Vitalik Buterin : l’IA renforce la cybersécurité, elle ne l’affaiblit pas

Le cofondateur d’Ethereum, Vitalik Buterin, s’oppose à l’idée de plus en plus répandue selon laquelle l’IA transforme la cybersécurité en une bataille perdue d’avance. Pour Buterin, l’IA finira au contraire par donner un avantage aux défenseurs. Il y ajoute un détail personnel : environ 90 % de son patrimoine se trouve en cryptomonnaies, ce qu’il présente comme un pari assumé sur cette conviction.

Ethereum est disponible chez Bitvavo et OKX.

En bref :

• Buterin affirme que l’IA peut prouver formellement qu’un logiciel est sûr, comme elle peut prouver des théorèmes mathématiques.
• De bonnes définitions de la sécurité sont essentielles et constituent une surface d’attaque plus réduite que le code lui-même.
• Buterin indique qu’Ethereum va s’engager dans cette voie au cours des prochaines années, avec pour objectif la vérification complète de tous les logiciels.

L’IA comme arme pour les défenseurs

Buterin réagit à l’idée selon laquelle l’IA rend les attaquants si puissants que la cybersécurité ne peut plus être gagnée. Il ne partage pas ce raisonnement. Selon lui, la sécurité est déjà naturellement favorable au défenseur, dès lors que le secteur fait preuve de rigueur.

Il fait le parallèle avec les preuves mathématiques : si l’IA peut démontrer des théorèmes mathématiques complexes, elle peut aussi prouver formellement qu’un programme est sûr. Cela vaut même pour des logiciels très compliqués. Il ne s’agit donc pas de savoir qui trouve le plus vite des vulnérabilités, mais de construire des logiciels beaucoup plus difficiles à casser dès le départ.

La définition de la sécurité, le vrai problème

Une grande partie de son argumentation porte sur ce que le mot « sûr » signifie réellement. À partir de l’exemple de l’application de messagerie Signal, Buterin montre combien d’aspects entrent en jeu dans une bonne définition de la sécurité. Citons la falsification de messages, les vulnérabilités des systèmes d’exploitation, les attaques via le serveur ou la fuite de clés par le biais de signaux matériels.

Ces définitions peuvent représenter des milliers de lignes de code et exigent un travail de réflexion précis. Elles constituent néanmoins une surface d’attaque plus réduite que l’implémentation elle-même. Un avantage supplémentaire est que les définitions se cumulent : si un programme satisfait à deux définitions de sécurité distinctes, les deux s’appliquent simultanément. Pour le code, c’est différent, car une seule erreur dans un composant peut compromettre l’ensemble.

Buterin affirme que, par le passé, les choses ont souvent mal tourné parce que les développeurs ne vérifiaient qu’une petite partie de leur code et laissaient le reste de côté. Il en conclut qu’une vérification complète de toutes les couches est nécessaire : bases de données, réseaux, couches de cache et ensemble de la chaîne d’approvisionnement. Selon lui, l’IA moderne rend cette démarche possible.

Ethereum veut des logiciels entièrement vérifiables

Buterin précise que cette approche concerne directement Ethereum. Sans avancées sérieuses vers des logiciels dont la sécurité est démontrable, il ne voit pas d’avenir pour les chaînes de blocs, en particulier pour les réseaux qui misent sur l’évolutivité et la confidentialité. Il indique que des progrès notables ont déjà été accomplis, mais que les prochaines années seront déterminantes.

Au moment de la rédaction, le cours d’Ethereum s’établit à 2 440 $, en hausse de 1,4 % au cours des dernières 24 heures.