Le développeur Bitcoin Niklas Gögge a déclaré que des analyses fondées sur des modèles de langage ont généré plus de 1 000 rapports de sécurité autour de Bitcoin Core, estimant que l'IA devrait être utilisée pour renforcer les tests automatisés, mais ne pas être considérée comme une stratégie de sécurité autonome.

Gögge a indiqué que des initiatives, notamment Project Loupe et Bitcoin Red Team, étaient à l'origine du flux de rapports. Il a ajouté que la plupart des soumissions étaient des faux positifs ou des problèmes hypothétiques et qu'aucune vulnérabilité critique n'avait été identifiée jusqu'à présent.

Sa position n'était pas que l'analyse par IA était inutile. Il préconisait plutôt son utilisation comme couche de soutien au sein d'un processus de sécurité plus large. Il a notamment évoqué le fuzzing, une méthode de test qui soumet un logiciel à un grand nombre d'entrées afin de faire émerger des défaillances. Bitcoin Core et la bibliothèque cryptographique secp256k1 bénéficient déjà de plusieurs années de couverture par fuzzing, et Gögge a suggéré que les modèles de langage pourraient aider à réduire le coût de création et d'amélioration de ces outils.

Ces commentaires interviennent alors que l'IA rend la revue de code à grande échelle moins coûteuse et plus rapide dans les logiciels open source, y compris les infrastructures Bitcoin. Gögge a déclaré que les logiciels Bitcoin avaient historiquement attiré moins l'attention des attaquants que certains autres secteurs, mais que cette dynamique pourrait évoluer à mesure que les modèles s'améliorent dans l'analyse de vastes bases de code à faible coût.

Les rapports disponibles sur l'écosystème Bitcoin au sens large suggèrent que le principal enjeu opérationnel ne consiste pas seulement à trouver des bugs, mais aussi à gérer la charge de revue qui s'ensuit. Cela peut inclure le filtrage des faux positifs, la confirmation qu'un problème est réel, la préparation de correctifs et la gestion du calendrier de divulgation au sein de dépôts open source largement utilisés.

Pourquoi c'est important

Cela compte parce que Bitcoin Core se situe près de la couche de base de la pile logicielle Bitcoin, et toute évolution de la manière dont les vulnérabilités sont mises au jour affecte plus d'un dépôt. Les audits assistés par IA pourraient améliorer la couverture et raccourcir le temps nécessaire pour découvrir des failles, mais ils augmentent aussi le risque que les mainteneurs passent davantage de temps à filtrer des rapports bruyants qu'à corriger des problèmes importants.

Cet épisode souligne également une évolution plus large de la sécurité des infrastructures crypto. À mesure que l'IA réduit le coût de l'analyse du code, l'avantage pourrait se déplacer de la simple découverte de bugs vers des systèmes de test rigoureux, des processus de divulgation et la capacité des mainteneurs. Pour les projets open source critiques, la résilience en matière de sécurité pourrait dépendre moins de l'utilisation de l'IA que de la manière dont ses résultats sont intégrés aux flux de revue existants.