L'audit traditionnel, un modèle à bout de souffle
Illia Polosukhin, cofondateur de NEAR Protocol, ne mâche pas ses mots : l'audit de sécurité classique repose sur l'espoir qu'aucun attaquant plus compétent que l'auditeur ne trouvera la faille laissée de côté. Face aux modèles d'IA récents, capables de scanner des bases de code entières à la recherche de vulnérabilités en un temps record, cette logique est devenue intenable.
Le problème n'est pas nouveau, mais il change d'échelle. Un auditeur humain travaille de manière séquentielle, sur un périmètre défini, dans un délai contraint. Un outil d'IA assisté peut itérer sur des milliers de chemins d'exécution en parallèle, sans fatigue ni angle mort lié à l'habitude. Le piratage assisté par IA ne cherche pas à être plus malin qu'un expert : il cherche plus vite, plus largement et sans relâche.
La vérification formelle, accélérée par l'IA
La réponse que défend Polosukhin n'est pas de mettre davantage d'auditeurs humains dans la boucle. Sa solution : la vérification formelle, c'est-à-dire prouver mathématiquement qu'un code fait exactement ce qu'il prétend faire, sans exception possible.
Cette méthode existe depuis des décennies dans les systèmes critiques, mais elle était jusqu'ici réservée aux projets disposant d'années de travail et de budgets conséquents. L'IA change l'équation : elle peut générer l'essentiel de la preuve formelle, réduisant drastiquement le temps et le coût. La confiance ne repose pas sur l'IA elle-même, précise Polosukhin, mais sur la vérification indépendante de la preuve qu'elle produit. L'IA fait le gros du travail ; un vérificateur tiers valide le résultat.
L'exemple concret qu'il cite concerne Zcash. Un projet de vérification assistée par IA a démontré qu'un de ses pools protégés ne pouvait pas héberger le type de bug de contrefaçon indétectable découvert le mois dernier dans un autre pool. Un travail qui prenait autrefois des années a été ramené à quelques semaines. Le marché de prédiction donne par ailleurs 17% de probabilité à un exploit confirmé du pool Orchard de Zcash, ce qui illustre que la menace reste perçue comme réelle par les opérateurs de marché.
Pour les équipes qui souhaitent évaluer leur exposition, notre guide sécurité crypto recense les approches d'audit et de vérification formelle disponibles aujourd'hui.
Pourquoi c'est important pour vos actifs
- $NEAR= Neutre
- $ZEC= Neutre
Sens qualitatif, sans prévision de prix. Source : nos modèles de corrélation historique.
Selon nos modèles de corrélation historique, un exploit frappe d'abord le jeton et le protocole directement touchés, NEAR ou ZEC dans ce cas, avec une défiance possible sur les projets comparables. La réaction dépend ensuite de la capacité du protocole à indemniser : un exploit suivi d'un remboursement se solde souvent par un retour des capitaux. Le marché large n'est affecté que si les montants atteignent un seuil systémique. Ici, l'alerte de Polosukhin porte sur la prévention, pas sur un incident déclaré : c'est précisément ce type de signal précoce qui conditionne la solidité long terme de la valorisation de NEAR et de ZEC.
