont également gagné l’écosystème Web3, où la sécurité est davantage passive qu’active, gérée par des audits et des mesures de sécurité conçues lors des phases de production et qui, bien souvent, ne peuvent pas être mises à jour en temps réel avant le déploiement de nouveaux contrats.

Dans une interview exclusive accordée à Bitcoin.com News, Kaijern Lau, directeur principal de l’ingénierie chez CertiK, a examiné le rôle de l’IA tant dans ces attaques que dans le processus d’audit du code visant à les prévenir.

M. Lau souligne que l’IA peut être un outil utile pour identifier une vulnérabilité et examiner les vecteurs d’attaque potentiels sur une plateforme. Néanmoins, l’intervention d’un humain reste nécessaire « pour s’assurer que l’IA a analysé le code de manière approfondie et pour vérifier que les vulnérabilités signalées sont bien réelles et ne constituent pas de faux positifs ».

M. Lau a déclaré que des recherches récentes portant sur les surfaces d’attaque des portefeuilles matériels illustrent les limites de l’IA et la pertinence de l’intervention humaine. « L’IA peut aider à mettre en évidence des schémas et à accélérer l’analyse, mais des chercheurs expérimentés restent indispensables pour valider les résultats et évaluer leur impact réel », a-t-il estimé.

L’incident Hugging Face est un cas isolé, il ne prouve pas l’existence d’« agents malveillants »

M. Lau a souligné que l’incident de Hugging Face s’était produit dans un contexte d’évaluation spécifique et qu’un tel cas de figure ne signifiait pas pour autant que les modèles d’IA étaient incontrôlables.

Il a toutefois souligné que cette attaque mettait en évidence les capacités actuelles des agents IA, qui sont de plus en plus aptes à mener des opérations complexes de cybersécurité, notamment en identifiant et en combinant des faiblesses qui semblent gérables isolément — telles qu’un service exposé, une mauvaise configuration, des autorisations excessives ou des identifiants compromis — pour en faire une chaîne d’attaque coordonnée à la vitesse d’une machine.

Par conséquent, cela montre également à quel point investir dans l’IA à des fins de sécurité devient la norme pour les entreprises proposant des produits basés sur du code, comme celles du secteur du Web3 et de la blockchain.

« L’IA renforcera les capacités tant des attaquants que des défenseurs. C’est pourquoi les entreprises de la blockchain devraient investir davantage dans la sécurité basée sur l’IA pour protéger leur code et leur infrastructure. Nous entrons dans une ère où la question clé n’est plus de savoir s’il faut utiliser l’IA, mais de déterminer combien de ressources d’IA (ou de jetons) les organisations investissent dans la défense de leurs systèmes par rapport aux ressources que les attaquants investissent pour lancer des attaques de plus en plus sophistiquées », a déclaré l’expert.

IA et sécurité de la blockchain : où en sommes-nous ?

Si M. Lau est convaincu que la sécurité de l’IA et de la blockchain finira inévitablement par être étroitement liée, il reconnaît qu’il est encore trop tôt pour que la détection des vulnérabilités et le développement de logiciels sécurisés puissent être menés à bien sans intervention humaine.

CertiK considère même les agents défensifs et ses outils comme faisant partie de la surface d’attaque, car ils peuvent faire l’objet de tests visant à détecter des injections rapides, l’injection d’outils malveillants, des autorisations excessives, des fuites de données ou des corrections automatisées non sécurisées. En effet, l’entreprise a conçu un outil, l’AI Skill Scanner, pour aider à identifier les risques liés aux compétences en IA avant leur déploiement, renforçant ainsi les contrôles exercés sur les agents IA.

M. Lau a révélé que CertiK continuera d’investir massivement pour mettre en place une sécurité avancée basée sur l’IA. « Nos développeurs et chercheurs en sécurité internes travaillent sans relâche pour faire progresser la sécurité des blockchains pilotée par l’IA », a-t-il confirmé.

CertiK a également développé AI Auditor, un outil qui effectue une analyse automatique des projets de blockchain afin d’identifier les risques de sécurité courants. « Cette approche multimodèle et multi-agents améliore à la fois la précision et la fiabilité des évaluations de sécurité », a déclaré M. Lau, décrivant comment l’entreprise développait ses capacités défensives contre les acteurs assistés par l’IA.

L’équilibre de l’IA : quelle voie suivre ?

Si l’IA réduit les obstacles aux attaques, les acteurs malveillants utilisant déjà des agents pour découvrir des failles et analyser les contrats intelligents à la recherche de vulnérabilités, M. Lau assure que l’utilisation de l’IA à des fins défensives présente de réels avantages.

« L’IA améliore considérablement l’efficacité et la portée de notre détection des menaces. CertiK a amélioré l’efficacité de la vérification formelle en intégrant l’IA à son moteur propriétaire CertiK Prover », a précisé M. Lau.

La contribution de CertiK dans ce domaine, a déclaré M. Lau, va au-delà de la simple détection des vulnérabilités et vise à garantir que les mesures de sécurité défensives gardent une longueur d’avance sur ces menaces émergentes liées à l’IA, en formant et en déployant également ses modèles d’IA pour sécuriser ses clients.

« Dans l’ensemble, l’IA sera une force globalement positive pour la sécurité du Web3, mais il s’agit indéniablement d’une arme à double tranchant qui nécessite un équilibre constant », a conclu M. Lau.