IA qui vole plus vite que vous ne pouvez l'auditer

L'ère des audits manuels dans la DeFi touche à sa fin. GPT-5 et Claude sont capables d'identifier et d'exploiter de manière autonome les vulnérabilités des contrats intelligents Ethereum. L'intégrité future du secteur de la DeFi repose désormais sur la capacité de l'industrie à déployer une IA défensive à la vitesse de la menace.

Comment l'IA exécute l'exploit

Un contrat intelligent est un programme auto-exécutable, écrit principalement en Solidity pour la machine virtuelle Ethereum. Son fonctionnement est le suivant : des fonds sont versés, des conditions sont remplies, et un résultat est obtenu. Une vulnérabilité est une faille dans le code qui permet à un attaquant de contourner les conditions prévues.

GPT-5 et Claude Opus 4.5 fonctionnent comme des générateurs d'exploits agents utilisant un processus itératif sophistiqué:

1. L'agent d'IA reçoit une cible : l'adresse du contrat et le numéro du bloc. Il utilise des outils spécialisés pour récupérer le code source, l'ABI (interface binaire de l'application) du contrat et l'état actuel de la blockchain.
2. Le modèle analyse le code et l'état pour identifier les failles connues. Il synthétise ensuite une preuve de concept d'exploitation sous la forme d'un nouveau contrat Solidity malveillant.
3. La preuve de concept est exécutée dans un environnement blockchain simulé (par exemple, un réseau forké utilisant Foundry). Il s'agit d'une étape cruciale. En cas d'échec de l'exploitation, l'IA analyse la trace des transactions et la raison de l'échec, utilisant ces informations pour affiner et générer un nouveau script d'exploitation optimisé.
4. L'agent ne signale un succès que si l'exploitation génère un revenu net positif.

Des chercheurs ont utilisé avec succès ces agents pour reproduire l'exploitation de centaines de vulnérabilités historiques sur un banc d'essai, générant ainsi des exploits simulés d'une valeur totale de 4,6 millions de dollars. Lors de simulations réalisées sur des contrats récemment déployés et non audités, les agents ont réussi à découvrir des vulnérabilités zero-day, des failles jusqu'alors inconnues de tous.

L'asymétrie économique et la crise de l'audit

L'audit manuel n'est pas adapté à cette nouvelle ampleur de menace. Les auditeurs humains peinent à suivre le rythme, ce qui se reflète sur le marché : Chainalysis indique que les piratages liés à la DeFi ont représenté la majeure partie des vols de cryptomonnaies en 2024, une tendance que l’exploitation de l’IA risque d’accélérer. Ce risque accru compromet l'adoption par les utilisateurs et la valeur marchande de l'ensemble de l'écosystème Ethereum.

Le piratage de DAO le plus célèbre en 2016. Une faille de réentrance se produit lorsqu'un contrat envoie de l'Ether à une adresse externe, puis met à jour son état interne après cet appel. Le contrat de l'attaquant inclut une fonction de repli qui, lors de la réception de l'Ether, rappelle le contrat initial pour retirer davantage de fonds avant que le solde ne soit épuisé. Cela permet à l'attaquant de répéter le retrait à plusieurs reprises. L'IA peut facilement modéliser et exécuter cette séquence multi-transactions, complexe à analyser statiquement.

Points clés à retenir

• Les agents LLM modernes peuvent générer, tester et affiner de manière autonome des exploits de contrats intelligents rentables.
• Les revues effectuées à un rythme humain ne peuvent pas suivre le rythme de la génération itérative d'exploits basée sur les retours d'information.
• Une seule exploitation réussie compense une infinité d'échecs ; les défenseurs doivent avoir raison à chaque fois.
• De nombreuses failles à fort impact (réentrance, défauts logiques dépendant de l'état) n'émergent que par exécution dynamique.
• Les agents d'IA découvrent des vulnérabilités qu'aucun humain n'avait auparavant documentées ni reconnues.