Je ne recommande à personne de se précipiter pour déplacer ses fonds vers de nouveaux wallets aujourd’hui. Mais nous devons prendre au sérieux les risques pour la cryptographie posés par les mathématiques accélérées par l’IA, et minimiser notre exposition non seulement à la cryptographie vulnérable aux ordinateurs quantiques, mais aussi à la cryptographie potentiellement vulnérable à l’IA. Le nouveau domaine de risque principal, malheureusement, est : ML-DSA / FHE / réseaux. (c’est aussi une autre raison, avec le quantique, pour laquelle ECDSA pourrait tomber plus vite que prévu, d’où la recommandation d’« adresse fraîche ») Jusqu’à présent, la plupart des gens pensaient : « les courbes elliptiques cassées, les fonctions de hachage sûres, les réseaux sûrs ». Mais il est très probable que la sécurité concrète des réseaux subisse de sérieux revers au cours des deux prochaines années grâce aux mathématiques accélérées par l’IA. Le modèle de menace de base est le suivant : la factorisation prend naïvement 2^(n/2) unités de temps, mais au fil des décennies, des personnes intelligentes ont trouvé et optimisé les crible de corps de nombres, réduisant cela à 2^O(n^(1/3)), ce qui explique pourquoi les clés et signatures RSA doivent faire ~400 octets (et non 64 octets). Et si des éléments cachés similaires existaient aussi pour les courbes elliptiques et les réseaux, que nous ne sommes tout simplement pas assez intelligents pour découvrir — mais que les bots découvriront bientôt ? C’est une partie majeure de la raison pour laquelle, au cours de la dernière année, la feuille de route allégée d’ethereum a progressé dans la direction « hash uniquement » : pas de réseaux, pas de ML-DSA, pas de Falcon, pas d’engagements basés sur les réseaux dans les preuves ZK, etc. Les signatures dans ethereum allégé sont toutes basées sur le hachage, soit WOTS, soit SPHINCS-. Pour les signatures et les preuves, nous savons déjà comment passer entièrement au hachage. Le défi plus important concerne le *chiffrement à clé publique* — et cela va bien au-delà des blockchains. La communication sécurisée, les protocoles d’anonymisation, beaucoup d’applications nécessitent un chiffrement à clé publique. Malheureusement, il existe des théorèmes mathématiques bien établis montrant pourquoi le chiffrement à clé publique ne peut pas être réalisé uniquement avec des fonctions de hachage. Il faut nécessairement un objet à trappe possédant au moins une forme de « structure » utilisable — soit la théorie des groupes (y compris les isogénies), soit des réseaux, soit basé sur les codes, ou potentiellement dans le futur des choses encore plus nouvelles et étranges (mélange local ?). Mais pour tout ce qui possède une structure, vous devez supposer que l’IA fera au moins quelques progrès pour briser cette structure. Ici, une inférence raisonnable est que si vous voulez rendre quelque chose plausiblement sécurisé à long terme, multipliez les tailles de clés par 10. Pour moi, c’est un monde très plausible et pas du tout extrême à prédire. Si l’IA nous apporte 50 ans de mathématiques en 2 ans, alors ces 50 ans de mathématiques incluront très probablement une amélioration du type « factorisation naïve → GNFS » pour notre capacité à casser les réseaux. Dans ce monde, les réseaux existeront toujours, mais ils devront être significativement plus grands pour garantir le même niveau de sécurité. Et à ces nouvelles tailles plus grandes, les constructions basées sur le hachage surpasseront les constructions basées sur les réseaux en efficacité concrète dans chaque cas d’usage où les constructions basées sur le hachage sont possibles du tout. Théoriquement, bien sûr, il est possible que les fonctions de hachage soient aussi cassées (par exemple, P = NP impliquerait cela). Mais je pense que P = NP est très peu probable. Et intuitivement, il est beaucoup plus probable qu’un objet mathématique n’ait aucune structure exploitable (comme c’est l’intention des fonctions de hachage), que qu’il en ait exactement ~3 formes exploitable (pour les courbes elliptiques : associativité, Schoof, paires) et pas une quatrième forme secrète que nous n’avons pas encore découverte et qui dégrade fortement sa sécurité (pour les courbes elliptiques : ECDLP et sécurité des paires). Même chose pour LWE, SVP, RLWE et toute la famille des problèmes de réseaux. Pour cette raison, nous ne voyons pour l’instant aucune raison de nous inquiéter et de commencer à augmenter la taille en octets des fonctions de hachage (si nous commençons à nous inquiéter davantage, nous augmenterions d’abord le nombre de tours avant d’agir sur la taille en octets). TLDR concret, mes propres vues personnelles : * Hachage > réseaux, dans les situations où le hachage est possible du tout * Pour tout ce qui est basé sur les réseaux, soyez beaucoup plus paranoïaques sur les tailles des paramètres. Rappelez-vous que les blockchains ne représentent qu’une petite partie de l’histoire de la cryptographie ; ce point s’applique bien au-delà des blockchains et concerne par exemple l’accès aux sites web, la messagerie sécurisée, Tor / VPNs... * Pour les protocoles de confidentialité, privilégiez fortement NE PAS mettre des notes chiffrées sur la chaîne. Envoyez-les plutôt hors chaîne via un mécanisme tiers. * Si ce n’est pas difficile pour vous, conserver vos fonds dans des adresses n’ayant pas encore été utilisées pour effectuer une transaction est une bonne idée. Si c’est facile pour vous, faites-le. **Mais soyez prudent avec les migrations ; j’ai personnellement perdu plus d’argent dans des migrations mal gérées que dans toutes les failles combinées**. * Pour les wallets multisig, effectuer les confirmations hors chaîne est préférable à les effectuer sur chaîne, car ainsi les signatures des wallets signataires ne sont pas exposées publiquement ; si ECDSA tombe face à l’IA beaucoup plus vite que prévu, le multisig « dégrade gracieusement » en un 1-sur-1 où le 1 est la personne qui collectait les signatures — un bien meilleur état que « n’importe qui peut prendre l’argent ». https://t.co/oVjwZog2lL