Web3 : L'équipe Red Team de Bitcoin utilise des modèles d'IA chinois pour détecter les vulnérabilités open source

Une équipe de bénévoles spécialisée dans la détection des failles dans les logiciels Bitcoin affirme avoir utilisé des modèles d’IA chinois pour effectuer une analyse de base de presque tout l’écosystème open source de Bitcoin, et a soumis un grand nombre de rapports de sécurité aux développeurs.

Calle, responsable de l’équipe Bitcoin Red Team et développeur sous pseudonyme, a déclaré sur les réseaux sociaux que l’équipe combinait des outils d’IA avec des vérifications humaines, afin de contrôler les wallets, les applications Lightning Network, les librairies logicielles et autres projets. Pour les problèmes confirmés comme fiables, l’équipe informe d’abord les développeurs en privé pour corriger l’erreur, puis décide s’il convient de publier les détails.

Analyse de 390 projets

Calle a révélé qu’en août, l’équipe avait soumis 4962 rapports de problèmes à 390 projets, dont 85 failles critiques, 635 failles à haut risque, et le reste concerne divers niveaux de problèmes de sécurité.

Il indique que les développeurs ont confirmé qu’un nombre important de failles critiques et à haut risque sont effectivement réelles. Cependant, l’équipe n’a pas encore divulgué les noms des projets concernés ni les détails techniques.

Modèles chinois utilisés pour l’audit du code

L’équipe utilise notamment Kimi K3 de la startup chinoise Moonshot AI, ainsi que GLM 5.2 de la plateforme chinoise de développeurs Z.ai, en plus de modèles d’OpenAI et d’Anthropic.

Selon Calle, les modèles américains présentent des restrictions dans les contextes de recherche en sécurité, et l’équipe a rencontré plusieurs contraintes pendant les audits, ce qui les a amenés à se tourner vers des modèles chinois pouvant fonctionner en local. Kimi K3 est décrit comme capable de traiter de larges bases de code et de mener des analyses logicielles longues avec peu d’intervention humaine.

L’audit des projets Lightning Network, plus difficile

Calle affirme que les logiciels Lightning Network, qui prennent en charge les paiements rapides sur Bitcoin, sont plus complexes et donc plus difficiles à auditer, avec des problèmes plus importants que sur les autres projets.

Il ajoute que les projets ayant adopté tôt un processus d’audit par IA se distinguent désormais de ceux qui n’ont pas utilisé ces outils. À l’avenir, les porteurs de projets devront mettre en place leur propre processus d’audit par IA, et il ne faudra plus accorder facilement sa confiance aux logiciels qui manquent de maintenance sur le long terme.

Selon ses propos, l’IA améliore l’efficacité dans la découverte des failles, mais augmente aussi la pression sur les développeurs pour garantir la sécurité. Bien qu’il utilise l’expression « Bitcoin est en feu » pour décrire la situation actuelle, il estime que l’évaluation à grande échelle contribuera à renforcer la fiabilité des logiciels Bitcoin.