Une "red team" Bitcoin bénévole s'appuie sur l'IA de pointe et met au jour plus d'une douzaine de failles critiques

Une initiative bénévole de sécurité, présentée comme une "red team" dédiée à Bitcoin, affirme avoir utilisé des modèles d'IA dits "frontier" pour passer au crible environ 150 dépôts de code liés à l'écosystème Bitcoin et identifier plus d'une douzaine de vulnérabilités. L'opération illustre l'accélération de la course aux armements entre défenseurs et attaquants, à mesure que l'IA s'installe dans l'audit et l'exploitation des failles. Rob Hamilton, CEO d'AnchorWatch et l'un des organisateurs, a indiqué sur X que l'équipe a déjà consacré environ 20 000 $ à des services d'IA pour construire la plateforme. "Nous avons travaillé jour et nuit, avec ~20 000 $ de dépenses à ce stade sur différents services", a-t-il écrit, précisant que le financement est assuré et que les dons ne sont pas nécessaires. Méthode et outils utilisés Selon Hamilton, l'équipe a automatisé la revue de code et la recherche de vulnérabilités à l'aide de plusieurs modèles haut de gamme, dont Kimi K3, OpenAI GPT Sol, Anthropic Claude Fable et Opus, ainsi que GLM 5.2 de Z.ai. Le groupe dit aussi avoir travaillé avec OpenAI pour mettre en place un "Cyber Harness" afin d'effectuer des analyses plus lourdes et plus coûteuses, jugées rentables pour les "composants porteurs" de l'écosystème Bitcoin. Au total, environ 150 dépôts auraient été analysés et plus d'une douzaine de vulnérabilités auraient été signalées. L'équipe n'a pas communiqué la liste des projets concernés ni publié de détails techniques. Cadence et facture Calle, développeur Bitcoin sous pseudonyme et membre de l'initiative, affirme que plusieurs systèmes de revue dopés à l'IA ont été développés pour cibler des portefeuilles, des bibliothèques cryptographiques, des composants d'infrastructure et d'autres projets Bitcoin. "On tourne autour d'un exploit critique par heure, par personne", a-t-il écrit sur X, ajoutant avoir transmis des vulnérabilités critiques à plusieurs projets en l'espace de 12 heures. Il avertit aussi du coût de l'exercice : "Nous brûlons 10 000 $ par jour." Pourquoi c'est important L'annonce met en lumière la manière dont l'IA reconfigure rapidement le travail de sécurité, côté défense comme côté attaque, dans la crypto. Les audits assistés par IA peuvent détecter plus vite et à grande échelle des failles critiques, mais ces mêmes outils restent accessibles aux acteurs malveillants. Les signaux se multiplient déjà. Plus tôt cette année, des chercheurs utilisant Anthropic Claude Opus 4.8 ont mis au jour une faiblesse vieille de quatre ans dans Zcash, susceptible de permettre la création de ZEC contrefaits. En août, Coinkite, fabricant de Coldcard, a déclaré penser que des attaquants avaient utilisé l'IA pour repérer une vulnérabilité touchant Coldcard. De son côté, le pont Bitcoin Boltz a suspendu des swaps en évoquant des attaquants recourant à l'IA pour trouver des failles plus vite que l'équipe ne pouvait les corriger. Pour les projets reposant sur du logiciel et de la cryptographie, la red team Bitcoin souligne qu'une surveillance automatisée et pilotée par IA devient une couche de défense déterminante, même si elle est onéreuse. Les méthodes et résultats du groupe pourraient inciter davantage d'équipes à adopter l'IA pour les audits et à renforcer leurs processus de divulgation et de remédiation, alors que l'identité des projets touchés et la nature exacte des failles restent, à ce stade, confidentielles.