Bitcoin : l’IA est-elle plus dangereuse que le quantique ? 2 développeurs nous expliquent tout ce qu’il faut savoir

L'IA permet déjà de trouver davantage de vulnérabilités

Les assistants IA sont désormais utilisés quotidiennement par des développeurs pour écrire, corriger ou examiner du code. Cette hausse de productivité touche aussi la cybersécurité, où les mêmes modèles peuvent multiplier les tests et rechercher des vulnérabilités dans des projets open source ou des outils de sécurité numérique.

À la fin du mois de juillet, la Frontier Red Team d'Anthropic a annoncé que Claude Mythos Preview avait découvert de nouvelles méthodes pour attaquer plusieurs algorithmes cryptographiques.

Claude Mythos aurait trouvé une vulnérabilité dans HAWK, un candidat à un futur standard de signature résistant aux ordinateurs quantiques. Malgré 2 années d'examen par des chercheurs humains, Mythos aurait trouvé en 60 heures une attaque réduisant de moitié la robustesse effective de ses clés. L'expérience aurait coûté environ 100 000 dollars en utilisation d'API.

Les récents vols de BTC subis par des utilisateurs de Coldcard ont néanmoins montré les conséquences qu'une erreur d'implémentation pouvait avoir dans l'écosystème Bitcoin.

Un bug introduit en 2021 avait réduit l'entropie de certaines seeds générées par plusieurs modèles de Coldcard. Selon plusieurs experts, l'attaquant aurait utilisé un LLM pour générer les scripts ayant permis d'automatiser ces vols, et pourrait également s'en être servi pour découvrir la vulnérabilité.

Pour comprendre ce que cette accélération change réellement pour les cryptomonnaies, Cryptoast a recueilli les témoignages d'Amira Bouguera, développeuse Ethereum, ainsi que d'un développeur Bitcoin Core qui a souhaité conserver son anonymat.

Du côté de Bitcoin Core, cette évolution est déjà visible :

Les développeurs de Bitcoin Core sont très bien au courant de cette évolution. Il y a davantage de rapports de sécurité et beaucoup de contributeurs utilisent déjà l'IA.

Une IA décuple surtout les capacités du développeur

Selon le développeur Bitcoin Core interrogé, l'erreur serait de présenter l'IA comme une intelligence autonome nécessairement supérieure aux chercheurs humains.

Quelqu'un qui n'est pas très expert va simplement produire 10 fois plus de mauvais code, mais un expert en sécurité pourra devenir 10 fois plus productif et trouver beaucoup plus de bugs.

Selon lui, l'IA agirait donc principalement comme un multiplicateur et permettrait à un développeur compétent d'examiner plus de code, de tester plus de scénarios et de s'intéresser à des attaques auparavant jugées trop improbables ou trop coûteuses.

Le développeur estime également que les modèles d'IA actuels ont surtout apporté << de l'épaisseur plutôt que de la profondeur >>, en augmentant le volume de travail réalisable et pas nécessairement en améliorant sa qualité ni sa pertinence.

IA et quantique ne menacent pas Bitcoin de la même manière

Le risque que porte l'ordinateur quantique sur les cryptomonnaies, mais aussi sur tout le monde de la finance, serait donc direct et potentiellement dévastateur. Cependant, aucun ordinateur capable de réaliser cette attaque n'existe aujourd'hui.

Quant à l'IA, le risque est déjà là. Elle ne permet pas de casser ECDSA ou Schnorr, mais elle peut déjà accélérer la recherche des erreurs présentes dans les clients, les wallets, les bibliothèques cryptographiques ou les futurs standards censés protéger Bitcoin du quantique.

Amira Bouguera, cryptographe et ingénieure protocole interrogée par Cryptoast, écarte ainsi toute menace immédiate liée à l'annonce d'Anthropic :

Le risque pour les blockchains est quasiment nul aujourd'hui, en tout cas à la suite de cette annonce [celle d'Anthropic]. Mais cela montre que les choses avancent très rapidement. Il faut commencer à utiliser ces outils pour trouver les vulnérabilités avant que quelqu'un d'autre ne les trouve.

Avec HAWK, par exemple, l'IA n'a pas utilisé un ordinateur quantique pour attaquer Bitcoin. En revanche, elle a pu trouver un défaut d'un algorithme précisément conçu pour protéger les systèmes numériques contre une future menace quantique.

Le goulot d'étranglement reste humain

L'augmentation des capacités des intelligences artificielles ne profite pas uniquement aux attaquants. Du côté des développeurs, les chercheurs en sécurité et les défenseurs de Bitcoin disposent eux aussi des mêmes outils pour examiner le code et corriger les vulnérabilités.

<< Ce n'est pas comme si seuls les attaquants avaient davantage de capacités. Les défenseurs en ont aussi davantage >>, souligne le développeur Bitcoin Core.

Le principal déséquilibre pourrait plutôt apparaître dans le fonctionnement des projets open source, car une IA peut générer beaucoup de code, ouvrir des pull requests ou produire des rapports de vulnérabilité en quelques minutes. Vérifier la pertinence des changements proposés, mesurer leurs conséquences et décider s'ils méritent l'attention du projet demandent toujours du temps à des contributeurs expérimentés.

Le développeur interrogé ne redoute pas seulement une IA soudainement capable de casser les applications Bitcoin, mais aussi multiplication du bruit autour de son développement :

Là où il y a davantage d'asymétrie, c'est sur le plan social. Les mainteneurs risquent de crouler sous des demandes de changements qui ne sont pas prioritaires et détournent l'attention de sujets plus importants.

L'IA constitue une menace plus immédiate que le quantique, puisque ses effets sont déjà visibles dans la recherche de vulnérabilités et la production de code. Elle n'est toutefois pas, à ce stade, plus dangereuse pour la cryptographie des blockchains.

Un ordinateur quantique capable de casser les signatures de Bitcoin représenterait une menace plus directe, tandis que l'IA accélère une course dans laquelle attaquants et défenseurs disposent, pour le moment, des mêmes armes.