Voici une phrase qui devrait rendre légèrement nerveuse toute personne détenant des cryptomonnaies : le nouvel agent de programmation d’OpenAI (GPT 5.3-Codex) peut pirater avec succès des contrats intelligents crypto vulnérables et en détourner les fonds dans 72 % des cas.
OpenAI (avec la société d’investissement crypto Paradigm) vient de publier EVMbench, un nouveau benchmark qui évalue la capacité des agents d’IA à trouver, corriger et exploiter les failles de sécurité des contrats intelligents (le code qui s’exécute automatiquement et gère plus de 100 milliards de dollars d’actifs crypto).
Petit rappel si vous ne vous intéressez pas aux cryptomonnaies
Les contrats intelligents sont en quelque sorte des coffres-forts automatisés. Ils contiennent votre argent et appliquent des règles écrites en code. Si ce code comporte un bug, quelqu’un (ou quelque chose) peut vider le coffre. Et contrairement à votre banque, il n’existe aucun service client à appeler : l’opération est irréversible.
À propos : quelqu’un travaille-t-il à la création de contrats intelligents dotés d’agents, qui utiliseraient une IA pour raisonner sur leurs règles codées en dur avant de les exécuter, afin d’éviter ce problème ?
Voici ce qu’a révélé le benchmark:
GPT-5.3-Codex a obtenu 72.2% sur les tâches d’exploitation, ce qui signifie qu’il a réussi à détourner les fonds de contrats vulnérables près de trois fois sur quatre. À titre de comparaison, le GPT-5 n’avait obtenu que 31.9% sur les mêmes tâches six mois plus tôt.
L’IA est meilleure pour attaquer que pour défendre. La détection (repérer les bugs) et la correction (les résoudre) restent bien plus difficiles ; le meilleur modèle n’a identifié qu’environ 46 % des vulnérabilités.
Il suffit de donner à l’IA un petit indice sur l’endroit où chercher pour que le taux de réussite des corrections passe de 39 % à 94 %. Le goulot d’étranglement n’est pas la compétence, mais la recherche.
L’article présente également une étude de cas assez folle : un agent GPT-5.2 a découvert et exécuté une attaque par prêt éclair (un exploit complexe en plusieurs étapes), vidant le solde entier d’un coffre de test en une seule transaction. Sans intervention humaine ni instructions détaillées.
OpenAI présente cela comme un outil défensif et y consacre des moyens : 10 millions de dollars en crédits API pour les chercheurs en cybersécurité, auxquels s’ajoutent une bêta élargie de Aardvark, son agent de recherche en sécurité fondé sur l’IA, et un nouveau programme Trusted Access for Cyber destiné aux professionnels de la sécurité vérifiés.
Pourquoi c’est important
La même IA qui peut rédiger vos e-mails et déboguer votre code est désormais capable de vider un coffre crypto en quelques minutes. L’espoir est que les défenseurs adoptent ces outils plus vite que les attaquants. Car la course entre l’offensive et la défense dopées à l’IA est bien réelle, et pour l’instant, on a un peu l’impression que l’offensive est en train de gagner ?
Note de la rédaction : cet article a d’abord été publié dans la newsletter de notre publication sœur, The Neuron. Pour découvrir d’autres articles de The Neuron, inscrivez-vous à sa newsletter ici.