La Fondation Ethereum déploie des agents IA pour traquer les bugs du protocole

L’équipe de sécurité des protocoles de la Ethereum Foundation a déployé une flotte coordonnée d’agents IA afin de rechercher des vulnérabilités dans du code critique de protocole. L’effort a permis de mettre au jour de véritables problèmes de sécurité, notamment un panic déclenchable à distance dans la bibliothèque libp2p gossipsub, qui sert de base aux communications pair-à-pair d’Ethereum. Les chercheurs en sécurité se tournent de plus en plus vers l’intelligence artificielle comme outil pour protéger l’infrastructure blockchain, et l’approche de la Ethereum Foundation montre à la fois les capacités et les limites du travail de sécurité assisté par IA.

Des agents IA révèlent un panic déclenchable à distance dans la bibliothèque libp2p gossipsub

La flotte d’agents IA coordonnée a identifié un panic déclenchable à distance dans la bibliothèque libp2p gossipsub, un élément critique de l’infrastructure de communications pair-à-pair d’Ethereum. La vulnérabilité précise a été corrigée et divulguée publiquement sous le numéro CVE-2026-34219. La découverte illustre la capacité des agents IA à identifier de véritables problèmes de sécurité dans du code de protocole complexe.

Le défi de la triage fait évoluer le workflow de sécurité : de la découverte à la vérification

L’équipe de sécurité des protocoles de la Ethereum Foundation indique que la partie la plus difficile du travail de sécurité assisté par IA n’est pas de trouver des bugs potentiels, mais de les trier rigoureusement afin de distinguer les problèmes réels des faux positifs. D’après l’équipe, « trouver des bugs n’était pas la surprise. La surprise, c’était à quel point si peu de travail a été nécessaire pour les trouver, et à quel point autant de travail a été consacré à distinguer les vrais bugs de ceux qui semblaient juste l’être ». L’équipe a indiqué que l’IA n’a pas remplacé le chercheur en sécurité, mais a déplacé le travail : le temps auparavant consacré à développer et poursuivre des hypothèses est désormais dédié à les juger à grande échelle. Cela inclut la construction de l’oracle, l’exécution du triage, la maintenance de la liste des problèmes connus et la gestion de la divulgation. Le goulot d’étranglement est passé de la détection de bugs à la confiance dans les résultats, un point que l’équipe identifie comme un meilleur endroit pour la contrainte, car le jugement humain compte le plus à ce stade.

Un système multi-agents organise des rôles pour la reconnaissance et la validation

Les agents IA ont été organisés en rôles spécifiques pour la reconnaissance, la chasse, le comblement des lacunes et la validation indépendante. Chaque vulnérabilité candidate exigeait une preuve reproductible sur du code réel. L’approche montre comment l’IA peut élargir la couverture de systèmes complexes, tout en maintenant la validation comme étape essentielle grâce au jugement humain.

FAQ

Quelle vulnérabilité les agents IA de la Ethereum Foundation ont-ils découverte dans du code de protocole ?

Les agents IA ont révélé un panic déclenchable à distance dans la bibliothèque libp2p gossipsub qui sous-tend les communications pair-à-pair d’Ethereum. Le problème a été corrigé et divulgué publiquement sous le numéro CVE-2026-34219.

Quel est le principal défi lié à l’utilisation d’agents IA pour la recherche en sécurité, selon la Ethereum Foundation ?

L’équipe de sécurité des protocoles de la Ethereum Foundation indique que la partie la plus difficile n’est pas de trouver des bugs potentiels, mais de les trier rigoureusement afin de séparer les problèmes réels des faux positifs. L’équipe a précisé que le goulot d’étranglement est passé de la détection de bugs à la confiance dans les résultats : le temps est désormais consacré à juger des hypothèses à grande échelle, à construire l’oracle, à exécuter le triage, à maintenir des listes de problèmes connus et à gérer la divulgation.

Comment les agents IA ont-ils été organisés dans l’effort de sécurité de la Ethereum Foundation ?

Les agents ont été organisés en rôles spécifiques pour la reconnaissance, la chasse, le comblement des lacunes et la validation indépendante, chaque vulnérabilité candidate nécessitant une preuve reproductible sur du code réel.