L'équipe Protocol Security de la Ethereum Foundation intègre des agents IA coordonnés dans son flux de travail de sécurité pour aider à scanner les dépôts de protocole et les devnets à la recherche de bugs.

Dans un article publié le 9 juillet et intitulé « The Triage Is The Product », le membre de l'équipe de la Ethereum Foundation Nikos Baxevanis a décrit comment des réseaux d'agents IA sont utilisés pour identifier les vulnérabilités potentielles, réduire les bruits de fond dans les résultats et assister la révision de sécurité menée par des humains.

Le point central de l'article est que ces outils ne sont pas présentés comme des remplaçants des auditeurs. En sécurité de protocole, le défi ne consiste pas seulement à trouver des bugs possibles. Il s'agit également de déterminer quels rapports sont significatifs, quels sont les faux positifs et lesquels nécessitent une investigation plus approfondie.

Ce cadrage place le triage au centre du processus de sécurité d'Ethereum. Pour l'équipe Protocol Security, le travail de tri, de classement et de validation des résultats devient partie intégrante du produit lui-même.

Pourquoi la sécurité d'Ethereum nécessite une révision multicouche

La sécurité d'Ethereum diffère de la sécurité applicative classique parce que le protocole prend en charge une couche de règlement utilisée par des exchanges, des stablecoins, des protocoles DeFi, des réseaux Layer 2 et des millions d'utilisateurs.

Une vulnérabilité grave peut avoir des effets qui s'étendent bien au-delà d'une seule application, d'un projet ou d'une entreprise. C'est pourquoi la culture de sécurité d'Ethereum s'est longtemps appuyée sur de multiples couches de révision, notamment les primes aux bugs (bug bounties), les audits, la diversité des clients, les testnets, le raisonnement formel et l'examen public.

La diversité des clients est une caractéristique particulièrement distinctive de l'architecture d'Ethereum. Le réseau fait tourner plusieurs clients d'exécution et clients de consensus développés indépendamment, de sorte qu'un bug dans une seule implémentation ne provoque pas nécessairement l'arrêt du réseau. Cette redondance augmente la surface que la révision de sécurité doit couvrir, puisque chaque base de code client nécessite son propre examen.

L'ajout d'agents IA à ce processus peut élargir la quantité de code et de comportements pouvant être examinés, mais il introduit également un défi pratique. Les systèmes d'IA peuvent scanner rapidement de grandes bases de code, signaler des modèles suspects, comparer la logique entre les dépôts et générer des hypothèses sur d'éventuels bugs. Ces capacités peuvent aider les réviseurs humains à couvrir davantage de terrain.

Cependant, les systèmes d'IA peuvent également produire de grands volumes de résultats de faible qualité. Un outil qui génère des milliers d'alertes faibles n'est pas utile à moins qu'une équipe de sécurité ne puisse distinguer les vulnérabilités réelles des rapports non pertinents ou trompeurs. C'est pourquoi le triage est central dans l'article de la Ethereum Foundation.

Les équipes de sécurité n'ont pas simplement besoin de plus de résultats. Elles ont besoin d'une meilleure priorisation, de chemins d'escalade plus clairs et de moyens fiables d'identifier quelles questions méritent l'attention d'experts dont le temps est limité.

L'IA peut élargir la couverture, tandis que la révision humaine reste centrale

Le cas d'usage le plus direct de l'IA en sécurité de protocole est une couverture plus large.

Le développement d'Ethereum s'étend sur de multiples dépôts, implémentations de clients, devnets, spécifications et mises à jour continues du protocole. Chaque mise à jour majeure, comme la transition à travers Pectra et au-delà, touche les règles de consensus, la logique d'exécution et les protocoles de réseau à travers toutes les équipes de clients. Les réviseurs humains restent essentiels, mais leur temps est limité. Les agents IA peuvent fonctionner comme une première couche de scan, aidant à identifier les zones qui pourraient nécessiter un examen plus approfondi.

Cela ne signifie pas que les agents sont utilisés sans vérification. En matière de sécurité, une réponse assurée mais incorrecte peut créer un danger plutôt que le réduire. Un rapport de vulnérabilité doit être vérifié, reproduit, classé et compris avant de pouvoir être traité comme exploitable.

Les faux positifs consomment du temps. Les faux négatifs créent du risque. La révision humaine reste donc centrale dans le processus.

La couche d'IA peut faire émerger davantage de possibilités, mais ce sont toujours les humains qui décident de ce qui est réel, de ce qui est urgent et de ce qui doit être escaladé. Pour Ethereum, cet équilibre est particulièrement important parce que les changements de protocole peuvent affecter les hypothèses de base du réseau.

Un problème mal compris dans le consensus, l'exécution, le réseau ou le comportement des validateurs ne peut pas être traité à la légère. Les conséquences d'une vulnérabilité grave au niveau du protocole peuvent être plus larges que les conséquences d'un bug dans une seule application.

Les devnets offrent un environnement de test pratique

La référence aux devnets dans l'article de la Ethereum Foundation est significative parce que les devnets offrent aux développeurs et aux équipes de sécurité un environnement contrôlé pour tester les mises à jour avant un déploiement plus large.

Dans le pipeline de mise à jour d'Ethereum, le code passe généralement des devnets privés des développeurs aux testnets publics avant d'atteindre le mainnet. Chaque étape expose le réseau à davantage de participants et à des conditions plus imprévisibles. Les devnets se situent à l'étape la plus précoce de ce pipeline.

Les devnets sont censés être imparfaits. Ce sont des endroits où les bugs, les cas limites et les interactions inattendues peuvent apparaître avant que le code n'atteigne des testnets plus larges ou le mainnet. Cela en fait un cadre pratique pour le scan et la surveillance assistés par IA.

Si les agents peuvent observer les devnets, comparer les comportements ou mettre en évidence des régressions potentielles tôt, ils peuvent raccourcir les boucles de rétroaction pour les chercheurs. Une détection plus précoce peut donner aux équipes plus de temps pour investiguer les problèmes avant qu'ils ne deviennent plus difficiles à corriger.

Ce type de travail n'est ni un lancement de token ni une application grand public, mais il fait partie du processus d'infrastructure qui soutient la fiabilité à long terme d'Ethereum. Les discussions du marché se concentrent souvent sur le prix, les frais et les flux d'ETF, tandis que la sécurité du protocole opère en dessous de ces sujets.

Vers une pile de sécurité plus automatisée

Ethereum n'est pas le seul écosystème blockchain à expérimenter la sécurité assistée par IA. Son approche est notable parce qu'Ethereum reste la plus grande couche de règlement de contrats intelligents, sécurisant des centaines de milliards de dollars de valeur à travers la DeFi, les stablecoins, le staking et les rollups Layer 2.

Si la Ethereum Foundation démontre que les flux de travail d'agents coordonnés peuvent améliorer le triage, des méthodes similaires pourront être étudiées ou adoptées par d'autres protocoles. Les cabinets d'audit, les plateformes de primes aux bugs, les équipes Layer 2 et les développeurs d'applications examinent également des moyens d'utiliser l'IA sans réduire les normes de sécurité. L'industrie plus large de la cybersécurité intègre également l'apprentissage automatique dans l'analyse statique, le fuzzing et la détection d'anomalies, bien que la révision de protocoles blockchain ajoute des contraintes uniques en matière de sécurité du consensus et de coordination décentralisée.

La conclusion de l'approche de la Ethereum Foundation n'est pas que l'IA remplace les auditeurs. Il s'agit plutôt de constater que la pile de sécurité devient plus automatisée à ses marges.

Le scan, les alertes, la reconnaissance de modèles et la découverte précoce de bugs peuvent tous devenir plus rapides grâce aux outils assistés par IA. Les décisions difficiles nécessitent toujours des réviseurs humains expérimentés.

Les prochaines mises à jour du protocole Ethereum continueront d'exiger l'attention des équipes de clients et des chercheurs de protocole. De meilleurs outils peuvent aider ces équipes à travailler plus efficacement tout en maintenant la révision de sécurité comme une partie centrale du processus de développement.

La principale limitation consiste à maintenir le rôle de l'IA clairement délimité. En sécurité de protocole Ethereum, l'objectif n'est pas de générer davantage de bruit. Il s'agit d'identifier les signaux qui comptent avant qu'ils ne deviennent coûteux.

Cet article est basé sur l'article de Protocol Security de la Ethereum Foundation « The Triage Is The Product ».

Cet article a été rédigé par le News Desk et édité par Samuel Rae. Ce rapport est basé sur des informations publiées dans les divulgations de la documentation source primaire.