Une « red team » de sécurité Bitcoin a utilisé Kimi, un modèle d'IA développé en Chine, pour analyser systématiquement le code lié à Bitcoin à la recherche de vulnérabilités potentielles. Cette initiative s'inscrit dans un effort plus large visant à appliquer l'analyse assistée par l'IA aux infrastructures cryptographiques open source, bien que tous les résultats rapportés jusqu'à présent représentent des problèmes potentiels signalés lors de l'examen plutôt que des exploits confirmés.

L'effort a été porté à l'attention du public par le développeur Bitcoin Calle (@callebtc), qui a publié sur X décrivant l'utilisation du modèle par la red team pour l'examen du code Bitcoin. Selon Decrypt, Kimi est identifié comme un modèle d'IA développé en Chine que la red team a déployé pour analyser les projets liés à Bitcoin à la recherche de faiblesses potentielles.

Contexte : Effort d'audit post-ColdCard

L'examen était lié à un audit open source plus large qui a gagné en urgence suite à l'exploit ColdCard. ColdCard est un portefeuille matériel Bitcoin largement utilisé, et l'exploit le concernant a souligné la nécessité d'un examen approfondi des projets Bitcoin qui gèrent les clés privées et les fonds des utilisateurs. Le travail est présenté comme une recherche proactive de failles potentielles plutôt qu'une réponse à un incident en direct confirmé. Aucun nom de vulnérabilité vérifiée, date ou résultat au niveau du code n'a été établi au-delà de ce que les reportages décrivent, et tous les éléments signalés restent des problèmes potentiels en attente de validation humaine.

Chiffres rapportés de l'examen

Selon crypto.news, la red team a mis en évidence 4 962 problèmes lors de l'examen des projets Bitcoin à la suite de l'exploit ColdCard. Un compte distinct de Bitcoin Magazine a rapporté 85 failles critiques sur 390 dépôts open source. Ces chiffres décrivent des éléments signalés pour examen, et leur gravité réelle dépend de la vérification de suivi par les mainteneurs humains.

Chasse aux failles assistée par l'IA : avantages et limites

L'utilisation d'un modèle d'IA dans un contexte de red team met en lumière une intersection croissante entre l'infrastructure cryptographique et l'analyse assistée par l'IA. L'avantage principal est la vitesse — un modèle peut identifier des modèles récurrents et couvrir nettement plus de code qu'une révision manuelle sur des centaines de dépôts. Cette échelle compte pour l'écosystème open source de Bitcoin, où les infrastructures critiques — y compris les logiciels de portefeuille, les implémentations de nœuds et les outils de gestion des clés — sont maintenues par des équipes distribuées avec des ressources limitées pour un audit complet.

Le choix de Kimi en particulier reflète également le paysage actuel des options de modèles d'IA, où les modèles développés en dehors des États-Unis sont de plus en plus accessibles et offrent parfois des profils de coût ou de capacité différents. L'utilisation d'un modèle développé en Chine pour l'examen de sécurité de code cryptographique est notable compte tenu du contrôle géopolitique plus large des dépendances technologiques transfrontalières, bien que la red team ait présenté son utilisation comme un choix d'outil pratique plutôt que comme une déclaration stratégique.

Les limites sont tout aussi évidentes. Les modèles d'IA sont connus pour produire des faux positifs et peuvent halluciner des problèmes qui n'existent pas, ce qui signifie que chaque élément signalé nécessite un réviseur humain pour confirmer s'il représente une véritable faiblesse. La désignation de « failles potentielles » reflète cet écart entre la détection automatisée et la vulnérabilité confirmée.

Importance plus large

Les développements en matière de sécurité comme celui-ci vont au-delà de la communauté des développeurs. Le code des portefeuilles et de l'infrastructure Bitcoin soutient les avoirs des investisseurs et du marché en général. La tension entre automatisation et supervision humaine observée ici reflète des défis similaires ailleurs dans l'industrie, des attaques d'ingénierie sociale ciblant les utilisateurs de cryptomonnaies aux entreprises redirigeant des ressources de calcul vers les charges de travail d'IA. Les audits de sécurité open source dans l'espace des cryptomonnaies ont historiquement reposé sur des entreprises spécialisées et des primes aux bugs communautaires ; l'intégration de grands modèles de langage ajoute une nouvelle couche à cet ensemble d'outils, bien que sa fiabilité soit encore évaluée à travers l'industrie du logiciel.

Pour l'instant, la portée est spécifique : une équipe de sécurité a appliqué un modèle d'IA étranger au code Bitcoin et a produit une liste exhaustive d'éléments nécessitant un examen approfondi. Que l'un des éléments signalés s'avère être une faille réellement exploitable dépendra entièrement de l'examen humain qui suivra.

Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou en investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions.