L'IA a trouvé un bug Ethereum qui pourrait mettre les validateurs hors ligne — Les humains ont dû prouver qu'il était réel

La Fondation Ethereum a utilisé des agents d'IA contre son code

La Fondation Ethereum a lâché des agents d'intelligence artificielle (IA) coordonnés sur le logiciel de base d'Ethereum et les a utilisés pour découvrir une faille sérieuse. Les agents ont examiné le code des systèmes qui maintient la synchronisation des nombreux nœuds du réseau. Travaillant en parallèle, ils ont mis en évidence CVE-2026-34219, un plantage déclenchable à distance dans gossipsub, la couche pair-à-pair que les clients de consensus utilisent pour transmettre des messages entre les nœuds. L'équipe de sécurité des protocoles de la Fondation a publié ses notes de terrain sur le travail le 9 juillet 2026.

La faille pourrait faire planter les nœuds validateurs à distance

La vulnérabilité permettait à un système externe de déclencher un calcul impossible à l'intérieur du logiciel du nœud. Le nœud affecté se fermait alors et restait hors ligne jusqu'à ce qu'un opérateur le redémarre manuellement. Comme gossipsub transporte le trafic sur lequel les clients de consensus comptent, un seul message conçu pourrait mettre les nœuds validateurs hors ligne à travers le réseau. Le réseau de preuve d'enjeu d'Ethereum fonctionne à travers des milliers de nœuds indépendants, donc un défaut qu'un message peut déclencher de n'importe où a une portée large. Des médias de sécurité ont rapporté que les développeurs avaient corrigé la faille dans la version 0.49.4 de libp2p-gossipsub, et que les opérateurs sur des versions plus anciennes devraient mettre à jour.

Prouver les bugs était plus difficile que de les trouver

La Fondation a déclaré que la découverte était la partie facile. Selon les notes de terrain, un agent construit par Anthropic a produit environ 1 000 rapports candidats, et ses découvertes les plus solides se sont révélées vraies environ 86% du temps. Des examinateurs humains devaient encore lire chaque rapport et décider lequel décrivait un véritable bug. La Fondation a déclaré qu'elle ne publierait pas son propre taux d'acceptation, mais a précisé que ce filtrage, et non la recherche, était le goulot d'étranglement.

"La surprise était de voir combien peu de travail a été consacré à les trouver, et combien a été consacré à distinguer les vrais bugs de ceux qui semblaient juste réels", 9 juillet 2026. — Nikos Baxevanis, Sécurité des Protocoles, Fondation Ethereum

Les agents ont changé de rôle selon les besoins du travail

Les agents ne suivaient pas de scripts fixes. Ils prenaient des rôles tels que reconnaissance, chasse, comblement de lacunes et validation, changeant à mesure que chaque tâche l'exigeait. La Fondation a également décrit trois types de faux positifs qui ont gaspillé le temps des examinateurs. L'un était un plantage qui n'apparaissait que dans une version de débogage et disparaissait une fois que le logiciel fonctionnait comme prévu. Un autre était un reproducer construit à partir d'une valeur interne qu'aucune entrée réelle ne pourrait jamais créer. Un troisième était une preuve de vérification formelle qui a réussi, mais qui ne prouvait pas ce que les examinateurs avaient prévu.

Le résultat indique un nouveau flux de travail de sécurité

L'épisode suggère que l'IA peut élargir la recherche de bugs de protocole sans remplacer les personnes qui les confirment. La Fondation a présenté le triage comme le véritable produit du travail, arguant que des résultats fiables dépendent toujours du jugement d'experts. Elle a déclaré que les mêmes agents qui signalent de réels risques génèrent également du bruit que seul un humain peut écarter.

L'Ether a montré peu de réaction de prix aux notes

L'Ether (ETH) se négociait à environ 1 801 $ au moment de la publication, en hausse de 0,9 % au cours des 24 dernières heures par rapport à la clôture précédente (CoinPaprika, 11 juillet 2026). Le jeton avait une valeur de marché proche de 217 milliards de dollars, et la divulgation de sécurité n'avait pas d'effet clair sur son prix.

Source principale : Source ↗