Bitcoin Core met fin à l'embargo sur les bugs alors que l'IA découvre les vulnérabilités plus vite que les humains

Les développeurs ont fusionné un changement de politique qui met fin à l'embargo de plusieurs mois sur les failles qu'un chatbot pourrait redécouvrir, après que l'IA a trouvé des centaines de bugs bitcoin avant les chercheurs humains.

Les développeurs de Bitcoin Core ont fondamentalement changé leur manière de gérer les vulnérabilités de sécurité, abandonnant la période d'embargo traditionnelle de plusieurs mois pour les bugs que les outils d'intelligence artificielle peuvent facilement redécouvrir. Le changement de politique, fusionné dans la base de code de Bitcoin Core cette semaine, reconnaît une nouvelle réalité : l'analyse de code pilotée par l'IA est devenue si efficace que garder certaines failles secrètes ne protège plus les utilisateurs.

La décision fait suite à un été au cours duquel des chatbots IA ont identifié des centaines de bugs auparavant inconnus dans le code Bitcoin avant que les chercheurs en sécurité humains ne les signalent. Les développeurs ont constaté que des modèles de langage sophistiqués pouvaient scanner le référentiel open source de Bitcoin Core, identifier des vulnérabilités potentielles et même suggérer des chemins d'exploitation — le tout en quelques heures après qu'une faille ait été signalée en privé à l'équipe principale.

Selon l'ancienne politique, les mainteneurs de Bitcoin Core coordonneraient un embargo de divulgation durant de trois à six mois, donnant aux opérateurs de nœuds et aux fournisseurs de portefeuilles le temps de corriger les systèmes avant que les détails ne deviennent publics. Cette approche supposait que les adversaires avaient besoin d'une expertise et d'un temps importants pour découvrir les mêmes bugs de manière indépendante. L'IA a brisé cette hypothèse.

Les nouvelles règles créent un système à deux niveaux. Les vulnérabilités critiques nécessitant une connaissance cryptographique approfondie ou des perspectives uniques recevront toujours des embargos allant jusqu'à 90 jours. Mais les failles qu'un grand modèle de langage pourrait identifier par une révision automatisée du code — telles que les fuites de mémoire, les conditions de course ou les erreurs de validation d'entrée — seront divulguées dans les jours suivant la publication d'un correctif.

Le chercheur en sécurité et contributeur de Bitcoin Core Antoine Riard, qui a plaidé pour le changement, a noté que garder les bugs détectables par l'IA secrets augmente en fait le risque. «Si notre chatbot peut le trouver en trois heures, celui d'un attaquant aussi», a-t-il expliqué dans un message de liste de diffusion. «L'embargo donne un faux sentiment de sécurité tout en laissant les utilisateurs exposés».

Le changement de politique a des implications plus larges pour tous les projets de cryptomonnaie open source. Ethereum, Solana et d'autres bases de code blockchain font face au même paysage de vulnérabilités piloté par l'IA. Plusieurs projets ont commencé à mener des audits internes d'IA, chargeant les modèles de langage de trouver des bugs avant que des acteurs hostiles ne le fassent. La course n'est plus seulement humain contre humain — c'est humain-plus-IA contre des adversaires équipés d'IA, et les délais de divulgation doivent refléter ce nouvel équilibre.