Ethereum : les agents IA trouvent de vrais bugs, mais croulent sous les faux positifs

Ce qu’il faut retenir :

• La Fondation Ethereum utilise des agents IA coordonnés pour tester la sécurité de son infrastructure critique.
• Les agents ont trouvé de vraies failles, dont un bug déclenchable à distance dans la couche pair-à-pair.
• La majorité des alertes sont des faux positifs, et le tri humain devient le vrai goulet d’étranglement.

La Fondation Ethereum livre un retour d’expérience rare sur l’IA appliquée à la sécurité. Dans un billet de blog publié jeudi, son équipe de sécurité du protocole confirme que les agents IA détectent de vraies vulnérabilités dans l’infrastructure du réseau, mais que la plupart de leurs alertes sont des faux positifs. La surprise, écrit la fondation, ne fut pas que les agents trouvent des bugs, mais la faible part du travail consacrée à les trouver, comparée à celle passée à distinguer les vraies failles de celles qui en avaient seulement l’air.

Que trouvent les agents IA de la Fondation Ethereum ?

L’équipe Protocol Security déploie des agents IA coordonnés pour éprouver l’infrastructure critique du réseau : logiciels système, code cryptographique et smart contracts. Le tableau de chasse compte des prises sérieuses, dont un plantage déclenchable à distance dans le gossipsub de libp2p, un composant central de la couche pair-à-pair sur laquelle tournent les clients de consensus d’Ethereum. La faille a été corrigée et divulguée publiquement.

Les limites sont tout aussi documentées. Une alerte ne devient une découverte qu’après que les chercheurs ont reproduit la défaillance de façon indépendante sur le code réel. Et les agents peinent sur une catégorie précise : les bugs qui n’émergent qu’à travers une séquence d’événements, hors de portée d’une analyse ponctuelle.

Le tri des alertes, nouveau goulet d’étranglement

Le cœur du billet tient dans son titre, “Triage is the product” : le tri est devenu le produit. La puissance de recherche des agents génère un flot de “candidats” que les humains doivent évaluer, et la fondation assume la statistique : la plupart sont faux, dupliqués ou hors périmètre, un taux de déchet inhérent à la méthode. L’objectif consiste à rejeter vite les mauvais candidats et à étayer les vrais avec des preuves difficiles à contester.

Les chercheurs en tirent une leçon qui dépasse Ethereum : l’IA est un puissant outil de recherche, pas un oracle. Le temps autrefois consacré à formuler et à traquer des hypothèses passe désormais à les juger à grande échelle, entre construction d’outils de vérification, triage, tenue de la liste des problèmes connus et gestion des divulgations. “Il s’est déplacé de la recherche des bugs vers la confiance dans les résultats”, résume l’équipe à propos du goulet d’étranglement, un déplacement jugé salutaire : c’est là que le jugement humain compte vraiment.

Un retour d’expérience qui tombe à point

La publication éclaire la stratégie d’une fondation en pleine mue. L’organisation vient de supprimer 20 % de ses effectifs dans une réorganisation en cinq pôles, et Vitalik Buterin a lancé le chantier Lean Ethereum, une reconstruction du protocole étalée sur trois à quatre ans où presque chaque composant sera remplacé. Autant de code neuf à auditer : industrialiser la chasse aux bugs par agents IA, tout en gardant l’humain au poste de juge, ressemble à une préparation méthodique de ce marathon sécuritaire.

Ce qu’il faut surveiller

La prochaine étape se jouera sur l’outillage du triage : plus la vérification des candidats s’automatisera, plus le rapport coût-bénéfice des agents s’améliorera. Le retour d’expérience de la fondation servira aussi de référence au reste de l’écosystème, des équipes d’audit aux protocoles DeFi, qui affrontent le même dilemme : des IA qui trouvent tout, y compris ce qui n’existe pas.