Rob Hamilton, PDG d'AnchorWatch et contributeur Bitcoin, a vu son premier commit fusionné dans Bitcoin Core le 20 août. Le correctif portait sur un bug lié au portefeuille, et l'élément notable réside dans la façon dont il l'a découvert : en dirigeant des modèles d'IA sur le code de Bitcoin et en les laissant chasser les problèmes.

L'effort de Hamilton s'inscrit dans une initiative plus large qu'il appelle la « Bitcoin Red Team », une campagne pilotée par des bénévoles qui utilise l'IA pour auditer systématiquement le code open source lié à Bitcoin. Le projet a déjà fait remonter des milliers de problèmes potentiels, dont des dizaines classés comme critiques. Il a aussi révélé une réalité inconfortable sur l'état actuel de la recherche en sécurité assistée par IA : les outils nécessaires peuvent vous être retirés en pleine audit.

Le résultat dépasse le cadre d'un simple correctif. Bitcoin Core est l'implémentation de référence du protocole Bitcoin, et ses modifications font l'objet d'une revue approfondie par un petit groupe de mainteneurs bénévoles avant d'être fusionnées — un processus conçu pour la prudence, étant donné que ce logiciel sécurise des centaines de milliards de dollars de valeur.

Au cœur du sprint de 30 heures de la Bitcoin Red Team

La Red Team se compose de Hamilton et de 16 bénévoles, qui ont lancé leur premier effort majeur début août. En environ 30 heures, le groupe a documenté 4 962 constats sur plus de 390 dépôts open source liés à Bitcoin. Parmi ceux-ci, 85 ont été signalés comme critiques et 635 comme de haute gravité.

Hamilton expérimentait l'analyse de code assistée par IA sur Bitcoin Core dès le mois de mai. Le catalyseur qui a transformé une expérience solitaire en campagne coordonnée fut une vulnérabilité du portefeuille matériel Coldcard en juillet, ayant conduit au vol de plus de 1 000 BTC.

OpenAI coupe le courant, les alternatives prennent le relais

Vers le 9 août, OpenAI a bloqué Hamilton, l'empêchant de poursuivre l'analyse de sécurité de Bitcoin avec ses outils. Le groupe s'est tourné vers des systèmes d'IA alternatifs, dont Kimi K3, pour continuer son travail.

L'épisode illustre également à quel point les chercheurs en sécurité indépendants peuvent dépendre d'une poignée de fournisseurs d'IA, et à quelle vitesse les conditions d'accès peuvent changer pour un travail de nature défensive.

Le goulot d'étranglement n'est plus la recherche de bugs

Hamilton lui-même a reconnu une limite importante de l'approche « IA d'abord » : la coordination en aval avec les mainteneurs. Trouver près de 5 000 problèmes en 30 heures est impressionnant. Amener les mainteneurs de centaines de dépôts différents à examiner, trier et corriger ces constats constitue un défi entièrement différent.

Le ratio résume tout : près de 5 000 constats en 30 heures d'analyse, contre un seul commit fusionné après des semaines de revue. Pour Bitcoin Core en particulier, où les mainteneurs examinent généralement les contributions bénévolement en parallèle d'autres engagements, un afflux de constats générés par machine pourrait éprouver la capacité de la culture de revue du projet à absorber un volume de rapports bien plus important — et déterminer si la divulgation de constats assistés par IA, comme Hamilton l'a fait en signalant le bug du portefeuille par les canaux appropriés, deviendra une norme pour des initiatives similaires.