Le Bitcoin Policy Institute et plus de 40 organisations d'actifs numériques ont demandé aux principaux laboratoires d'IA de donner aux chercheurs en sécurité open source qualifiés un accès contrôlé aux modèles de pointe, alors que les cyberattaques assistées par l'IA deviennent plus sophistiquées.
Le Bitcoin Policy Institute a annoncé cette initiative dans une publication X du 10 août, indiquant que la coalition représente des organisations de l'ensemble de l'écosystème des actifs numériques.
La lettre ouverte demande aux principaux développeurs d'IA de fournir aux défenseurs open source qualifiés un accès de confiance à leurs modèles les plus performants. Elle ne réclame pas un accès public illimité aux modèles dotés de capacités avancées en cybersécurité.
Au lieu de cela, les signataires ont proposé un programme contrôlé couvrant l'accès anticipé aux modèles de cybersécurité de pointe, une capacité de calcul suffisante, des environnements de recherche sécurisés et des canaux directs avec les équipes de sécurité des laboratoires d'IA.
Ces ressources permettraient aux chercheurs agréés d'examiner les portefeuilles Bitcoin, l'infrastructure de paiement et d'autres logiciels open source avant que les attaquants ne puissent exploiter les faiblesses nouvellement découvertes.
« Les dernières semaines ont clairement démontré la nécessité de cela », a écrit le Bitcoin Policy Institute.
Block, Coinbase, Strategy, MARA, Galaxy, BitGo, Brink, OpenSats, Chaincode Labs, Spiral, Trezor, Unchained, Btrust et Fedi figuraient parmi les organisations soutenant cette demande.
La coalition a fait valoir que les mesures de protection actuelles des modèles peuvent restreindre la recherche légitime en matière de sécurité, alors même que les criminels et les groupes soutenus par des États accèdent à des systèmes ouverts ou déployés localement de plus en plus performants. Son message central aux laboratoires d'IA était que les défenseurs ont besoin d'une opportunité précoce pour identifier et réparer les vulnérabilités.
Aucun laboratoire d'IA de premier plan n'avait publiquement annoncé de programme répondant aux demandes spécifiques de la coalition au moment de la rédaction.
Cet appel fait suite à des preuves croissantes que les hackers intègrent l'intelligence artificielle dans leurs attaques contre les entreprises de cryptomonnaies et les institutions financières.
Le groupe de piratage Kimsuky, lié à la Corée du Nord, aurait construit trois environnements d'IA locaux utilisant Ollama, GPT4All et Msty. Ces systèmes peuvent prendre en charge le développement de logiciels malveillants, l'analyse de données, les campagnes de phishing et l'automatisation des attaques sans transmettre de requêtes sensibles à un fournisseur externe.
Comme crypto.news l'a précédemment rapporté, le groupe a produit du matériel de phishing généré par l'IA, ciblant des entreprises de cryptomonnaies, d'investissement et de technologie financière.
Les modèles locaux créent un défi particulier pour les fournisseurs de modèles. Un attaquant exécutant un modèle ouvert sur du matériel contrôlé en privé peut ne pas être soumis à la surveillance, aux restrictions d'utilisation ou aux suspensions de compte imposées par les services d'IA commerciaux.
Cette différence est au cœur de l'argument de la coalition. Restreindre les défenseurs de confiance peut offrir une protection limitée si des acteurs malveillants peuvent utiliser des modèles déployés localement ou contourner les protections commerciales, tandis que les chercheurs restent incapables de tester les systèmes les plus performants.
La menace présente également un angle de sécurité américain. Plusieurs signataires, dont Coinbase, Strategy, Block, MARA et Galaxy, sont des sociétés cotées en bourse ou basées aux États-Unis avec une exposition substantielle à l'infrastructure Bitcoin. Des attaques réussies pourraient affecter les clients américains, les dépositaires institutionnels et les investisseurs, même lorsque le logiciel vulnérable est maintenu par une communauté open source mondiale.
Les récents incidents de sécurité liés à Bitcoin ont démontré comment les faiblesses des logiciels open source peuvent rester indétectées pendant des années.
Une erreur de compilation du firmware affectant les portefeuilles matériels Coldcard aurait affaibli l'entropie utilisée pour générer les phrases de récupération. Les attaquants pourraient alors rechercher un éventail de clés beaucoup plus restreint et vider les portefeuilles sans obtenir un accès physique aux appareils.
Galaxy Research a estimé que les vols Coldcard confirmés ont atteint 1 596 BTC, tandis qu'une vague d'attaques supplémentaires suspectée pourrait porter les pertes à environ 2 055 BTC. L'erreur était apparemment présente depuis 2021.
L'analyse assistée par l'IA a ensuite élargi l'examen au-delà de la faille initiale. Une enquête de crypto.news a révélé que des examens automatisés mettaient en évidence des classes similaires de faiblesses de sécurité dans l'ensemble de l'écosystème Bitcoin.
Le Bitcoin Red Team a fourni un autre exemple d'utilisation défensive de l'IA. Cette initiative bénévole a signalé avoir trouvé 4 962 problèmes potentiels sur 390 projets liés à Bitcoin en moins de 30 heures de revues de code assistées par l'IA.
Parmi ces découvertes, 720 ont été initialement classées comme de gravité élevée ou critique, bien que les résultats automatisés nécessitent toujours une reproduction et une vérification humaines. Plus d'un cinquième auraient été reproduits lorsque crypto.news a couvert la campagne de revue.
Ces résultats illustrent à la fois le potentiel et les limites des modèles de pointe. L'IA peut examiner de grandes bases de code plus rapidement que de petites équipes de bénévoles, mais des chercheurs qualifiés sont toujours nécessaires pour supprimer les faux positifs, tester l'exploitabilité et divulguer les vulnérabilités vérifiées en toute sécurité.
La lettre ouverte s'ajoute à une poussée plus large visant à augmenter les ressources disponibles pour les chercheurs en sécurité Bitcoin.
Strategy, BlackRock, Coinbase et six autres entreprises ont récemment créé le Consortium de Sécurité Bitcoin. Ses membres se sont engagés à verser 15 millions de dollars sur trois ans pour financer les développeurs et les chercheurs travaillant sur la sécurité à long terme de Bitcoin.
La cryptographie post-quantique est l'objectif initial du consortium, bien que son mandat couvre la sécurité du protocole au sens large. Les membres ont déclaré qu'ils choisiraient les bénéficiaires des fonds de manière indépendante et ne dirigeraient pas le développement de Bitcoin ni ne prendraient position sur les modifications de protocole proposées.
Galaxy a séparément ouvert un fonds de sécurité Bitcoin de 5 millions de dollars couvrant de nouveaux systèmes de signature, des outils de migration de portefeuille, des audits et des recherches sur les protections résistantes au quantique.
Les pertes à l'échelle de l'industrie continuent d'augmenter malgré ces initiatives. Immunefi a rapporté que les projets crypto ont perdu environ 110 millions de dollars à cause de hacks en juillet. La plateforme de sécurité a enregistré 164 incidents jusqu'au 3 août et a projeté que le nombre de hacks dépassant 1 million de dollars pourrait atteindre un record de 114 en 2026.
La coalition du Bitcoin Policy Institute demande maintenant aux entreprises d'IA de compléter le soutien financier par un accès technique. Que les laboratoires acceptent cette proposition dépendra de leur capacité à vérifier les chercheurs, à superviser les travaux potentiellement sensibles et à empêcher que les modèles de cybersécurité avancés ne soient réorientés vers des activités offensives.
BTC
