Une faille, un prompt : Bitcoin Core lève le secret plus vite face à l'IA, la médina doit se mettre à jour

Un prompt. C'est parfois tout ce qu'il faut aujourd'hui pour retrouver une faille dans un logiciel. Et c'est précisément ce qui vient de pousser Bitcoin Core, le logiciel de référence du réseau Bitcoin, à revoir l'une de ses règles les plus anciennes.

Le 22 octobre, le développeur Antoine Poinsot a annoncé sur la liste de diffusion des développeurs de Bitcoin une mise à jour de la politique de sécurité du projet. Le motif est clairement énoncé : le projet reçoit de plus en plus de signalements de vulnérabilités « faciles à redécouvrir », parce que les grands modèles de langage réduisent l'effort nécessaire pour trouver certains problèmes, ou pour repérer des corrections passées discrètement.

Autrement dit, l'IA a changé l'équation du secret.

Comment Bitcoin Core gérait ses failles jusqu'ici

Pour comprendre la portée du changement, il faut rappeler la logique d'origine.

Quand une faille est découverte dans un logiciel aussi sensible, les développeurs ont un choix délicat. Soit ils publient tout de suite les détails, au risque que des attaquants s'en servent avant que les utilisateurs aient mis à jour. Soit ils gardent le secret, le temps que le correctif se diffuse. C'est ce qu'on appelle un embargo.

Bitcoin Core avait fait le choix d'embargos longs. La raison est culturelle : beaucoup d'opérateurs de nœuds mettent à jour lentement, et le projet ne veut pas exposer un réseau qui pèse des centaines de milliards de dollars.

Selon la politique publiée sur le site du projet, une faille de gravité faible est rendue publique deux semaines après la sortie d'une version majeure qui la corrige. Pour les failles de gravité moyenne ou élevée, il faut attendre deux semaines après la fin de vie de la dernière version concernée, soit environ un an après le premier correctif. Les failles critiques, celles qui permettraient de voler des bitcoins au niveau du protocole, de créer des pièces hors du calendrier d'émission ou de scinder durablement le réseau, sont traitées au cas par cas.

Ce qui change avec l'IA

La nouvelle règle ajoute une catégorie : les failles « faciles à découvrir ».

Elle vise les vulnérabilités que quelqu'un peut trouver avec un effort minimal, et le site du projet donne l'exemple d'un simple prompt adressé à un modèle de langage. L'étiquette n'est pas réservée aux failles trouvées par l'IA : elle peut être attribuée lors du tri de n'importe quel signalement.

Pour ces failles-là, plus d'embargo long. Le projet s'engage à rétroporter le correctif sur toutes les versions majeures encore maintenues, à publier ces versions corrigées le plus vite possible, et à les accompagner d'un avis de sécurité donnant certains détails.

La logique est implacable. Garder secret ce que n'importe quel attaquant équipé d'une IA peut retrouver en quelques minutes, c'est laisser les utilisateurs exposés sans réelle protection en échange. Mieux vaut corriger vite et le dire.

Pourquoi cela concerne la Tunisie

On pourrait penser que ce débat de développeurs ne regarde pas la médina. Ce serait une erreur.

En Tunisie, les cryptoactifs ne sont pas reconnus comme moyen de paiement et la réglementation des changes encadre strictement la détention d'avoirs à l'étranger. Ceux qui s'intéressent malgré tout au bitcoin le font souvent sans intermédiaire local agréé, sans service client, sans filet. Ils gèrent eux-mêmes leurs portefeuilles et leurs logiciels.

Dans ce contexte, la sécurité repose entièrement sur l'utilisateur. Et c'est là que le bât blesse : la culture de la mise à jour reste fragile. Logiciels téléchargés sur des sites douteux, applications jamais actualisées, téléphones bloqués sur d'anciennes versions du système : le terrain est propice aux mauvaises surprises.

Or la nouvelle politique de Bitcoin Core change le rythme. Quand une faille facile à découvrir sera corrigée, ses détails seront publiés en même temps que le correctif. À partir de ce moment, ceux qui n'ont pas mis à jour seront en retard sur les attaquants, et non plus protégés par le silence.

Ce n'est pas un aveu de faiblesse, mais…

Il faut nuancer, pour ne pas céder à la panique.

Ce changement ne signifie pas que Bitcoin est devenu plus fragile. Il signifie que ses développeurs adaptent leurs procédures à un monde où la recherche de failles s'est accélérée pour tout le monde, défenseurs compris. L'IA aide aussi les développeurs à trouver et corriger plus vite.

La semaine dernière, Tunichain racontait comment une IA avait déterré une faille ancienne dans PHP, le langage qui fait tourner une grande partie du web. Le phénomène est le même : les outils d'IA rendent visibles des erreurs que des années de relecture humaine avaient laissé passer. Bitcoin Core en tire simplement la conséquence la plus logique.

Il faut aussi rappeler que la majorité des détenteurs tunisiens ne font pas tourner de nœud Bitcoin Core. Ils utilisent des portefeuilles mobiles, des portefeuilles matériels ou des plateformes. Mais la leçon vaut pour tout l'écosystème : chaque logiciel qui touche à vos clés doit être tenu à jour.

Les bons réflexes à adopter

Concrètement, quelques règles simples font une grande différence.

Télécharger ses logiciels de portefeuille uniquement depuis les sites officiels ou les magasins d'applications reconnus, et vérifier les signatures quand c'est possible.

Activer les mises à jour automatiques, ou au moins vérifier régulièrement qu'une nouvelle version n'est pas disponible, en particulier lorsqu'elle est présentée comme une version de sécurité.

Ne jamais saisir sa phrase de récupération sur un site, dans un formulaire ou dans une application inconnue, quel que soit le prétexte.

Séparer l'épargne de long terme, idéalement sur un portefeuille matériel, des petites sommes utilisées au quotidien.

Le bitcoin, un système qui s'auto-corrige

Il y a, au fond, quelque chose de rassurant dans cette décision.

Bitcoin n'a pas de PDG ni de service de communication pour décréter que tout va bien. Sa sécurité repose sur des développeurs qui débattent en public, sur une liste de diffusion ouverte, et qui ajustent leurs règles quand le monde change. C'est lent, parfois austère, mais c'est transparent.

Pour la médina, la morale tient en une phrase : dans un monde où l'IA trouve les failles en quelques minutes, la meilleure serrure du monde ne vaut rien si on oublie de la changer.