Bitcoin Core change ses règles face aux failles trouvées par IA

Bitcoin Core change sa manière de gérer certaines vulnérabilités à cause de l’intelligence artificielle. Les développeurs reconnaissent désormais qu’un bug peut être si facile à retrouver qu’un simple prompt envoyé à un modèle d’IA suffit parfois. Dans ce cas, maintenir la faille secrète pendant plusieurs mois ne protège plus vraiment les utilisateurs. Bitcoin Core préfère corriger plus vite et publier l’avis de sécurité en même temps. Aucun nouveau bug critique de Bitcoin n’est annoncé. C’est la politique de défense qui évolue.

Bitcoin Core change ses règles face à l’IA

La modification a été annoncée par Antoine Poinsot, développeur de Bitcoin Core. Elle ajoute à la politique de sécurité une nouvelle catégorie : les vulnérabilités « facilement découvrables ». La décision arrive quelques jours après la sortie de Bitcoin Core 32.0, déjà audité avec l’aide de modèles d’IA.

Le principe est assez simple. Lorsqu’une faille entre dans cette nouvelle catégorie, les développeurs n’attendront plus forcément la prochaine grande version de Bitcoin Core. Le correctif pourra être rétroporté vers toutes les versions majeures encore officiellement maintenues.

Des versions intermédiaires pourront alors être publiées rapidement. L’avis de sécurité arrivera au même moment. Bitcoin Core définit notamment comme facilement découvrable une vulnérabilité pouvant être identifiée avec un effort minimal, par exemple à l’aide d’un simple prompt envoyé à un grand modèle de langage.

L’IA n’est toutefois qu’un exemple. Une vulnérabilité évidente pour d’autres raisons peut également entrer dans cette catégorie. Le classement reste décidé par les développeurs lorsqu’ils analysent le problème. Cette nuance compte : Bitcoin Core ne crée pas une catégorie spéciale appelée « bugs trouvés par ChatGPT ». Le projet adapte surtout sa politique au niveau réel de difficulté nécessaire pour retrouver une faille. Et ce niveau vient de chuter.

Les longs embargos protégeaient mieux avant les LLM

La gestion traditionnelle des vulnérabilités repose en grande partie sur le secret temporaire. Un chercheur découvre un problème. Il le communique discrètement aux développeurs. Ceux-ci préparent un correctif et l’intègrent dans une nouvelle version sans forcément expliquer immédiatement le risque.

Les détails arrivent plus tard. Cette méthode donne aux utilisateurs le temps de mettre leur logiciel à jour avant que les attaquants disposent d’un mode d’emploi complet.

Bitcoin Core fonctionne avec un calendrier de divulgation assez précis. Une vulnérabilité de faible gravité peut être rendue publique deux semaines après la sortie de la version majeure qui contient son correctif. Pour les problèmes de gravité moyenne ou élevée, l’attente peut être beaucoup plus longue. La publication intervient normalement deux semaines après que la dernière version touchée arrive en fin de vie.

Dans certains cas, cela représente environ un an. Les bugs critiques suivent une procédure différente. Bitcoin Core range notamment dans cette catégorie les problèmes pouvant permettre la création de bitcoins en dehors du calendrier monétaire prévu, le vol de BTC au niveau du protocole ou une séparation permanente du réseau.

Ces failles restent des cas exceptionnels. L’arrivée des LLM modifie surtout le raisonnement pour les bugs moins difficiles à reconstruire. Le code de Bitcoin Core est public. Les modifications apportées au logiciel le sont aussi. Un développeur extérieur peut donc comparer deux versions et chercher pourquoi quelques lignes ont soudainement changé.

Avant l’IA, cette opération pouvait demander beaucoup de compétences et plusieurs heures ou plusieurs jours. Maintenant, une partie du travail peut être automatisée. Un modèle peut lire le changement, examiner les fonctions concernées et proposer une explication sur la vulnérabilité corrigée.

Près de 5 000 bugs Bitcoin signalés en 27 heures

L’évolution n’est pas théorique. Début août, la Bitcoin Red Team a montré l’échelle que pouvait prendre la recherche de vulnérabilités lorsqu’elle était alimentée par l’IA. En 27,5 heures, seize développeurs avaient produit 4 962 signalements dans 390 projets liés à Bitcoin.

Parmi eux figuraient 85 problèmes classés critiques et 635 de gravité élevée. Cela ne signifie pas que Bitcoin possédait soudainement 85 failles critiques exploitables. La majorité de ces rapports devait encore être reproduite et vérifiée par des humains. Une IA peut mal comprendre du code, inventer une condition d’exploitation ou considérer comme vulnérable un comportement parfaitement prévu.

Lors du premier bilan, seule une partie des milliers de résultats avait été confirmée. Le volume reste inhabituel. Les équipes de sécurité peuvent désormais lancer plusieurs modèles simultanément sur des centaines de dépôts logiciels et obtenir des milliers de pistes en quelques heures.

Le problème se déplace alors vers le tri. Il faut reproduire le bug, déterminer les versions touchées, mesurer son impact, préparer un correctif et vérifier que la correction ne crée pas un autre problème. Bitcoin Core a rencontré ce phénomène directement en 2026. Lors de la préparation de la version 32.0, le contributeur Matthew Zipkin a utilisé Kimi K3 pour examiner le nouveau serveur HTTP. Le modèle a identifié un scénario dans lequel certaines requêtes pouvaient provoquer une consommation excessive de mémoire.

Les développeurs ont ensuite repris le travail manuellement. Le bug était réel, mais l’analyse humaine a montré que sa portée dépassait le premier diagnostic de l’IA. C’est probablement une bonne image de la situation actuelle : le modèle trouve une piste rapidement, puis les développeurs doivent comprendre ce qu’elle signifie réellement. L’IA accélère la première étape. Elle ne supprime pas les suivantes.

Lightning et les wallets ont déjà reçu l’avertissement

Bitcoin Core n’est qu’une partie de l’écosystème Bitcoin. Des millions de dollars peuvent dépendre d’un wallet, d’un nœud Lightning, d’un processeur de paiement ou d’une bibliothèque logicielle sans qu’une faille touche directement le protocole Bitcoin.

L’été 2026 a fourni plusieurs exemples. Core Lightning a reçu une série de rapports générés avec l’aide de modèles d’IA. Plusieurs vulnérabilités se sont révélées suffisamment sérieuses pour pousser les développeurs à demander aux opérateurs de mettre immédiatement leur logiciel à jour.

Ceux qui ne pouvaient pas installer le correctif rapidement ont même été invités à couper les communications de leurs nœuds. Les détails techniques avaient été conservés sous embargo pendant deux semaines. C’est exactement le genre de situation qui devient plus délicat si un autre modèle peut retrouver la vulnérabilité avant la fin de cette période.

Coldcard a connu une autre expérience. Après un vol dépassant 114 millions de dollars lié à une faiblesse de génération aléatoire, le fabricant a utilisé plusieurs modèles d’IA pour rechercher d’autres vulnérabilités.

Les analyses ont identifié des problèmes supplémentaires dans la gestion des transactions, les échanges USB et le mécanisme de mise à jour.

Là encore, l’IA n’a pas remplacé l’audit humain. Elle a considérablement augmenté la quantité de code qu’il était possible d’examiner. Cette capacité fonctionne évidemment dans les deux sens. Une entreprise peut utiliser un modèle pour sécuriser son wallet. Un attaquant peut envoyer le même dépôt GitHub à un modèle comparable et lui demander où se trouvent les erreurs. Le logiciel open source ne devient pas moins sûr à cause de cela. Mais la vitesse à laquelle ses défauts peuvent être explorés augmente.

Bitcoin doit maintenant corriger avant que l’IA ne redécouvre

Pour les opérateurs de nœuds Bitcoin, le changement devrait surtout rendre les versions intermédiaires plus importantes. Une mise à jour mineure pourra désormais contenir un correctif concernant une vulnérabilité suffisamment facile à retrouver pour que Bitcoin Core refuse d’attendre la prochaine grande version.

Les utilisateurs qui restent longtemps sur des versions anciennes prennent davantage de risques. Bitcoin Core ne maintient pas indéfiniment toutes ses versions. Une fois qu’une branche arrive en fin de vie, elle ne bénéficie généralement plus des nouveaux correctifs.

L’arrivée de l’IA renforce donc un conseil qui existait déjà : maintenir les logiciels de l’écosystème Bitcoin à jour. Elle change aussi la manière de mesurer le danger d’un bug. Pendant longtemps, une vulnérabilité pouvait rester cachée pendant plusieurs années simplement parce qu’aucun humain n’avait pris le temps d’examiner précisément les quelques lignes concernées.

Ce raisonnement devient moins rassurant. Un modèle plus performant peut apparaître six mois plus tard et analyser en quelques minutes un code resté intact pendant cinq ans.

Cela ne signifie absolument pas que l’IA peut « casser Bitcoin ». Elle ne sait pas deviner les clés privées, casser SHA-256 ou modifier arbitrairement la limite de 21 millions de BTC. Les mises en garde sur l’IA et Bitcoin concernent aujourd’hui surtout les logiciels, beaucoup plus que les primitives cryptographiques elles-mêmes. La différence est importante.

Un réseau peut posséder une cryptographie solide tout en conservant des erreurs dans un serveur HTTP, un wallet, une bibliothèque ou une implémentation du Lightning Network. Les LLM excellent justement de plus en plus dans l’examen de ce type de code. Bitcoin Core adapte donc sa défense à une situation assez nouvelle : une vulnérabilité peut être officiellement secrète tout en étant techniquement facile à retrouver.