Pendant des ann\u00e9es, l’intelligence artificielle a \u00e9t\u00e9 vendue \u00e0 la crypto comme un simple gain de productivit\u00e9 : coder plus vite, r\u00e9sumer un livre blanc, g\u00e9n\u00e9rer un tableau de bord. En 2026, elle est devenue autre chose, une affaire de s\u00e9curit\u00e9, et elle tranche des deux c\u00f4t\u00e9s. Les attaquants disposent d\u00e9sormais d’agents capables d’analyser un smart contract, d’en r\u00e9diger l’exploit et de frapper \u00e0 la vitesse de la machine ; les \u00e9quipes de d\u00e9veloppement, elles, livrent du code \u00e9crit en partie par des mod\u00e8les qui \u00e9chouent aux tests de s\u00e9curit\u00e9 pr\u00e8s d’une fois sur deux. Au milieu de ce basculement, CertiK, le plus gros auditeur de la blockchain, a pass\u00e9 l’ann\u00e9e \u00e0 se reconstruire autour d’une id\u00e9e aussi simple que risqu\u00e9e : combattre l’IA par l’IA.<\/p>
CertiK n’a pas bascul\u00e9 d’un coup ; le virage s’est d\u00e9roul\u00e9 tout au long de 2026. Le 7 avril, la soci\u00e9t\u00e9 new-yorkaise a lanc\u00e9 AI Auditor, un moteur d’analyse automatis\u00e9e du code affichant un taux de d\u00e9tection exact cumul\u00e9 de 88,6 % face \u00e0 35 incidents r\u00e9els survenus dans l’ann\u00e9e, selon l’annonce du produit<\/a>. Le 28 mai, elle a encha\u00een\u00e9 avec AI Skill Scanner, un outil qui note les comp\u00e9tences (skills) confi\u00e9es aux agents IA avant qu’elles ne s’ex\u00e9cutent. Entre les deux, elle a diffus\u00e9 des int\u00e9grations open source pour glisser ses signaux de s\u00e9curit\u00e9 directement dans les assistants de codage. Le message est clair : puisque l’attaque et le d\u00e9veloppement passent d\u00e9sormais par l’IA, la d\u00e9fense doit y passer aussi.<\/p> Le calendrier n’a rien d’un hasard. Dans son bilan de fin d’ann\u00e9e, CertiK pla\u00e7ait les deepfakes en temps r\u00e9el, le phishing, les compromissions de cha\u00eene logicielle et les failles cross-chain en t\u00eate des menaces de 2026. Natalie Newson, enqu\u00eatrice blockchain senior de la soci\u00e9t\u00e9, y r\u00e9sumait le nouveau paysage sans d\u00e9tour : \u00ab Il existe d\u00e9sormais des deepfakes plus convaincants, des agents d’attaque autonomes et une IA agentique capable d’analyser seule des smart contracts \u00e0 la recherche de bugs, de r\u00e9diger du code d’exploitation et d’ex\u00e9cuter des attaques \u00e0 la vitesse de la machine \u00bb, d\u00e9clarait-elle<\/a>. Le d\u00e9cor est brutal : les pertes de l’industrie se comptent de nouveau en centaines de millions, et le profil des attaques se d\u00e9forme sous l’effet de l’automatisation. Reste la question qui traverse tout cet article : peut-on vraiment auditer avec l’IA le code que l’IA \u00e9crit, et s\u00e9curiser les agents \u00e0 qui l’on tend d\u00e9sormais un portefeuille ?<\/p> Pour mesurer l’enjeu du pari, il faut rappeler ce qu’est CertiK. La soci\u00e9t\u00e9 est n\u00e9e en 2017 du travail de deux universitaires, Ronghui Gu (professeur \u00e0 Columbia) et Zhong Shao (professeur et directeur du d\u00e9partement d’informatique \u00e0 Yale). Leur point de d\u00e9part n’\u00e9tait pas la blockchain mais CertiKOS, le premier noyau de syst\u00e8me d’exploitation multicoeur enti\u00e8rement v\u00e9rifi\u00e9 de fa\u00e7on formelle ; le nom CertiK vient de l\u00e0 (Certified Kernel). Ils ont ensuite appliqu\u00e9 cette culture de la preuve math\u00e9matique aux smart contracts.<\/p> Depuis, CertiK est devenu un poids lourd. La soci\u00e9t\u00e9 revendique plus de 5 000 clients et des dizaines de milliers de projets audit\u00e9s, a lev\u00e9 autour de 265 millions d’euros (296 millions de dollars) pour une valorisation d’environ 1,8 milliard d’euros (2 milliards de dollars), avec Binance, Coinbase, Insight Partners ou Tiger Global au capital, selon Crunchbase<\/a>. Son outil de surveillance continue, Skynet<\/a>, veille sur des projets dont la capitalisation cumul\u00e9e approche 500 milliards de dollars (autour de 440 milliards d’euros). Autrement dit, quand CertiK change de doctrine, une bonne partie de l’industrie regarde. Et la doctrine, en 2026, c’est l’IA.<\/p> AI Auditor est le coeur du dispositif. CertiK le pr\u00e9sente non pas comme un rempla\u00e7ant de l’auditeur humain, mais comme une premi\u00e8re ligne : d\u00e9tection de base, tri avant audit (pre-audit triage) et surveillance continue, afin de lib\u00e9rer les experts pour les vuln\u00e9rabilit\u00e9s complexes et les vecteurs d’attaque in\u00e9dits. L’outil a \u00e9t\u00e9 rod\u00e9 plus de six mois en conditions r\u00e9elles avant sa sortie publique, toujours selon l’annonce de CertiK<\/a>.<\/p> Le chiffre mis en avant, 88,6 % de d\u00e9tection exacte sur 35 incidents de 2026, s’accompagne d’un argument moins visible mais d\u00e9cisif : le faible bruit. Un scanner qui hurle \u00e0 la faille sur chaque ligne devient vite inutilisable, parce que les d\u00e9veloppeurs finissent par ignorer ses alertes. CertiK insiste donc sur un compromis entre sensibilit\u00e9 et pr\u00e9cision. Ronghui Gu formule le d\u00e9placement du probl\u00e8me ainsi : \u00ab La question n’est plus simplement de savoir si l’IA peut trouver des vuln\u00e9rabilit\u00e9s, mais si elle peut r\u00e9ellement aider les \u00e9quipes de d\u00e9veloppement \u00e0 faire remonter, plus t\u00f4t, les probl\u00e8mes de s\u00e9curit\u00e9 qui m\u00e9ritent d’\u00eatre trait\u00e9s. \u00bb<\/p> Ce \u00ab plus t\u00f4t \u00bb est le vrai pari. Un audit classique est une photographie, prise une fois, souvent des mois avant le d\u00e9ploiement final. AI Auditor vise \u00e0 transformer cette photo en flux : relire un diff de mise \u00e0 jour, trier un d\u00e9p\u00f4t avant l’intervention humaine, rev\u00e9rifier apr\u00e8s coup. Sur le papier, c’est exactement le maillon qui manquait, puisque l’essentiel des pertes de 2026 ne vient pas de contrats jamais audit\u00e9s, mais de code modifi\u00e9 apr\u00e8s l’audit ou d’erreurs que personne n’est revenu v\u00e9rifier.<\/p> Si AI Auditor regarde le code, AI Skill Scanner regarde les agents. Lanc\u00e9 le 28 mai 2026, il \u00e9value les skills de tiers, ces briques de capacit\u00e9s que l’on greffe \u00e0 un agent IA, avant leur installation, leur publication ou leur d\u00e9ploiement en entreprise. Le scanner rend un score chiffr\u00e9 de 0 \u00e0 100, un verdict (pass, warn ou fail) et une liste de constats class\u00e9s par gravit\u00e9, avec une pr\u00e9cision annonc\u00e9e jusqu’\u00e0 90,5 % dans l’identification des risques<\/a>.<\/p> Ce qu’il cherche en dit long sur la nouvelle surface d’attaque : comportements malveillants dissimul\u00e9s, acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es, ex\u00e9cutions autonomes risqu\u00e9es, demandes de donn\u00e9es superflues, appels d’API non pr\u00e9vus et, surtout, capacit\u00e9s de mouvement de fonds. Gu r\u00e9sume l’objectif : \u00ab CertiK Skill Scanner a \u00e9t\u00e9 con\u00e7u pour \u00e9tablir une couche de confiance normalis\u00e9e avant l’ex\u00e9cution, afin d’aider les utilisateurs et les plateformes \u00e0 rep\u00e9rer les risques cach\u00e9s avant que des donn\u00e9es, des actifs ou des syst\u00e8mes sensibles ne soient expos\u00e9s. \u00bb Le mot important est \u00ab avant \u00bb : toute la logique de 2026 chez CertiK consiste \u00e0 d\u00e9placer le contr\u00f4le en amont de l’ex\u00e9cution, qu’il s’agisse d’un contrat ou d’un agent, parce qu’une fois l’ordre pass\u00e9 sur une blockchain, il est irr\u00e9versible.<\/p>CertiK, de l’universit\u00e9 \u00e0 l’auditeur star<\/h2>
AI Auditor : relire le code avant l’humain<\/h2>
AI Skill Scanner : encadrer les agents avant qu’ils n’agissent<\/h2>