La Fondation Ethereum utilise des essaims d'agents d'IA pour attaquer Ethereum – avant que quelqu'un d'autre ne le fasse.

Dans un article de blog publié jeudi, des chercheurs de l'équipe de sécurité des protocoles de la Fondation Ethereum ont déclaré avoir déployé une série d'agents d'IA contre le logiciel sur lequel Ethereum repose, à la recherche de vulnérabilités dans les systèmes cryptographiques, le code de protocole et les contrats intelligents.

« Nous avons déployé des agents d'IA coordonnés contre les types de systèmes dont le réseau dépend, tels que les logiciels système, le code cryptographique et les contrats qui doivent être corrects », ont écrit les chercheurs. « Les agents ont trouvé de vrais bugs. »

L'un des bugs découverts comprenait une panique déclenchée à distance dans le gossipsub de libp2p, faisant partie de la couche peer-to-peer utilisée par les clients de consensus Ethereum. Le problème a été corrigé et divulgué sur Github sous la référence CVE-2026-34219.

Connue sous le nom de « red teaming », cette pratique consiste pour les entreprises à déployer des chercheurs en sécurité pour attaquer leurs propres systèmes, tentant d'infiltrer ou de perturber les réseaux afin de découvrir les faiblesses avant que des hackers malveillants ne les trouvent. Tandis que les « red teams » attaquent un système, il incombe aux « blue teams » de le défendre.

Traditionnellement, les chercheurs humains recherchaient les vulnérabilités en examinant le code manuellement – mais les agents d'IA peuvent scanner des bases de code entières, tester des exploits potentiels et générer des rapports pour examen.

« Que les agents trouvent des bugs n'était pas la surprise », a écrit l'équipe. « La surprise fut la faible quantité de travail nécessaire pour les trouver, et la grande quantité nécessaire pour distinguer les vrais bugs de ceux qui n'en avaient que l'apparence. »

Selon la Fondation Ethereum, les agents sont organisés en rôles spécialisés, incluant la reconnaissance, la chasse aux vulnérabilités, le comblement des lacunes et la validation. Certains recherchent des chemins d'attaque possibles, tandis que d'autres tentent de reproduire les défaillances et de vérifier si elles fonctionnent contre le code de production.

« Le schéma existe pour une raison », ont-ils écrit. « Il impose une affirmation spécifique et testable et une définition claire de ce qui est "terminé". Un agent qui doit consigner une preuve observable ne peut pas se contenter d'un "cela semble risqué". »

Le rôle croissant de l'IA dans la recherche de vulnérabilités a été démontré en avril, lorsqu'une version préliminaire de Claude Mythos d'Anthropic a découvert 271 vulnérabilités dans le navigateur Firefox de Mozilla.

Les chercheurs ont comparé les agents d'IA aux fuzzers, ou outils qui testent les logiciels à la recherche de failles. Cependant, contrairement aux fuzzers, les agents d'IA peuvent générer des rapports de vulnérabilité, évaluer l'impact et créer des tests de preuve de concept.

Mais détaillé ne signifie pas toujours correct. Les découvertes générées par l'IA peuvent sembler convaincantes même lorsqu'elles sont erronées, ce qui oblige les chercheurs à filtrer les doublons, les faux positifs et les vulnérabilités qui ne peuvent pas réellement être exploitées.

« Une règle est plus importante que toutes les autres. Une candidature n'est pas une découverte tant qu'il n'existe pas d'artefact autonome qui reproduit l'échec contre le code réel, et qui fonctionne pour quelqu'un qui ne l'a pas écrit », ont écrit les chercheurs. « Le reproducteur ne lit pas le rapport, et il ne se soucie pas de la confiance que le modèle affichait. Soit il fonctionne, soit il ne fonctionne pas. »

Les outils d'IA ont déjà aidé les chercheurs en sécurité à découvrir des failles dans les réseaux blockchain.

En mai, le chercheur en sécurité Taylor Hornby a utilisé Claude Opus 4.8 d'Anthropic lors d'un audit assisté par l'IA qui a découvert une vulnérabilité critique dans le pool de confidentialité Orchard de Zcash. La faille existait depuis environ quatre ans et aurait pu permettre à un attaquant de créer du ZEC contrefait sans trace évidente sur la chaîne. Une mise à niveau du réseau pour restaurer la confiance dans l'approvisionnement de Zcash est toujours en cours.

L'expérience de la Fondation Ethereum intègre cette technologie en interne, utilisant des agents d'IA pour tester son propre code afin de trouver des vulnérabilités.

« L'IA n'a pas remplacé le chercheur en sécurité. Elle a déplacé le travail », a déclaré la Fondation Ethereum. « Les agents nous permettent de couvrir beaucoup plus de terrain que nous ne pourrions le faire manuellement. En échange, ils exigent un jugement plus minutieux, sur une bien plus grande quantité d'affirmations qui semblent sûres. »

« C'est un compromis qui en vaut la peine », ont-ils ajouté, « tant que l'on se souvient que le jugement est le vrai produit. »