Crypto : Ethereum déploie des agents IA pour traquer les failles critiques de son réseau

La Fondation Ethereum change de paradigme et automatise sa cyberdéfense. Sa cellule « Protocol Security » déploie désormais des essaims d’agents autonomes dotés d’IA pour attaquer son propre réseau en continu. L’objectif est de traquer, violer et corriger les failles avant les hackers. Cette initiative, révélée par l’équipe de sécurité du protocole, marque une rupture technologique majeure à une époque où la moindre faille dans un contrat intelligent peut entraîner la perte de centaines de millions de dollars.

Une première victoire concrète contre les failles du réseau

L’offensive préventive menée par la Fondation Ethereum a immédiatement prouvé son efficacité en mettant au jour une vulnérabilité critique au cœur même du logiciel dont dépend la blockchain, alors que la résistance quantique devient une priorité. Les chercheurs ont confirmé avoir orchestré des simulations d’attaques directes contre leurs propres infrastructures, une méthode offensive connue sous le nom de « red teaming ». Dans leur rapport officiel, ils partagent leurs premiers résultats en mettant en avant les éléments clés suivants :

• Le ciblage des infrastructures vitales : « nous avons lancé des agents d’IA coordonnés contre les types de systèmes dont dépend le réseau, tels que les logiciels système, le code cryptographique et les contrats qui se doivent d’être irréprochables » ;
• La découverte de failles réelles : les scientifiques ajoutent sans la moindre ambiguïté que « les agents ont trouvé de vrais bugs » exploitables dans le code de production ;
• La neutralisation d’un bug majeur : une anomalie a été localisée dans le protocole « gossipsub de libp2p », qui représente la couche réseau de pair à pair utilisée par les clients de consensus d’Ethereum. Ce bug permettait de déclencher à distance une erreur de panique menaçant la stabilité des nœuds. La faille a été corrigée et répertoriée sur GitHub sous la référence officielle CVE-2026-34219.

Au-delà de la simple détection, cette expérience a révélé une réalité technique inattendue pour les ingénieurs humains. En effet, l’utilisation de grands modèles de langage pour la sécurité logicielle modifie la nature même du travail d’audit, déplaçant l’effort de la recherche brute vers le tri critique. Les membres de la Fondation Ethereum ont exprimé leur surprise face à cette dynamique : « le fait que les agents trouvent des bugs n’était pas la surprise ».

Ils précisent que « la surprise résidait dans le peu de travail nécessaire pour les trouver, et dans la quantité d’efforts requis pour distinguer les vrais bugs de ceux qui semblaient simplement réels ». Cette efficacité s’intègre d’ailleurs dans une tendance sectorielle générale : en avril dernier, une version préliminaire du modèle Claude Mythos d’Anthropic avait réussi à identifier 271 vulnérabilités dans le navigateur Firefox de Mozilla, illustrant la puissance de calcul de ces nouveaux outils.

L’organisation militaire des essaims d’agents autonomes d’IA

Pour parvenir à un tel degré de précision, la Fondation Ethereum a mis en place une architecture méthodologique rigoureuse en répartissant ses agents IA au sein d’une structure de rôles hyper-spécifiques. L’organisation de ces essaims repose sur quatre fonctions distinctes et complémentaires : la reconnaissance, la chasse aux failles, le comblement des lacunes et enfin la validation.

Tandis qu’un groupe d’agents cartographie les vecteurs d’attaque potentiels, un autre s’efforce de reproduire les pannes afin de tester la viabilité des exploits directement face au code de production. Les chercheurs soulignent l’importance de ce cadre strict : « le schéma est là pour une raison ».

Selon eux, « il impose une affirmation spécifique et vérifiable ainsi qu’une définition claire du travail accompli. Un agent qui doit rédiger une preuve observable ne peut pas se replier sur un simple cela semble risqué ». Cette rigueur élimine le flou artistique propre aux rapports automatisés classiques.

Le défi de la validation face aux illusions de la machine

La multiplication de ces rapports détaillés pose un défi de taille aux équipes de sécurité, car l’éloquence technique d’une machine ne garantit en rien sa véracité. Contrairement aux outils traditionnels de test automatisé nommés « fuzzers », qui se contentent d’injecter des données aléatoires pour faire planter un programme, les agents IA rédigent des analyses d’impact complexes et créent des scénarios de preuve de concept.

Le revers de la médaille est la prolifération de faux positifs convaincants. Pour contrer ce phénomène d’hallucination, la Fondation a instauré un protocole de validation absolu. Les chercheurs rappellent une règle d’or immuable : « une règle importe plus que toutes les autres. Un candidat n’est pas une découverte tant qu’il n’existe pas un artefact autonome qui reproduit l’échec face au vrai code, et qui s’exécute pour quelqu’un qui ne l’a pas écrit ». Ils concluent de manière pragmatique : « le reproducteur ne lit pas le compte-rendu, et il ne se soucie pas du niveau de confiance affiché par le modèle. Soit il s’exécute, soit il ne s’exécute pas ».

Cette transition vers des audits assistés par IA dessine les contours d’une nouvelle ère pour le Web3. L’histoire récente montre que cette approche porte ses fruits à l’échelle globale. En mai dernier, le chercheur Taylor Hornby avait utilisé Claude Opus 4.8 pour détecter une vulnérabilité critique au sein du pool de confidentialité Orchard de Zcash. Cette faille, qui sommeillait depuis environ quatre ans, aurait pu permettre la création de faux jetons ZEC sans laisser de trace.

En internalisant ces technologies, la Fondation Ethereum accepte un nouveau paradigme opérationnel. Comme le résument ses experts : « l’IA n’a pas remplacé le chercheur en sécurité. Elle a déplacé le travail ». L’accès à ces essaims offre une couverture de code inédite, mais exige en contrepartie une acuité humaine renforcée.

Les chercheurs concluent : « les agents nous permettent de couvrir beaucoup plus de terrain que nous ne pourrions le faire à la main. En échange, ils demandent un jugement plus minutieux, face à une pile bien plus grande d’affirmations au ton confiant. C’est un processus qui en vaut la peine, tant que vous vous rappelez que le jugement est le véritable produit ». À l’avenir, la résilience des blockchains dépendra de l’aptitude humaine à arbitrer les diagnostics de la machine.