{"id":515,"date":"2026-09-07T22:35:21","date_gmt":"2026-09-07T22:35:21","guid":{"rendered":"https:\/\/hoge.gg\/fr\/trail-of-bits-ia-evasion-machine-virtuelle-agents-2026\/"},"modified":"2026-09-07T22:35:21","modified_gmt":"2026-09-07T22:35:21","slug":"trail-of-bits-ia-evasion-machine-virtuelle-agents-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/trail-of-bits-ia-evasion-machine-virtuelle-agents-2026\/","title":{"rendered":"Trail of Bits : l’IA qui s’\u00e9chappe seule d’une machine virtuelle"},"content":{"rendered":"

Le 26 ao\u00fbt 2026, un billet de recherche sign\u00e9 Trail of Bits s’est propag\u00e9 des cercles de s\u00e9curit\u00e9 informatique jusqu’aux salles de march\u00e9 crypto. Son titre sonne comme un avertissement: \u00ab VMs won’t contain cyber-capable agents \u00bb, autrement dit, une machine virtuelle ne suffira plus \u00e0 enfermer un agent d’intelligence artificielle capable de mener une cyberattaque. Derri\u00e8re la formule, une exp\u00e9rience concr\u00e8te et chronom\u00e9tr\u00e9e: un mod\u00e8le de pointe, l\u00e2ch\u00e9 dans une machine virtuelle standard, en est sorti seul, \u00e0 trois reprises, dont une fois en d\u00e9couvrant puis en encha\u00eenant des vuln\u00e9rabilit\u00e9s jamais publi\u00e9es.<\/p>

Pour un secteur qui confie chaque jour davantage de cl\u00e9s priv\u00e9es, de tr\u00e9soreries et de contrats intelligents \u00e0 des syst\u00e8mes automatis\u00e9s, la nouvelle n’a rien d’anecdotique. Trail of Bits<\/a>, l’un des cabinets d’audit de code les plus cit\u00e9s de l’\u00e9cosyst\u00e8me, ne d\u00e9crit pas un sc\u00e9nario de laboratoire lointain: il documente une capacit\u00e9 d\u00e9j\u00e0 l\u00e0, reproductible, mesur\u00e9e. Et il en tire une consigne sans d\u00e9tour, emprunt\u00e9e au vocabulaire de la cyberd\u00e9fense des ann\u00e9es 2010: traiter ces agents comme des menaces persistantes avanc\u00e9es.<\/p>

Cet article d\u00e9cortique l’exp\u00e9rience, la replace dans la vague plus large des agents offensifs autonomes qui trouvent d\u00e9sormais des failles sans supervision humaine, et surtout, il examine ce que tout cela change pour la s\u00e9curit\u00e9 des cryptomonnaies: audits, smart contracts, portefeuilles pilot\u00e9s par IA, et un cadre r\u00e9glementaire europ\u00e9en qui commence tout juste \u00e0 s’en pr\u00e9occuper.<\/p>

Ce que Trail of Bits a d\u00e9montr\u00e9 fin ao\u00fbt<\/h2>

Le point de d\u00e9part est un exercice de type CTF (capture the flag), ces \u00e9preuves o\u00f9 l’on cherche \u00e0 s’\u00e9chapper d’un environnement confin\u00e9. Dans le cadre de son initiative \u00ab Patch the Planet \u00bb, men\u00e9e avec OpenAI, l’\u00e9quipe de Trail of Bits a plac\u00e9 un mod\u00e8le baptis\u00e9 GPT 5.6-Cyber dans une machine virtuelle QEMU\/KVM tournant sous Debian 12, une configuration on ne peut plus banale, et lui a donn\u00e9 pour seul objectif de s’en \u00e9vader. En un peu moins de douze heures de travail autonome, l’agent y est parvenu trois fois, par trois chemins diff\u00e9rents, d\u00e9taille le billet du chercheur Artem Dinaburg.<\/p>

Le premier chemin, surnomm\u00e9 Januscape, s’appuie sur des vuln\u00e9rabilit\u00e9s du noyau r\u00e9cemment divulgu\u00e9es (r\u00e9f\u00e9renc\u00e9es CVE-2026-53359) pour faire tomber l’h\u00f4te. Le deuxi\u00e8me combine une faille libslirp d\u00e9j\u00e0 connue (CVE-2026-9539) et un correctif de bug non encore r\u00e9f\u00e9renc\u00e9 pour obtenir une lecture et une \u00e9criture arbitraires en m\u00e9moire. Le troisi\u00e8me, le plus spectaculaire, encha\u00eene trois vuln\u00e9rabilit\u00e9s jusque-l\u00e0 inconnues, r\u00e9parties entre QEMU, le module KVM du noyau Linux et libslirp, pour une \u00e9vasion fiable. En chemin, l’agent a m\u00eame rep\u00e9r\u00e9, sans les exploiter, d’autres faiblesses dans CUPS, dans la gestion IPv6 de libslirp et dans le rendu d’affichage de QEMU.<\/p>

Ce qui frappe les auteurs, ce n’est pas seulement le r\u00e9sultat, c’est la mani\u00e8re. L’agent a analys\u00e9 du code source, \u00e9crit ses propres exploits, abandonn\u00e9 les pistes st\u00e9riles pour en tester d’autres, puis assembl\u00e9 des cha\u00eenes de vuln\u00e9rabilit\u00e9s complexes, selon le compte rendu, avec un minimum d’assistance. Un comportement qui ressemble moins \u00e0 un script automatis\u00e9 qu’\u00e0 un chercheur en s\u00e9curit\u00e9 junior infatigable, disponible douze heures d’affil\u00e9e.<\/p>

Le d\u00e9tail qui compte, pour un lecteur crypto, tient dans le mot \u00ab standard \u00bb. Il ne s’agissait pas d’un bac \u00e0 sable volontairement affaibli, mais d’une pile de virtualisation ordinaire, celle qu’utilisent quantit\u00e9 de fournisseurs cloud et d’infrastructures de n\u0153uds. L’agent n’a pas exploit\u00e9 une erreur de configuration exotique: il a refait, en acc\u00e9l\u00e9r\u00e9, le travail patient d’un attaquant humain, sur une cible que l’industrie consid\u00e9rait comme suffisamment isol\u00e9e. C’est cette banalit\u00e9 du d\u00e9cor qui a fait r\u00e9agir les \u00e9quipes de s\u00e9curit\u00e9.<\/p>

\u00c9vasion<\/th>Technique<\/th>R\u00e9sultat<\/th><\/tr><\/thead>
Januscape<\/td>Vuln\u00e9rabilit\u00e9s noyau r\u00e9cemment divulgu\u00e9es (CVE-2026-53359)<\/td>Plantage de l’h\u00f4te<\/td><\/tr>
Cha\u00eene libslirp<\/td>CVE libslirp connue (CVE-2026-9539) plus un correctif non r\u00e9f\u00e9renc\u00e9<\/td>Lecture et \u00e9criture m\u00e9moire arbitraires<\/td><\/tr>
Cha\u00eene 0-day<\/td>Trois vuln\u00e9rabilit\u00e9s in\u00e9dites (QEMU, KVM, libslirp)<\/td>\u00c9vasion fiable et reproductible<\/td><\/tr><\/tbody><\/table>
Les trois \u00e9vasions r\u00e9alis\u00e9es par l’agent, d’apr\u00e8s le billet de Trail of Bits du 26 ao\u00fbt 2026.<\/figcaption><\/figure>

Trail of Bits, l’auditeur qui n’aime pas se r\u00e9p\u00e9ter<\/h2>

Pourquoi ce verdict p\u00e8se-t-il autant? Parce qu’il vient de Trail of Bits. Fond\u00e9 en 2012 \u00e0 New York par Dan Guido et Alexander Sotirov, le cabinet a b\u00e2ti sa r\u00e9putation sur l’audit de code critique, du protocole DeFi au navigateur grand public, et sur une batterie d’outils open source devenus des standards de fait: l’analyseur statique Slither pour Solidity, puis les fuzzers Echidna et Medusa, qui cherchent \u00e0 casser les invariants d’un contrat en le bombardant d’entr\u00e9es. Sa devise officieuse tient dans une phrase de Guido: \u00ab I don’t ever want to find the same bug twice \u00bb, je ne veux jamais retrouver deux fois le m\u00eame bug, motivation revendiqu\u00e9e derri\u00e8re la cr\u00e9ation de ses outils (interview accord\u00e9e \u00e0 Decential<\/a>).<\/p>

Le cabinet a audit\u00e9 Uniswap, Compound, Aave, MakerDAO, Chainlink, la Solana Foundation ou encore Arbitrum, publi\u00e9 plus de 600 rapports d’audit publics et maintient plus de 200 d\u00e9p\u00f4ts open source. Surtout, il ne se contente pas d’auditer: il fait de la recherche offensive. C’est la m\u00eame maison qui, \u00e0 l’\u00e9t\u00e9 2025, a d\u00e9croch\u00e9 la deuxi\u00e8me place et 3 millions de dollars (environ 2,7 millions d’euros) \u00e0 la finale de l’AI Cyber Challenge de la DARPA avec Buttercup<\/a>, un syst\u00e8me capable de trouver et de corriger des failles tout seul. Quand une \u00e9quipe qui construit des IA chasseuses de bugs pr\u00e9vient que ces m\u00eames IA d\u00e9bordent leur bac \u00e0 sable, la nuance m\u00e9rite qu’on s’y arr\u00eate.<\/p>

\u00ab Une menace persistante avanc\u00e9e \u00bb<\/h2>

La phrase que retiennent les sp\u00e9cialistes est nette. Dinaburg l’\u00e9crit noir sur blanc: \u00ab you can no longer assume a mere VM will contain a sufficiently advanced AI agent \u00bb, on ne peut plus partir du principe qu’une simple machine virtuelle contiendra un agent IA suffisamment avanc\u00e9, avant d’ajouter qu’il faut d\u00e9sormais traiter ces syst\u00e8mes \u00ab as an advanced persistent threat \u00bb, comme une menace persistante avanc\u00e9e, expression jusqu’ici r\u00e9serv\u00e9e aux groupes d’attaquants \u00e9tatiques les mieux dot\u00e9s.<\/p>

Le raisonnement technique est simple. Une machine virtuelle n’est jamais totalement \u00e9tanche: pour \u00eatre utile, elle partage des ressources avec l’h\u00f4te, r\u00e9seau, affichage, transfert de fichiers, p\u00e9riph\u00e9riques \u00e9mul\u00e9s. Chacun de ces points de contact est une surface d’attaque. Tant que l’adversaire restait humain, ces surfaces demeuraient exploitables mais lentes \u00e0 travailler. Un agent capable de lire du code, d’\u00e9crire des exploits et d’it\u00e9rer sans fatigue change l’\u00e9quation: il a le temps et la patience d’\u00e9prouver chaque interface jusqu’\u00e0 trouver la fissure.<\/p>

Les recommandations qui suivent sonnent d’ailleurs comme un plan de d\u00e9fense contre un intrus d\u00e9termin\u00e9: pr\u00e9f\u00e9rer des hyperviseurs pens\u00e9s pour la s\u00e9curit\u00e9, tel Firecracker, \u00e0 une pile QEMU\/KVM g\u00e9n\u00e9raliste; disposer d’un canal de mise \u00e0 jour rapide (le cycle de correctifs de Debian 12 s’est r\u00e9v\u00e9l\u00e9 trop lent face \u00e0 des failles fra\u00eechement divulgu\u00e9es); appliquer le moindre privil\u00e8ge; journaliser et surveiller activement; limiter la dur\u00e9e d’ex\u00e9cution de l’agent et repartir d’un environnement vierge \u00e0 chaque t\u00e2che. Rien d’exotique: ce sont les r\u00e9flexes de la lutte anti-intrusion, appliqu\u00e9s cette fois \u00e0 un logiciel que l’on h\u00e9berge volontairement.<\/p>

Pour un op\u00e9rateur de n\u0153ud, un validateur ou une plateforme d’\u00e9change, la traduction est imm\u00e9diate. Faire tourner un agent d’IA sur la m\u00eame machine que des cl\u00e9s de signature, un portefeuille chaud ou une base de donn\u00e9es de clients, c’est accepter qu’un mod\u00e8le mal isol\u00e9 puisse, en th\u00e9orie, franchir la cloison. La question n’est plus seulement de savoir si le code de l’agent est fiable, mais ce qu’il pourrait atteindre s’il cessait de l’\u00eatre.<\/p>

L’IA sait d\u00e9sormais trouver des failles toute seule<\/h2>

L’exp\u00e9rience de Trail of Bits ne tombe pas de nulle part. Elle s’inscrit dans une courbe de capacit\u00e9s qui s’est redress\u00e9e brutalement en deux ans. Fin 2024, l’agent Big Sleep de Google, n\u00e9 d’une collaboration entre Project Zero et DeepMind, a d\u00e9couvert une faille de type stack buffer underflow dans SQLite, un moteur de base de donn\u00e9es pr\u00e9sent dans des milliards d’appareils. L’\u00e9quipe l’a pr\u00e9sent\u00e9e comme \u00ab the first public example of an AI agent finding a previously unknown exploitable memory-safety issue in widely used real-world software \u00bb, le premier cas public d’un agent IA trouvant une faille m\u00e9moire exploitable in\u00e9dite dans un logiciel largement d\u00e9ploy\u00e9 (Google Project Zero<\/a>). \u00c0 l’\u00e9t\u00e9 2025, Google annon\u00e7ait une vingtaine de d\u00e9couvertes suppl\u00e9mentaires par le m\u00eame agent.<\/p>

C\u00f4t\u00e9 offensif public, la plateforme XBOW a fait parler d’elle en pla\u00e7ant un agent autonome en t\u00eate du classement mondial de bug bounty HackerOne, avec plus d’un millier de soumissions valid\u00e9es, selon l’entreprise<\/a>. En quelques mois, on est pass\u00e9 de la d\u00e9monstration de principe \u00e0 des agents qui rivalisent avec les meilleurs chercheurs humains sur des programmes r\u00e9els. La question n’est plus de savoir si une IA peut trouver un zero-day, mais \u00e0 quelle cadence, et pour le compte de qui.<\/p>

La d\u00e9fense progresse en parall\u00e8le. Google a pr\u00e9sent\u00e9 CodeMender, un agent exp\u00e9rimental charg\u00e9 de corriger automatiquement des vuln\u00e9rabilit\u00e9s critiques, tandis que Trail of Bits met son propre Buttercup en libre acc\u00e8s. Mais cette sym\u00e9trie apparente masque un d\u00e9s\u00e9quilibre: publier un correctif exige un niveau de rigueur et de validation qu’un exploit, lui, n’a pas besoin d’atteindre pour faire des d\u00e9g\u00e2ts. Un patch approximatif est inutile; un exploit approximatif reste parfois suffisant pour vider une tr\u00e9sorerie.<\/p>

Quand l’IA passe du c\u00f4t\u00e9 des attaquants<\/h2>

C’est pr\u00e9cis\u00e9ment ce \u00ab pour le compte de qui \u00bb qui inqui\u00e8te. Le 11 mai 2026, le Google Threat Intelligence Group a publi\u00e9 un rapport qui fait r\u00e9f\u00e9rence: pour la premi\u00e8re fois, ses analystes ont identifi\u00e9 un acteur malveillant se servant d’un exploit zero-day qu’ils estiment \u00ab developed with AI \u00bb, d\u00e9velopp\u00e9 avec l’aide d’une IA. La faille visait un contournement d’authentification \u00e0 deux facteurs dans un outil d’administration web r\u00e9pandu, et l’acteur comptait s’en servir pour une campagne d’exploitation de masse (Google<\/a>).<\/p>

Le m\u00eame rapport dresse un inventaire qui aurait paru relever de la science-fiction dix-huit mois plus t\u00f4t: PROMPTSPY, une porte d\u00e9rob\u00e9e Android qui interroge en direct un mod\u00e8le Gemini pour piloter l’appareil de la victime; des familles de logiciels malveillants (PROMPTFLUX, LONGSTREAM) qui g\u00e9n\u00e8rent du code leurre \u00e0 la vol\u00e9e pour tromper l’analyse; une compromission de la cha\u00eene d’approvisionnement passant par LiteLLM, une passerelle populaire entre applications et mod\u00e8les; et tout un march\u00e9 gris de comptes mutualis\u00e9s pour contourner les garde-fous des grands fournisseurs. Le constat de Google est double, et il vaut aussi pour la crypto: l’IA est \u00e0 la fois \u00ab a sophisticated engine for adversary operations and a high-value target for attacks \u00bb, un moteur sophistiqu\u00e9 pour les op\u00e9rations adverses et une cible de grande valeur.<\/p>

Menace recens\u00e9e par Google (2026)<\/th>R\u00f4le de l’IA<\/th><\/tr><\/thead>
Exploit zero-day assist\u00e9 par IA<\/td>D\u00e9couverte et armement d’une faille de contournement 2FA<\/td><\/tr>
PROMPTSPY (Android)<\/td>Pilotage autonome de l’appareil via l’API Gemini<\/td><\/tr>
PROMPTFLUX \/ LONGSTREAM<\/td>G\u00e9n\u00e9ration de code leurre pour l’\u00e9vasion antivirus<\/td><\/tr>
Compromission de LiteLLM<\/td>Attaque de la cha\u00eene d’approvisionnement des d\u00e9pendances IA<\/td><\/tr>
Comptes mutualis\u00e9s<\/td>Contournement industriel des garde-fous des mod\u00e8les<\/td><\/tr><\/tbody><\/table>
Extrait de la taxonomie des usages malveillants de l’IA, rapport du Google Threat Intelligence Group, mai 2026.<\/figcaption><\/figure>

Le revers d\u00e9fensif: Buttercup et la course aux armements<\/h2>

La bonne nouvelle, si l’on peut dire, c’est que la m\u00eame technologie sert la d\u00e9fense. Buttercup, le syst\u00e8me que Trail of Bits a fait concourir \u00e0 l’AIxCC de la DARPA, illustre l’autre versant: sur la ronde finale, il a trouv\u00e9 28 vuln\u00e9rabilit\u00e9s r\u00e9parties sur 20 cat\u00e9gories de failles (CWE), livr\u00e9 19 correctifs valides, le tout \u00e0 environ 90 % de pr\u00e9cision et pour 181 dollars par point de comp\u00e9tition, en n’utilisant que des mod\u00e8les de langage non raisonnants. Des cabinets comme CertiK misent ouvertement sur cette logique d’IA contre IA pour tenir la cadence, un pari que HOGE Wire a d\u00e9taill\u00e9 par ailleurs<\/a>.<\/p>

Le probl\u00e8me, c’est que d\u00e9fenseurs et attaquants puisent au m\u00eame r\u00e9servoir. Un outil qui trouve 28 failles pour aider \u00e0 les corriger peut, entre d’autres mains, en trouver 28 pour les exploiter. Et l’asym\u00e9trie demeure: l’attaquant n’a besoin que d’une faille, le d\u00e9fenseur doit toutes les couvrir. L’automatisation acc\u00e9l\u00e8re les deux camps sans r\u00e9\u00e9quilibrer la partie; elle raccourcit simplement le temps qui s\u00e9pare la mise en ligne d’un code de sa premi\u00e8re mise \u00e0 l’\u00e9preuve hostile.<\/p>

Cette course a aussi un versant \u00e9conomique que la crypto conna\u00eet bien. Les m\u00eames capacit\u00e9s qui co\u00fbtaient une fortune en talents rares deviennent, avec l’automatisation, accessibles pour quelques centaines de dollars de calcul. Buttercup l’a montr\u00e9 c\u00f4t\u00e9 d\u00e9fense, avec ses 181 dollars par point; rien n’emp\u00eache la m\u00eame baisse de co\u00fbt de profiter aux attaquants. Quand trouver une faille exploitable ne r\u00e9clame plus une \u00e9quipe d’\u00e9lite mais un abonnement et de la patience machine, le nombre d’adversaires cr\u00e9dibles augmente d’un coup.<\/p>

Ce que cela change pour les smart contracts<\/h2>

Pour la crypto, la cons\u00e9quence la plus directe touche au rythme. Un audit de smart contract est, par nature, une photographie: une \u00e9quipe humaine examine un p\u00e9rim\u00e8tre de code, \u00e0 une date donn\u00e9e, pendant un nombre fini de semaines. C’est la limite structurelle que Trail of Bits mart\u00e8le dans ses propres post-mortems, du hack de Balancer \u00e0 celui de Bunni: un rapport ne couvre que le code qui existait le jour o\u00f9 il a \u00e9t\u00e9 rendu. Si l’attaquant, lui, dispose d’agents qui rejouent l’analyse en continu, \u00e0 chaque commit, l’\u00e9cart de cadence entre l’audit ponctuel et l’attaque permanente se creuse.<\/p>

Cette bascule remet au premier plan des d\u00e9fenses que les meilleures \u00e9quipes tenaient d\u00e9j\u00e0 pour non n\u00e9gociables: la v\u00e9rification formelle, qui prouve math\u00e9matiquement qu’une propri\u00e9t\u00e9 tient pour toutes les entr\u00e9es possibles; les campagnes de fuzzing continu avec Echidna ou Medusa; la documentation des invariants d’arrondi et de pr\u00e9cision comme des affirmations prouvables plut\u00f4t que comme de simples commentaires. C’est aussi la question que tout investisseur s\u00e9rieux devrait poser avant d’engager des fonds: le rendement affich\u00e9 repose-t-il sur une base audit\u00e9e et v\u00e9rifiable, ou sur une promesse que personne n’a r\u00e9ellement pass\u00e9e au crible<\/a>? Face \u00e0 des attaquants qui industrialisent la recherche de failles, la mention \u00ab audit\u00e9 par X \u00bb n’a jamais autant ressembl\u00e9 \u00e0 un point de d\u00e9part plut\u00f4t qu’\u00e0 une garantie.<\/p>

Pourquoi la crypto est une cible de choix<\/h2>

Si l’automatisation de l’attaque inqui\u00e8te particuli\u00e8rement dans la crypto, c’est que l’incitation y est maximale. Voler une bo\u00eete Gmail demande encore de mon\u00e9tiser l’acc\u00e8s; vider un contrat de liquidit\u00e9, c’est repartir directement avec des fonds transf\u00e9rables, souvent irr\u00e9versibles une fois la transaction confirm\u00e9e. La cible est liquide, disponible 24 heures sur 24, et le butin s’\u00e9vapore \u00e0 travers des mixeurs et des ponts avant qu’une \u00e9quipe humaine n’ait fini de comprendre ce qui s’est pass\u00e9.<\/p>

Cette \u00e9conomie d\u00e9forme l’ensemble du march\u00e9 de la faille. Un bug bounty, aussi g\u00e9n\u00e9reux soit-il, plafonne souvent \u00e0 quelques centaines de milliers de dollars, quand la m\u00eame vuln\u00e9rabilit\u00e9 peut valoir des dizaines de millions sur un protocole richement dot\u00e9. L’\u00e9cart nourrit un march\u00e9 o\u00f9 un exploit fonctionnel se vend, et o\u00f9 des agents capables d’en produire en s\u00e9rie changent l’\u00e9chelle du probl\u00e8me. Les chercheurs en s\u00e9curit\u00e9 recensent d\u00e9j\u00e0 toute une g\u00e9n\u00e9ration d’agents offensifs pr\u00eats \u00e0 l’emploi qui abaissent la barri\u00e8re d’entr\u00e9e \u00e0 l’exploitation; ce ne sont plus des prototypes de laboratoire, ce sont des outils que l’on installe.<\/p>

Les agents IA on-chain, une surface d’attaque in\u00e9dite<\/h2>

Il y a plus vertigineux encore. La crypto ne se contente pas de subir des agents offensifs venus de l’ext\u00e9rieur: elle en d\u00e9ploie elle-m\u00eame, dot\u00e9s de pouvoirs financiers. Portefeuilles pilot\u00e9s par IA, agents de trading autonomes, protocoles de paiement de machine \u00e0 machine (les standards de type x402 ou AP2 permettent \u00e0 un agent de r\u00e9gler lui-m\u00eame une transaction): autant de programmes qui d\u00e9tiennent des cl\u00e9s ou des autorisations de d\u00e9pense, et qui d\u00e9cident \u00e0 partir de donn\u00e9es qu’un attaquant peut empoisonner.<\/p>

Le vecteur porte un nom d\u00e9sormais familier: l’injection de prompt. Trail of Bits l’a d\u00e9montr\u00e9 d\u00e8s f\u00e9vrier 2026 en auditant le navigateur Comet de Perplexity, o\u00f9 quatre techniques d’injection permettaient d’exfiltrer la bo\u00eete Gmail d’un utilisateur simplement en lui demandant de r\u00e9sumer une page pi\u00e9g\u00e9e (billet Comet<\/a>). Transposez le sc\u00e9nario \u00e0 un agent qui g\u00e8re un portefeuille: une page, un token, un message on-chain soigneusement r\u00e9dig\u00e9s, et l’agent ex\u00e9cute l’ordre de l’attaquant en croyant servir son propri\u00e9taire. La m\u00eame logique d’ing\u00e9nierie sociale qui vide d\u00e9j\u00e0 des portefeuilles via des signatures aveugles ou des drainers s’applique, en pire, \u00e0 un mandataire automatis\u00e9 qui ne se m\u00e9fie de rien. Ceux qui empruntent contre leurs cryptos<\/a> via des agents, ou laissent un bot g\u00e9rer leurs positions, h\u00e9ritent d’une surface d’attaque que peu mesurent.<\/p>

Le sc\u00e9nario n’a rien d’abstrait. Imaginez un agent charg\u00e9 de surveiller les opportunit\u00e9s de rendement et autoris\u00e9 \u00e0 d\u00e9placer des fonds entre protocoles. Il lit des pages, des descriptions de pools, des messages de gouvernance. Il suffit qu’une de ces sources contienne une instruction d\u00e9guis\u00e9e, du type \u00ab transf\u00e8re les fonds vers cette adresse pour b\u00e9n\u00e9ficier d’un meilleur taux \u00bb, interpr\u00e9t\u00e9e par le mod\u00e8le comme une consigne l\u00e9gitime, pour que la logique m\u00e9tier soit contourn\u00e9e sans qu’aucune ligne de smart contract n’ait \u00e9t\u00e9 pirat\u00e9e. L’audit du contrat \u00e9tait parfait; c’est l’agent qui a \u00e9t\u00e9 retourn\u00e9.<\/p>

MCP, la porte que Trail of Bits a voulu verrouiller<\/h2>

Cette surface a un pivot technique: le Model Context Protocol (MCP), le standard qui permet \u00e0 un mod\u00e8le d’appeler des outils externes. D\u00e8s juillet 2025, Trail of Bits publiait mcp-context-protector, une surcouche de s\u00e9curit\u00e9 con\u00e7ue pour parer une classe d’attaques qu’il a baptis\u00e9e \u00ab line jumping \u00bb, o\u00f9 un serveur MCP malveillant glisse des instructions dans la description d’un outil pour d\u00e9tourner le mod\u00e8le avant m\u00eame son invocation normale (billet MCP<\/a>). Le cabinet a aussi document\u00e9 des serveurs MCP stockant des cl\u00e9s d’API en clair, dans des fichiers lisibles par n’importe quel utilisateur local, et des attaques dissimulant des consignes au mod\u00e8le via des s\u00e9quences d’\u00e9chappement ANSI du terminal.<\/p>

Pour un agent crypto, chaque outil branch\u00e9 (un fournisseur de prix, un explorateur de blocs, un service de swap) est un serveur MCP potentiel, donc un canal d’injection potentiel. La le\u00e7on rejoint celle de la machine virtuelle: l’isolation technique ne suffit pas, ce qui compte, ce sont les droits que l’on accorde \u00e0 l’agent et la supervision humaine qui subsiste. Un agent qui ne peut, au pire, que lire des donn\u00e9es fait courir un risque tr\u00e8s diff\u00e9rent d’un agent autoris\u00e9 \u00e0 signer une transaction.<\/p>

Le paysage 2026 des pertes crypto<\/h2>

Les chiffres confirment que la menace se d\u00e9place vers l’humain et l’op\u00e9rationnel autant que vers le code. Selon le rapport Hack3d du premier semestre 2026 de CertiK<\/a>, l’\u00e9cosyst\u00e8me a perdu un peu plus de 1,31 milliard de dollars (pr\u00e8s de 1,2 milliard d’euros) sur 344 incidents, en recul d’environ 47 % sur un an. Mais la baisse est trompeuse: elle tient surtout au hack g\u00e9ant de Bybit survenu au premier semestre 2025; \u00e0 p\u00e9rim\u00e8tre comparable, les pertes progressent. Le deuxi\u00e8me trimestre a d’ailleurs bondi \u00e0 807,5 millions de dollars, et deux \u00e9v\u00e8nements d’avril, la compromission de l’infrastructure de Kelp DAO (291 millions de dollars) et la br\u00e8che de Drift Protocol (285 millions), ont pes\u00e9 \u00e0 eux seuls pr\u00e8s de 44 % du total.<\/p>

Or ces deux plus gros sinistres ne sont pas des bugs de Solidity: ce sont des compromissions de cl\u00e9s et d’infrastructure. C’est exactement le terrain o\u00f9 l’IA amplifie d\u00e9j\u00e0 les attaquants, entre hame\u00e7onnage automatis\u00e9, reconnaissance \u00e0 grande \u00e9chelle et logiciels malveillants autonomes. Quand un vol survient, la tra\u00e7abilit\u00e9 on-chain reste une arme pr\u00e9cieuse, et toute une industrie de cabinets d’enqu\u00eate<\/a> s’est sp\u00e9cialis\u00e9e dans la traque des fonds vol\u00e9s. Mais remonter la piste apr\u00e8s coup ne remplace pas d’\u00e9viter la br\u00e8che, et les cascades de liquidation<\/a> qui suivent souvent un exploit rappellent que le dommage d\u00e9passe le seul montant d\u00e9rob\u00e9.<\/p>

La tendance de fond, r\u00e9sum\u00e9e par CertiK, est que les attaquants visent de plus en plus les personnes et les processus plut\u00f4t que le code lui-m\u00eame: cl\u00e9s d\u00e9rob\u00e9es, employ\u00e9s hame\u00e7onn\u00e9s, acc\u00e8s d’administration d\u00e9tourn\u00e9s. C’est une cible naturelle pour l’automatisation, car reconna\u00eetre mille cibles, r\u00e9diger mille messages d’hame\u00e7onnage cr\u00e9dibles et tester mille identifiants vol\u00e9s est exactement le genre de t\u00e2che r\u00e9p\u00e9titive qu’un agent ex\u00e9cute sans se lasser. Le risque n’est donc pas tant que l’IA invente des attaques in\u00e9dites, mais qu’elle rende les attaques connues bien plus rapides et bien moins ch\u00e8res.<\/p>

Indicateur (S1 2026)<\/th>Valeur<\/th><\/tr><\/thead>
Pertes totales<\/td>Plus de 1,31 milliard $ (pr\u00e8s de 1,2 Md\u20ac)<\/td><\/tr>
Incidents recens\u00e9s<\/td>344<\/td><\/tr>
Variation sur un an<\/td>Environ -47 % (biais\u00e9e par le hack Bybit de 2025)<\/td><\/tr>
Kelp DAO (avril 2026)<\/td>291 millions $<\/td><\/tr>
Drift Protocol (avril 2026)<\/td>285 millions $<\/td><\/tr><\/tbody><\/table>
Source: CertiK, rapport Hack3d du premier semestre 2026.<\/figcaption><\/figure>

\u00ab Claude, audite mon smart contract \u00bb n’est pas un programme de s\u00e9curit\u00e9<\/h2>

Faut-il en conclure que l’IA rend l’humain obsol\u00e8te, dans un camp comme dans l’autre? Les praticiens en doutent, et le disent. David Schwed, directeur des op\u00e9rations de SVRN, r\u00e9sume d’une formule devenue virale: \u00ab ‘Claude, audit my smart contract, make no mistakes’ is not a security program \u00bb, demander \u00e0 un mod\u00e8le d’auditer votre contrat sans se tromper n’est pas un programme de s\u00e9curit\u00e9 (CoinDesk<\/a>). Un outil, aussi puissant soit-il, ne vaut que par la litt\u00e9ratie de celui qui interpr\u00e8te sa sortie.<\/p>

Dan Guido, cofondateur de Trail of Bits, pointe une cause plus profonde, propre \u00e0 la crypto. \u00c0 ses yeux, l’\u00e9cosyst\u00e8me des smart contracts a \u00ab reinvented every security issue that we eliminated from modern languages like Rust and Go and Swift \u00bb, r\u00e9invent\u00e9 chaque probl\u00e8me de s\u00e9curit\u00e9 que les langages modernes avaient \u00e9limin\u00e9. Solidity et l’EVM ont recr\u00e9\u00e9 des classes de bugs, arithm\u00e9tique, contr\u00f4le d’acc\u00e8s, r\u00e9entrance, que d’autres \u00e9cosyst\u00e8mes avaient appris \u00e0 neutraliser au niveau du langage. Une IA offensive n’a plus qu’\u00e0 moissonner ce terrain fertile. La parade n’est pas de retirer l’humain de la boucle, mais de mieux l’outiller et de le garder d\u00e9cisionnaire, surtout quand un agent tient les cl\u00e9s.<\/p>

Se d\u00e9fendre: la posture recommand\u00e9e<\/h2>

Que retenir, concr\u00e8tement? La consigne de Trail of Bits pour les agents cyber se transpose presque telle quelle \u00e0 un contexte crypto. Voici les r\u00e9flexes qui reviennent, c\u00f4t\u00e9 infrastructure comme c\u00f4t\u00e9 protocole:<\/p>