Les entreprises Bitcoin demandent aux laboratoires d’IA un meilleur accès aux outils de sécurité

Coinbase, Block et BitGo veulent que les laboratoires d’IA donnent plus tôt aux chercheurs open source en sécurité un accès à des modèles puissants. Cet appel fait suite à de récentes vulnérabilités liées à Bitcoin et à Lightning.

À retenir

• Plus de trois douzaines d’entreprises Bitcoin et crypto demandent aux laboratoires d’IA de donner plus tôt aux chercheurs open source en sécurité accès à des modèles puissants.
• Les signataires estiment que les développeurs de Bitcoin Core disposent désormais d’outils plus faibles que les attaquants et veulent aussi davantage de compute, des environnements sûrs et des canaux de signalement directs.
• La lettre fait suite à de récents incidents de sécurité liés à Bitcoin et à l’usage croissant de l’IA pour repérer plus rapidement des vulnérabilités dans les bases de code.

Plus de trois douzaines d’entreprises Bitcoin et crypto demandent aux plus grands laboratoires d’IA de donner plus tôt aux chercheurs open source en sécurité accès à leurs modèles les plus puissants. Selon les signataires, les personnes chargées de défendre une infrastructure de plusieurs milliers de milliards de dollars travaillent avec des outils plus faibles que les attaquants qui les ciblent.

La lettre, organisée par le Bitcoin Policy Institute et publiée plus tôt cette semaine, a notamment été signée par Coinbase, Block, BitGo, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Casa et Exodus. Des fonds de développement à but non lucratif comme Brink, Chaincode et Btrust figurent également sur la liste. Le cœur de leur objection est que les développeurs de Bitcoin Core, le petit groupe qui maintient le logiciel sur lequel repose le réseau, ne peuvent pas accéder aux programmes que les laboratoires ouvrent pourtant à des partenaires de sécurité de confiance.

Les outils de sécurité prennent du retard

Ceux qui se tournent alors vers des modèles accessibles au public se heurtent, selon la lettre, à des filtres de sécurité conçus pour bloquer les logiciels malveillants. Ces mêmes filtres rendent plus difficile la détection des vulnérabilités avant les criminels. Les chercheurs doivent donc souvent s’appuyer sur des modèles open-weight, librement téléchargeables mais généralement moins performants.

Les signataires veulent donc cinq choses : un accès anticipé aux modèles les plus performants capables de traiter des enjeux cyber, y compris avant leur publication au public, suffisamment de compute pour mener des revues sérieuses, des environnements sûrs pour examiner du code privé, un accès pour les petits mainteneurs indépendants et une ligne directe vers les équipes de sécurité des laboratoires pour signaler les découvertes.

Les attaquants n’ont pas de frein

Selon la lettre, les laboratoires et un petit nombre de partenaires voient de nouvelles capacités offensives plusieurs mois avant le reste du marché, tandis que ces capacités se diffusent ensuite largement via des modèles publics, des accès volés à des environnements d’entreprise et des outils de hacking spécialement conçus. Cela renvoie à une réalité plus large en cybersécurité : la même IA qui aide les défenseurs peut aussi être utilisée pour rendre les attaques plus rapides et plus масштабables.

Cette tension se manifeste aussi dans le secteur de la crypto lui-même. En juin, OpenAI a par exemple lancé son initiative de cybersécurité Daybreak avec deux niveaux d’accès pour les tâches défensives et plus avancées, tandis que d’autres laboratoires testent les modèles sur leur abus potentiel et leur robustesse. Dans le même temps, des recherches récentes montrent que des modèles frontier peuvent parfois trouver seuls de graves zero-days, ce qui relève encore la barre pour les défenseurs.

Pourquoi cela compte pour Bitcoin

Le calendrier de la lettre est notable, car deux signataires ont déjà vu ces dernières semaines la dimension concrète de ce débat. BTCPay Server a signalé la semaine dernière une faille critique qui avait déjà été exploitée pour vider les nœuds Lightning des commerçants. Foundation, le créateur de wallets hardware, a également perdu son propre nœud dans cette attaque.

BTCPay a ensuite écrit que l’IA modifie l’équilibre entre attaquants et défenseurs, car les modèles rendent plus rapide et moins coûteuse la recherche de points faibles dans de vastes bases de code. Un groupe bénévole, le Bitcoin Red Team, a déjà déployé ce mois-ci des modèles d’IA sur des bases de code Bitcoin et soumis des milliers de signalements à des centaines de projets. La demande des entreprises n’est donc pas seulement théorique : elle touche directement la manière dont le logiciel Bitcoin et les wallets associés sont protégés dans la pratique.

La récente faille BTCPay montre à quelle vitesse une vulnérabilité dans l’infrastructure de paiement peut se traduire par des pertes réelles. Pour de nombreuses entreprises Bitcoin, l’appel adressé aux laboratoires d’IA relève donc avant tout d’une question de sécurité pratique.