Haseeb Qureshi (Dragonfly) : un audit IA à 2 $ aurait pu détecter la faille de Coldcard

Haseeb Qureshi, managing partner de Dragonfly, estime que la vulnérabilité récemment corrigée sur le firmware du portefeuille bitcoin Coldcard illustre la façon dont l'intelligence artificielle rebat les cartes de l'économie de la cybersécurité. À mesure que le coût de découverte des failles s'effondre, les entreprises crypto devraient, selon lui, opposer des modèles d'IA de pointe à chaque version logicielle. À retenir - Coldcard a corrigé le 31 juillet une faille liée à la génération de seed, après qu'une IA l'aurait retrouvée en 8 minutes. - Pour Qureshi, des audits IA à 2 $ pourraient favoriser les acteurs disposant de budgets sécurité plus élevés. - Il recommande des contrôles systématiques par IA de pointe à chaque release, alors que la découverte de failles peut tomber à quelques minutes. Une faille Coldcard qui pousse à tester chaque release Qureshi avertit que la découverte de vulnérabilités devient si peu coûteuse que la sécurité dépendra de plus en plus de la volonté des entreprises de dépenser avant les attaquants. Il réagissait à des tests indiquant que des modèles d'IA ont redécouvert en quelques minutes une faiblesse critique du firmware du wallet Coldcard. "La cybersécurité, c'est désormais une question de dépenses", a-t-il écrit sur X. Selon lui, l'enjeu central est l'écart entre l'investissement des développeurs en tests assistés par IA et les moyens des attaquants. Coldcard a signalé une anomalie d'entropie affectant les seeds créées avec certaines versions de firmware. Le bug amenait certains appareils à s'appuyer sur un générateur logiciel déterministe au lieu de la source matérielle d'aléa prévue. Coinkite a publié des mises à jour d'urgence le 31 juillet et a demandé aux utilisateurs concernés de générer de nouvelles seeds et de transférer leurs fonds. La seule installation d'un nouveau firmware ne corrige pas une seed déjà créée. Des tests de reproduction en quelques minutes Un essai aurait mis au jour la faille avec Claude Code d'Anthropic en environ huit minutes. Qureshi a toutefois précisé que l'accès à Internet a pu influencer le résultat, en exposant potentiellement le modèle à des informations préexistantes sur le bug. Un autre test, sans accès au web et mené avec GLM 5.2, aurait reproduit la vulnérabilité en près de 20 minutes. À partir des coûts d'entrée et de sortie du modèle, Qureshi évalue le coût de l'audit à environ 2 $. "Deux dollars de durcissement via l'IA auraient détecté ce bug. Aucune excuse", a-t-il commenté. Il propose également un nouvel indicateur, le "Cost of Discovery" (CoD), destiné à estimer le coût nécessaire pour qu'un modèle d'IA de pointe reproduise une vulnérabilité de manière indépendante. Pression accrue sur les petits acteurs L'épisode pourrait avoir des effets plus larges sur le marché des hardware wallets. Qureshi estime que les grands fournisseurs partiront avec un avantage, capables d'investir davantage dans les tests automatisés, les audits et le durcissement des releases. À l'inverse, les petites structures pourraient peiner à suivre des attaquants en mesure de scanner du code en continu pour un coût marginal. Il recommande aux startups qui conçoivent des wallets, des smart contracts ou tout produit protégeant des fonds de réaliser des revues de sécurité par IA avant chaque mise en production. Qureshi remet aussi en cause une idée répandue autour de la sécurité open source : rendre le code public peut protéger contre des développeurs malveillants, mais ne protège pas automatiquement contre les attaquants. L'IA sert les deux camps : elle abaisse le prix de la découverte de failles, tout en offrant des outils défensifs plus puissants. "Nous n'avons pas le choix, il faut s'adapter", conclut-il.