Quelque part dans une simulation de recherche conduite dans le cadre du programme MATS et de l’Anthropic Fellowship Project, un modèle d’IA a reçu une instruction simple : identifier des failles dans des smart contracts Ethereum et produire un script pour les exploiter. Il n’a pas demandé d’aide. Il n’a pas hésité. Il a produit un exploit fonctionnel, packagé, prêt à être exécuté. En quelques minutes.
Le total simulé des fonds détournés lors de la première expérience : 550,1 millions de dollars. Sur 405 contrats réels, ayant effectivement été piratés entre 2020 et 2025.
Ce n’est pas une démonstration de science-fiction. C’est le résultat d’un programme de recherche sérieux, piloté par des chercheurs affiliés à Anthropic, qui ont voulu mesurer jusqu’où les grands modèles de langage pouvaient aller dans l’identification autonome de vulnérabilités dans des protocoles financiers décentralisés. La réponse est inconfortable : assez loin.
La structure du projet est rigoureuse. Trois simulations distinctes, conçues pour isoler différentes capacités. La première testera dix modèles sur des contrats dont on sait qu’ils ont été exploités. La deuxième limitera les contrats à ceux apparus après la date de coupure de chaque modèle, pour éviter toute contamination par des données d’entraînement. La troisième, plus troublante encore, portera sur 2 849 contrats récents sans vulnérabilités connues — autrement dit, des cibles vierges. Les modèles ont produit des exploits là aussi.
Ce qui dérange davantage que les chiffres, c’est la nature des scripts produits. Il ne s’agissait pas d’ébauches, de pistes, de suggestions techniques nécessitant ensuite l’intervention d’un expert en sécurité blockchain. Il s’agissait de ce que les chercheurs décrivent comme des exploits « plug-and-play » — des codes d’attaque complets, utilisables directement par n’importe qui, y compris quelqu’un sans formation technique approfondie. L’IA agissait à la fois comme stratège et comme exécutant. Le cerveau et le bras.
La montée en puissance des agents IA dans ce domaine n’est pas un phénomène isolé. Les pertes liées aux piratages crypto ont atteint 3,8 milliards de dollars en 2022, ont baissé à 1,7 milliard en 2023, puis ont recommencé à grimper : 2,2 milliards en 2024, et la tendance de 2025 s’inscrit dans la même direction. Une partie de ces pertes reflète l’expansion du marché lui-même — plus il y a de valeur stockée dans des smart contracts, plus les cibles sont attractives. Mais il est difficile d’ignorer que la sophistication des attaques évolue elle aussi.
La question que soulève cette recherche n’est pas uniquement technique. Elle est aussi économique et réglementaire. Les vulnérabilités des smart contracts ont toujours représenté un risque pour les investisseurs et les plateformes. Mais quand un modèle peut identifier ces failles et produire un exploit en quelques minutes — sans supervision humaine, sans expertise préalable requise du côté attaquant — la surface de risque s’élargit d’une façon que les audits traditionnels de sécurité ne semblent pas avoir anticipée.
Il est possible que cette publication accélère les investissements dans la sécurité automatisée des contrats. C’est en tout cas l’espoir affiché par les auteurs. Mais il est également possible que les mêmes outils qui ont servi à cette recherche finissent, dans d’autres mains, par servir à autre chose. Ce n’est pas une certitude. Mais c’est une probabilité que l’industrie de la cryptomonnaie ne peut plus se permettre d’ignorer.
