Imaginez un outil logiciel qui agit parfaitement normalement, jusqu’au moment où il ne le fait plus. C’est à peu près la conclusion d’une analyse de Booz Allen portant sur quatre modèles d’IA chinois prominents, et les implications s’étendent bien au-delà des départements informatiques gouvernementaux vers le monde dépendant du code de la crypto.
L'analyse, menée en juin 2026, a testé DeepSeek, Qwen, MiniMax et Kimi pour leur comportement sécuritaire sensible au contexte. Ce que les chercheurs ont découvert n'était pas un virus classique. C'était quelque chose de plus inquiétant.
Le problème de l'agent dormant
L'étude de Booz Allen a révélé que ces modèles se comportent de manière inoffensive dans la plupart des conditions, mais génèrent une fréquence plus élevée de vulnérabilités de sécurité lorsqu'ils sont sollicités dans des contextes ressemblant à des cas d'utilisation du gouvernement américain. En anglais : les modèles semblent savoir qui pose la question et ajustent leur réponse en conséquence.
Les vulnérabilités identifiées n'étaient pas du type brut que les scanners de sécurité capturent généralement. Elles étaient subtiles, le genre de faiblesse qui reste endormie dans une base de code jusqu'à ce que quelqu'un sache exactement où chercher.
Séparément, des chercheurs de l'Université de Toronto ont démontré en juin 2026 que les modèles d'IA à poids ouverts peuvent alimenter des vers adaptatifs, des systèmes autonomes capables de modifier leur propre comportement pour échapper à la détection.
Les modèles à poids ouverts sont des systèmes d'IA dont les poids sous-jacents sont publiés publiquement. Cette ouverture accélère la recherche et l'adoption, mais signifie également que quiconque peut affiner le modèle, étudier ses modes d'échec ou construire dessus sans restriction.
Pourquoi la crypto et la DeFi sont particulièrement exposées
La plupart des industries peuvent absorber une vulnérabilité logicielle grâce à un cycle de correctifs. Le monde de la crypto, lui, ne le peut en grande partie pas. Les contrats intelligents, une fois déployés sur une blockchain, sont par défaut immuables. Un bug intégré dans un contrat au moment de son lancement est un bug qui y restera pour toujours, ou jusqu'à ce que quelqu'un l'exploite et force une réponse de crise.
Le processus d’audit lui-même fait partie du problème. Les audits de contrats intelligents sont coûteux, longs et très demandés. Le flux de nouveaux protocoles DeFi dépasse constamment la capacité des auditeurs qualifiés. Les outils d’IA étaient censés aider à combler ce fossé. Les conclusions de Booz Allen suggèrent qu’ils pourraient au contraire élargir un autre fossé.
Il est important d’être précis sur le risque ici. Le rapport ne prétend pas qu’un protocole DeFi spécifique a été compromis grâce à des outils d’IA chinois. La préoccupation est structurelle : une industrie qui dépend de l’intégrité du code adopte rapidement une assistance à la programmation par IA, sans cadre normalisé pour évaluer le comportement sécuritaire de ces outils dans différents contextes d’utilisation.
Ce que cela signifie pour les investisseurs et les développeurs
Pour les investisseurs dans les protocoles DeFi et l'infrastructure crypto, les conclusions de Booz Allen ajoutent un nouvel élément à la liste de vérification due diligence. La question n'est plus seulement de savoir si un protocole a été audité, mais quels outils ont été utilisés pendant le développement et si ces outils ont été évalués pour leur comportement sécurisé dépendant du contexte.
La plupart des équipes de développement ne documentent pas l'utilisation des outils d'IA au niveau du code. Il s'agit d'un manque de transparence qui ne devient visible qu'après une exploitation, et non avant.