Le monde de la sécurité et de l'audit blockchain évolue rapidement, car les vulnérabilités et les méthodes d'exploitation sont désormais détectées et utilisées beaucoup plus vite grâce à l'application de l'intelligence artificielle (IA) dans les processus de détection des vulnérabilités.
Les inquiétudes générales concernant les risques liés au rôle croissant de l'IA dans ces processus se sont accentuées après l'incident sur Hugging Face, où une plateforme d'IA a subi une attaque de piratage qui est devenue la première intrusion "réalisée de bout en bout par un système autonome d'agents d'IA".
Cet incident, dont le blâme a ensuite été attribué à un modèle OpenAI ayant échappé à l'environnement de test en "bac à sable", a confirmé que la cyberguerre menée par des agents était devenue une réalité et que les organisations devaient être prêtes à faire face à ces risques dès maintenant, et non demain.
L'inquiétude a également gagné l'écosystème Web3, où la sécurité est plus passive qu'active et assurée par des audits et des mesures de sécurité conçues aux stades de développement, souvent impossibles à mettre à jour en temps réel avant le déploiement de nouveaux contrats.
Dans une interview exclusive accordée à Bitcoin.com News, Kaijern Lau, directeur principal de l'ingénierie chez CertiK, a examiné le rôle de l'IA à la fois dans ces attaques et dans le processus d'audit de code pour les prévenir.
Lau souligne que l'IA peut être un outil utile pour identifier les vulnérabilités et analyser les vecteurs d'attaque potentiels sur une plateforme. Néanmoins, l'intervention humaine reste nécessaire, "pour garantir que l'IA a analysé minutieusement le code, et s'assurer que toutes les vulnérabilités détectées sont réelles et non de faux positifs".
Lau a déclaré que des études récentes consacrées aux vulnérabilités des portefeuilles matériels démontrent les limites de l'IA et la pertinence de l'intervention humaine. "L'IA peut aider à identifier des schémas et à accélérer l'analyse, mais il reste nécessaire d'avoir des chercheurs expérimentés pour vérifier les résultats obtenus et évaluer leur impact réel", a-t-il noté.
L'incident Hugging Face – un cas isolé, qui ne prouve pas l'existence de "menaces"
Lau a souligné que l'incident sur Hugging Face s'est produit dans le cadre d'un environnement de test spécifique et qu'un cas isolé de ce type ne signifie pas que les modèles d'IA sont incontrôlables.
Cependant, il a noté que cette attaque a démontré les capacités actuelles des agents d'IA, de plus en plus aptes à mener des opérations complexes dans le domaine de la cybersécurité, y compris identifier et combiner des vulnérabilités qui, prises séparément, semblent gérables – comme un service non sécurisé, une mauvaise configuration, des permissions excessives ou des identifiants compromis – et à les transformer en un chemin d'attaque coordonné à la vitesse d'une machine.
Par conséquent, cela démontre également comment les investissements dans l'IA à des fins de sécurité deviennent la norme pour les entreprises produisant des produits basés sur du code, comme l'industrie Web3 et blockchain.
"L'IA augmentera l'efficacité à la fois des attaquants et des défenseurs. C'est pourquoi les entreprises blockchain doivent investir davantage dans la sécurité axée sur l'IA pour protéger leur code et leur infrastructure. Nous entrons dans une ère où la question clé n'est déjà plus de savoir s'il faut utiliser l'IA, mais combien de ressources (ou de jetons) en IA les organisations investissent pour défendre leurs systèmes par rapport aux ressources que les attaquants investissent pour mener des attaques de plus en plus sophistiquées", a déclaré l'expert.
IA et sécurité blockchain : l'état actuel des choses
Bien que Lau soit convaincu que l'IA et la sécurité blockchain deviendront inévitablement interdépendantes, il reconnaît qu'il est encore trop tôt pour que les tâches de détection des vulnérabilités et de développement de logiciels sécurisés soient exécutées sans intervention humaine.
CertiK considère même les agents défensifs et ses propres outils comme faisant partie de la surface d'attaque, car ils peuvent être soumis à des vérifications pour détecter des injections opérationnelles, des entrées de données par des outils malveillants, des permissions excessives, des fuites de données ou des correctifs automatiques non sécurisés. En fait, l'entreprise a développé un outil – AI Skill Scanner – pour identifier les risques dans les compétences d'IA avant leur déploiement, permettant un meilleur contrôle sur les agents d'IA.
Lau a indiqué que CertiK continuera d'investir massivement dans la création de solutions de sécurité avancées basées sur l'IA. "Nos propres développeurs et chercheurs en sécurité travaillent 24h/24 pour perfectionner la sécurité blockchain grâce à l'IA", a-t-il confirmé.
CertiK a également développé AI Auditor – un outil qui effectue une analyse automatique des projets blockchain, identifiant les risques typiques de sécurité. "Cette approche multimodèle et multi-agents améliore à la fois la précision et la fiabilité des évaluations de sécurité", a déclaré Lau, décrivant comment l'entreprise développe ses capacités défensives contre les attaquants utilisant l'IA.
L'équilibre de l'IA : ce qui nous attend à l'avenir
Bien que l'IA réduise les barrières aux attaques – car les attaquants utilisent déjà des agents pour détecter des vulnérabilités et scanner les contrats intelligents à la recherche de faiblesses –, Lau assure que l'utilisation de l'IA à des fins défensives offre de réels avantages.
"L'IA augmente considérablement l'efficacité et étend l'ampleur de notre détection des menaces. CertiK a amélioré l'efficacité de la vérification formelle en intégrant l'IA dans son propre moteur CertiK Prover", a précisé Lau.
La contribution de CertiK dans ce domaine, selon Lau, va au-delà de la simple détection de vulnérabilités et vise à anticiper ces nouvelles menaces liées à l'IA, en formant et en utilisant ses propres modèles d'IA pour protéger les clients.
"Dans l'ensemble, l'IA deviendra une force positive nette pour la sécurité du Web3, mais c'est sans aucun doute une arme à double tranchant, nécessitant une quête constante d'équilibre", a conclu Lau.
