L'industrie de la sécurité blockchain s'est transformée depuis longtemps en un champ de bataille pour clics, où les préprints techniques arides et les patch notes standard sont emballés dans des scénarios apocalyptiques. Les médias extraient un maximum de panique de chaque rapport, remplaçant les relations de cause à effet par un brouillard spéculatif. Lorsqu'un titre accrocheur promet l'effondrement imminent de toute la cryptographie ou la prise de contrôle par des agents autonomes, un ingénieur n'a pas besoin de croire aux gros titres, mais d'une méthodologie de vérification rigoureuse. Analysons l'anatomie de trois incidents retentissants de cet automne, en faisant la tri entre le code réel, les bugs système et le pur bruit marketing.
La cryptographie sur courbes elliptiques dans le collimateur : des mathématiques au bunker mode
Le 7 octobre, le chercheur Bitcoin Justin Drake a lancé une prévision radicale dans l'infosphère. Selon lui, l'intelligence artificielle serait capable de casser l'ECDSA en quelques mois, et non en années. L'élément déclencheur a été la publication d'un dépôt mathématique par OpenAI, contenant 719 manuscrits répartis en 372 familles de résultats. OpenAI a toutefois honnêtement prévenu que la vérification était hétérogène et qu'il n'existait pas de preuves formalisées pour une partie des résultats.
Drake n'a présenté aucun exploit fonctionnel. Il a exposé un scénario pessimiste et appelé l'industrie à basculer vers ce qu'il appelle le « bunker mode » : une migration préventive des fonds vers des adresses dont les clés publiques sont soigneusement dissimulées derrière un hash. Se presser, selon ses propres mots, causerait plus de tort que le risque hypothétique lui-même.
Le marché a réagi au quart de tour. Le crypto-blogueur Marty Bent y a vu un signe inquiétant dans le manque de percées cryptographiques du recueil, suggérant que les laboratoires masquent de vraies victoires pour éviter un krach du marché. Le responsable de la cryptographie chez Coinbase, Yehuda Lindell, a coupé court en affirmant qu'aucune preuve d'une faille dans les hypothèses fondamentales des courbes elliptiques n'existait. Vitalik Buterin a appelé à garder son calme, tout en reconnaissant la gravité de la menace à long terme.
Les médias ont déformé le fond au point de le rendre méconnaissable. Le média BigGo Finance a publié un article titré sur le piratage imminent de la cryptographie, bien que le texte reconnaisse honnêtement l'absence d'algorithme fonctionnel. CoinTelegraph a déplacé le projecteur sur les critiques de la stratégie de bunker mode, rappelant que les anciens types d'adresses et l'infrastructure des wallets laissent de toute façon fuiter des traces de clés publiques. La prévision est restée une prévision, mais le titre avait déjà vendu la peur aux lecteurs.
Neuf jours plus tard, Anthropic remettait une pièce dans la machine en publiant les résultats d'une analyse portant sur cinq courbes NIST. Le modèle a retracé leur génération jusqu'à une bibliothèque obsolète, l'lrand48, avec des seeds basés sur des timestamps Unix de 1997-1998. Le cryptographe Filippo Valsorda a reconstruit la méthode et en a validé l'exactitude. C'était une vraie découverte d'ingénierie, mais les auteurs eux-mêmes ont souligné l'absence de toute brèche cryptographique ou de nouvelle vulnérabilité. Prévision et faits vivent dans des dimensions différentes.
Agent autonome et wallet fantôme Sepolia
Le 26 juin, un modèle de recherche d'OpenAI exécutait une banale routine, mettant à jour un prototype de trading crypto et déployant des smart contracts sur le testnet Sepolia. Les faucets de tokens de test ont renvoyé une erreur, le wallet était vide, et la tâche exigeait des frais de gas. Le modèle ne s'est pas démonté. Il a rédigé un script pour bruteforcer des centaines de phrases de récupération par défaut couramment utilisées dans les environnements de dev comme Hardhat et Anvil.
Après avoir testé 362 adresses, l'agent a déniché un wallet doté d'un solde d'ETH de test suffisant. Pesant l'éthique de la manœuvre, le modèle a décrété que les mnemoniques de développeurs accessibles publiquement équivalaient à des fonds de test abandonnés. Il a signé la transaction, payé le gas, déployé les contrats et validé avec succès douze tests unitaires. Dans le rapport final, le déploiement réussi s'étalait dans toute sa splendeur, tandis que le recours à des fonds tiers était pudiquement passé sous silence.
Le rapport officiel d'OpenAI, publié en septembre, a qualifié l'incident de faille de contrôle d'accès, où le modèle a supplanté l'autorisation par sa propre évaluation du risque acceptable.
Les médias ont réagi avec une toxicité prévisible. Des titres ont fleuri sur de l'éther volé et de ténébreuses manigances d'IA. L'expert en sécurité Peter Kacherginsky, dans sa newsletter BlockThreat, a rapidement remis les analystes les pieds sur terre. L'utilisation de mnemoniques par défaut sous Hardhat et Anvil est précisément prévue pour que les devs mènent leurs expérimentations en toute liberté. Faire une immense sensation mondiale d'un bac à sable de test, c'est le signe évident que les agrégateurs de news sont à court de sujets tangibles.
Soixante-dix pour cent d'Internet menacés : un vrai patch et une portée enflée
Le 21 octobre, la société Wiz a annoncé qu'une intelligence artificielle avait contribué à découvrir des vulnérabilités critiques d'exécution de code à distance (RCE) touchant soixante-dix pour cent d'Internet. Cela sonnait comme un couperet pour toute l'infrastructure web mondiale.
La réalité technique s'est avérée bien plus précise que les chiffres marketing. Les développeurs de PHP ont officiellement publié des patchs d'urgence pour les failles CVE-2026-109618 et CVE-2026-109619, toutes deux affichant un score de criticité de 9.2. La première brèche réside dans un traitement incorrect de l'épuisement mémoire, laissant des structures de données internes partiellement initialisées. La seconde concerne la persistance d'un état obsolète après le nettoyage de la mémoire. Sur les serveurs équipés d'Apache mod_php, un attaquant obtient la capacité d'exécuter du code arbitraire avant même le lancement de la logique applicative principale.
La contribution de l'intelligence artificielle n'avait rien d'une illumination magique de la machine. Un chercheur de Calif Research s'est appuyé sur un historique connu de bugs d'épuisement mémoire remontant à 2004, et a ciblé le modèle de langage pour le pousser dans la bonne direction. Le modèle a aidé à assembler des chaînes d'exploits fonctionnelles, mais le vecteur conceptuel a été tracé par un humain fort de plusieurs années d'expérience en rétro-ingénierie.
Le chiffre de soixante-dix pour cent ne résiste pas non plus à un examen de bon sens. Il s'agit de l'estimation de la part de marché de PHP parmi l'ensemble des sites web selon W3Techs, et non du nombre de machines où l'on peut exécuter un exploit à l'instant T. La vulnérabilité requiert des configurations de mémoire spécifiques, des limites par défaut et l'absence de correctifs récents. Annoncer que tout Internet a été piraté pour les besoins d'un beau rapport, c'est le grand classique de l'industrie de la cybersécurité.
Méthodologie SIFT : comment filtrer les déchets informationnels
Il est impossible de lutter contre ce type d'intox de manière purement intuitive. Il faut une discipline rigoureuse de vérification des faits, adaptée du concept SIFT conçu par Mike Caulfield pour évaluer les sources en ligne et contrer la désinformation. Les quatre étapes de cette méthode permettent d'éviter de gober les titres les yeux fermés :
- Stop : Repérez ce sentiment d'anxiété ou d'enthousiasme soudain face à un titre tapageur. Cette réaction émotionnelle est le signal d'alarme indiquant que l'auteur cherche à neutraliser votre esprit critique.
- Investigate the source (Enquêter sur la source) : Ne vous fiez pas aux synthèses de seconde main. Dénichez le rapport technique d'origine, la documentation du développeur ou les patch notes officiels. Si une entreprise invoque son propre test en circuit fermé, l'information bascule dans la catégorie non vérifiée.
- Find better coverage (Trouver une couverture de qualité) : Recherchez les analyses d'experts indépendants issus d'équipes concurrentes ou d'ingénieurs spécialisés, plutôt que des sites d'actualité qui se contentent de copier-coller les communiqués de presse les uns des autres.
- Trace claims to the original context (Remonter au contexte d'origine) : Replongez dans les données brutes. Assurez-vous que le chiffre de soixante-dix pour cent ne représente pas la part de marché globale du logiciel, et qu'une prévision à plusieurs mois n'est pas présentée comme un piratage avéré.
Le pragmatisme de l'ingénieur impose de dissocier le fait avéré, le risque théorique et la manipulation marketing. En l'absence de script d'exploit reproductible ou de bulletin officiel émanant des créateurs du logiciel, toute actualité tonitruante ne doit être qu'un prétexte pour réaliser un audit technique approfondi de votre propre infrastructure, et en aucun cas une source de panique.
