Le code contient toujours des bogues. Les plus profonds restaient cachés car leur détection exigeait une expertise humaine rare et coûteuse — la propreté du code n’y était pour rien. Ce coût s’effondre. Sur EVMbench d’OpenAI et de Paradigm, les meilleurs modèles pouvaient exploiter moins de 20 % des bogues critiques de Code4rena il y a six mois. GPT-5.3-Codex les détecte désormais à hauteur de 70 %. Mais lisez le deuxième chiffre : son taux de rappel sur l’ensemble d’une base de code reste autour de 45 %. L’IA est bonne pour exploiter une faille une fois qu’elle est signalée. Elle est faible pour déterminer laquelle, parmi toutes les failles d’un protocole, est réellement critique. Le premier est un travail de force. Le second, un jugement. Cela compte davantage en chaîne, car il n’existe pas de bouton « annuler ». Une banque piratée peut geler et revenir en arrière. En chaîne, une fois les fonds transférés, il n’y a pas de correction propre — cela contredirait la décentralisation elle-même. Et 2026 a révélé où l’argent s’évapore réellement. Le DeFi a perdu plus de 750 M$ d’ici mi-année. Presque aucun de ces pertes n’était due à un bogue de code détecté par l’IA. Kelp DAO a perdu 292 M$ — pas un bogue de code, mais un vérificateur configuré en 1 sur 1, alimenté avec de fausses données alors que chaque transaction semblait valide. Les 285 M$ de Drift provenaient d’un multisig compromis par ingénierie sociale. StablR était une clé de création trop concentrée. Aucun de ces problèmes ne se lit dans le code. On les repère en comprenant le protocole : où les permissions sont trop larges, à quel point le vérificateur de pont est fragile, si la dépendance à l’oracle est justifiée, combien un attaquant gagne réellement via chaque voie. L’IA met en lumière des centaines de lignes suspectes. Laquelle vaut des mois d’ingénierie sociale pour y accéder ? C’est une décision humaine. L’audit se divise désormais en deux niveaux. L’audit checklist — analyser ligne par ligne à la recherche de schémas connus — l’IA le fait en quelques heures, et ce niveau perd rapidement de sa valeur. Les personnes qui comprennent la structure économique d’un protocole, ses hypothèses de confiance, ses véritables vecteurs d’attaque, deviennent plus rares et plus chères. Quand la détection de bogues devient bon marché, ce type de jugement reste rare — et la rareté fixe le prix. Le collaborateur sécurité qui vaut la peine d’être payé au prochain cycle saura regarder ce que l’IA a trouvé et vous dire s’il est réellement possible d’en tirer des fonds.
