L’Ia Agentique Rejoint La Main D’Œuvre De Sécurité Crypto

Un protocole peut perdre l’essentiel de sa trésorerie en quelques secondes, le temps d’un flash loan, pendant qu’une équipe humaine ouvre encore son canal d’alerte. Cette course contre la montre n’est plus une hypothèse de laboratoire. Elle dicte déjà la façon dont les plateformes, les auditeurs et les responsables conformité organisent leurs nuits. Selon le rapport Intel3D publié par CertiK, une partie du travail autrefois confié aux analystes passe désormais à des systèmes capables d’enchaîner des raisonnements, d’interroger des outils et d’agir dans un environnement vivant, avec une intervention humaine limitée. Le glissement est discret, presque administratif. Il change pourtant la nature même de la sécurité crypto.

On a longtemps présenté l’intelligence artificielle comme un assistant de bureau sophistiqué. Elle classait des alertes, résumait un journal d’événements, surlignait une anomalie. L’analyste restait le seul à décider. L’IA agentique rompt ce partage des rôles. Elle ne se contente plus de signaler. Elle enquête, compare, suspend, trace, puis consigne sa logique pour qu’un humain puisse la relire. CertiK parle d’une main d’œuvre de sécurité, pas d’un simple logiciel. La formule est forte. Elle mérite d’être prise au sérieux, et aussi d’être contestée.

Une main d’œuvre qui n’a ni badge ni responsabilité légale

L’image d’une équipe élargie séduit les directions qui peinent à recruter des enquêteurs on-chain. Elle inquiète aussi les juristes. Un agent peut tenir un rôle. Il ne tient pas un poste au sens du droit du travail, ni une obligation de résultat devant un régulateur. CertiK le rappelle sans détour : la responsabilité demeure chez l’organisation qui déploie le système et chez les personnes qui le configurent, le bornent et le surveillent. L’agent n’est pas un collègue. C’est un opérateur sous tutelle.

Cette nuance change tout le cahier des charges. Traiter l’autonomie comme une fonctionnalité de plus, au même titre qu’un filtre anti-spam, conduit à des déploiements sans journal d’audit, sans seuil d’escalade, sans propriétaire nommé. Le rapport insiste sur trois garde-fous : un périmètre d’autorité explicite, une procédure d’escalade, un humain responsable. Sans ces trois pièces, l’automatisation ressemble à une délégation de signature donnée à une machine que personne ne surveille vraiment.

Pourquoi la vitesse des attaques force la main

Le calendrier des incidents ne laisse plus la place à une revue manuelle systématique. Un emprunt éclair peut vider un pool avant qu’un ingénieur de garde ait confirmé l’alerte. Les fonds volés traversent ensuite adresses intermédiaires, ponts et services de mélange en quelques heures. La fenêtre utile se mesure en blocs, parfois en minutes. Attendre une réunion de crise, c’est souvent constater le dégât.

Les chiffres rappelés autour de ce rapport donnent la mesure du problème. Sous la méthodologie CertiK, les pertes de septembre ont atteint 768,4 millions de dollars sur 97 incidents. Le cumul 2026 s’établissait à environ 2,68 milliards de dollars fin septembre. Le premier semestre, lui, affichait 1,32 milliard, en recul de 46,8 % sur un an. La baisse du montant global n’a pas calmé les équipes. Elle a surtout montré un déplacement des méthodes, les compromissions de portefeuilles devenant le vecteur dominant au deuxième trimestre.

Moins d’argent perdu en titre ne signifie pas moins de travail. Cela signifie des attaques plus dispersées, plus proches de l’utilisateur, plus difficiles à stopper par un correctif de contrat. Un agent capable de corréler un comportement de clé, une géolocalisation inhabituelle et un mouvement de fonds a ici un avantage de latence. Encore faut-il qu’il sache s’arrêter.

De l’assistant au opérateur

Pendant une décennie, l’apprentissage automatique a surtout détecté des écarts statistiques. Les outils de langage ont ensuite aidé à rédiger des synthèses. Le dossier restait humain du début à la fin de la décision. L’agent, lui, enchaîne des étapes. Il appelle une API, récupère une empreinte d’appareil, confronte une localisation à une base de renseignements, puis peut suspendre un compte et archiver son raisonnement.

Dans un centre d’opérations, ce scénario n’est plus théorique. Une connexion atypique déclenche une enquête. L’agent compare l’historique, écarte ou retient l’hypothèse d’une prise de contrôle, exécute la suspension si les critères sont remplis. Un analyste relit ensuite la chaîne de preuves. Le gain n’est pas seulement la rapidité. C’est la capacité à traiter en parallèle des dizaines de signaux qu’une équipe de nuit ne peut pas tous ouvrir.

L’agent peut tenir un rôle. Il ne tient pas la responsabilité. Celle-ci reste chez ceux qui lui ont donné des clés, des seuils et le droit d’agir.

Cette bascule suppose une discipline que beaucoup d’organisations n’ont pas encore. Un outil classique se met à jour. Un opérateur autonome se dérègle, se fait manipuler, ou applique une règle devenue fausse. Le suivi comportemental n’est donc pas un luxe de conformité. C’est la condition pour distinguer une décision correcte d’une décision seulement rapide.

Ce que les équipes humaines cessent de faire à la main

Le rapport ne décrit pas une disparition des analystes. Il décrit un déplacement. La collecte répétitive, le rapprochement d’indices, la première qualification d’une alerte sortent du bureau humain. Restent la supervision, le contrôle qualité et la redevabilité. En pratique, cela veut dire moins de copier-coller entre explorateurs de blocs, et plus de temps passé à contester une conclusion automatique.

Le risque inverse existe. Une équipe qui ne voit plus que des dossiers déjà « résolus » perd le muscle de l’enquête. Au bout de quelques mois, plus personne ne sait refaire à la main le chemin qu’emprunte l’agent. Le jour où le système se tait, ou pire, se trompe avec aplomb, le retard se paie cash. La main d’œuvre algorithmique n’a de sens que si la main d’œuvre humaine conserve un droit de reprise réel, pas symbolique.

Les contrats intelligents, premier chantier visible

La sécurité Web3 est le terrain où CertiK voit le changement le plus net. Un audit classique mêlait lecture humaine, analyse statique, exécution symbolique et tests par fuzzing. Les outils sortaient des candidats. L’auditeur décidait si le candidat était une faille ou un bruit. L’agent peut maintenant parcourir le graphe d’appels, suivre les changements d’état entre plusieurs contrats, et chercher des schémas de réentrance, de manipulation d’oracle, de contrôle d’accès défaillant ou de mécanisme de mise à niveau dangereux.

La différence n’est pas magique. Un graphe d’appels, un humain expérimenté sait aussi le lire. La différence est le volume et la continuité. Un agent peut rejouer des enchaînements qu’une revue de trois semaines laisse de côté faute de temps. Il peut aussi proposer des spécifications formelles et les confronter au comportement observé, allégeant une partie du travail autrefois réservé aux ingénieurs de méthodes formelles.

Les auditeurs ne sortent pas du circuit. Leur centre de gravité se déplace vers la vérification des trouvailles, l’examen des attaques économiques ou de théorie des jeux, et la recherche des angles morts de l’automatisation elle-même. Un système qui excelle sur la réentrance peut rester aveugle à une collusion entre signataires. C’est précisément là que l’expérience humaine garde une longueur d’avance.

Le mirage de l’audit comme bouclier

Les audits ont mauvaise presse dès qu’un projet « audité » se fait vider. Les travaux antérieurs le montraient déjà : beaucoup de compromissions passent par le dispositif du signataire, les clés d’administration, l’infrastructure arrière ou les validateurs de pont, pas par une ligne de Solidity mal écrite. Automatiser la lecture du code ne ferme pas ces portes. Cela peut même créer une fausse quiétude si le rapport d’agent est brandi comme certificat de sûreté.

CertiK prolonge donc la surveillance au-delà de la livraison du rapport. Des systèmes peuvent observer les transactions en attente et confirmées, guetter un flash loan, une manipulation d’oracle, un retrait de liquidité anormal. Dans les montages les plus avancés, la détection déclenche une réponse dans la même fenêtre de bloc : pause d’une fonction, coupe-circuit, gel d’une clé d’administration compromise. L’humain n’a plus à cliquer pour que la première parade parte.

Cette promesse est aussi un transfert de pouvoir. Pausing un contrat en production, c’est une décision de gouvernance. La confier à un agent suppose des seuils écrits à l’avance, testés sur des historiques, et réversibles. Sinon, une fausse alerte peut geler un marché au moment où les utilisateurs en ont le plus besoin. La vitesse n’est une vertu que si l’erreur reste corrigeable.

Suivre l’argent pendant qu’il bouge

Le traçage des fonds volés reste l’un des métiers les plus artisanaux de la sécurité crypto. On part d’une adresse, on suit les sauts, on note les mélangeurs, les ponts, les dépôts vers une plateforme. Dès que les montants sont fractionnés et répartis sur plusieurs chaînes, le dossier s’alourdit. L’agent, selon le rapport, peut faire ce travail en continu, pendant le déplacement, au lieu de reconstruire le chemin une fois les transactions anciennes.

Il peut aussi mettre à jour des grappes d’adresses à mesure que de nouvelles activités apparaissent. Les heuristiques fixes ne suffisent plus. Le timing, les contreparties communes, le comportement des frais de gaz deviennent des indices pour estimer si plusieurs adresses relèvent du même contrôle. Ce n’est pas une preuve judiciaire. C’est une hypothèse de travail, à consigner comme telle.

Le blanchiment inter-chaînes pose un problème particulier. Les outils historiques regardaient souvent un réseau à la fois. Un agent peut fusionner les fils et continuer après un pont ou un échange cross-chain. Le rapport prend l’exemple du blanchiment lié à l’exploit Bybit : des recherches antérieures de CertiK avaient documenté la conversion de 86,29 % de l’ether volé en bitcoin en un mois, via mélangeurs, ponts et courtiers de gré à gré. Un suivi discontinu rate précisément ces bascules.

Reconstruire une piste après coup, c’est déjà arriver trop tard pour la première parade. Le suivi utile se fait pendant le mouvement.

Il faut néanmoins garder une réserve. Une grappe d’adresses « probable » peut mélanger un service légitime et un acteur malveillant qui l’utilise. Geler sur la foi d’une corrélation de timing, c’est risquer de frapper un utilisateur tiers. Les enquêteurs humains ont toujours eu ce dilemme. L’automatisation le rend seulement plus fréquent, et plus difficile à expliquer à une victime collatérale.

La conformité, nouveau poste de l’agent

Le même mouvement atteint la conformité. CertiK décrit un criblage de type connaissance de l’adresse et connaissance de la transaction réalisé avant le règlement. L’agent évalue le risque d’une adresse ou d’un transfert en temps réel, pour qu’une plateforme repère une exposition à des avoirs illicites avant de finaliser. Le contrôle ne se fait plus seulement le lendemain, dans un fichier d’exceptions.

Le reporting réglementaire suit. Un système peut extraire des données de chaîne, les rapprocher d’enregistrements hors chaîne, et préparer des éléments liés au partage d’informations de type Travel Rule ou aux attestations de réserves de stablecoins. Le travail de mise en forme, longtemps confié à des équipes débordées, devient un brouillon produit en continu. Le contrôle humain porte alors sur les écarts, pas sur la saisie.

La pression réglementaire explique l’empressement. Un rapport Skynet antérieur de CertiK notait que les sanctions liées à la lutte anti-blanchiment avaient dépassé 900 millions de dollars au premier semestre 2025, alors que plusieurs juridictions passaient de l’écriture des cadres à leur application. Quand l’amende devient le coût principal de la lenteur, l’automatisation du criblage cesse d’être un projet d’innovation. Elle devient une ligne de défense budgétaire.

Quand l’agent devient lui-même un utilisateur de la chaîne

Une difficulté supplémentaire apparaît dès que l’agent détient des actifs, passe des ordres, gère une trésorerie ou interagit avec des protocoles de finance décentralisée. Il ne surveille plus seulement le réseau. Il y laisse une trace. L’organisation doit alors pouvoir auditer son comportement on-chain et conserver ce qu’il a vu, comment il a conclu, et quelle action a suivi.

Le scénario a quitté les articles de recherche. En juin, MetaMask a lancé un portefeuille pour agents, permettant des échanges, des opérations sur contrats à terme perpétuels et d’autres transactions, sous des contrôles fixés par l’utilisateur. La frontière entre outil de sécurité et acteur de marché se brouille. Un agent de surveillance qui peut aussi signer mérite un régime plus strict qu’un tableau de bord en lecture seule.

Cette double casquette pose une question simple, rarement écrite dans les politiques internes. Qui a le droit d’élargir les permissions ? Un développeur pressé, un fournisseur, un paramètre par défaut hérité d’une démo ? Sans registre des habilitations, l’enquête après incident commence par une devinette. Le rapport recommande précisément de garder la mémoire de l’autorité accordée, des seuils d’escalade et de toute approbation humaine avant un acte lourd.

La nouvelle surface d’attaque

Donner le droit d’agir, c’est ouvrir une surface. Les systèmes agentiques peuvent produire une information fausse avec un ton très assuré. Dans un dossier anti-blanchiment, un rapport d’activité suspecte généré automatiquement peut décrire une piste de transactions inexacte. Dans un audit, un agent peut conclure à tort qu’une spécification formelle couvre une faille. Le danger n’est pas seulement l’erreur. C’est l’erreur bien rédigée.

Les relecteurs humains deviennent moins vigilants après une série de cas routiniers réussis. C’est un biais connu, renforcé par la fluidité du texte produit. Plus la prose est propre, plus on oublie de vérifier la donnée source. CertiK signale ce risque de confiance progressive. Il n’a rien de théorique : il se mesure au nombre de dossiers relus vraiment, pas au nombre de dossiers « validés » d’un clic.

Les attaquants disposent des mêmes briques. Ils accélèrent la découverte de failles, automatisent la reconnaissance, fabriquent des campagnes d’ingénierie sociale plus convaincantes. CertiK avait déjà averti, plus tôt en 2026, que l’hameçonnage assisté, les hypertrucages et les outils d’exploitation automatisés rendaient les attaques plus rapides et plus difficiles à reconnaître. La course n’oppose plus seulement des humains à des scripts. Elle oppose des agents à d’autres agents.

L’agent de sécurité comme cible

Le système qui a le droit de suspendre, de geler ou d’approuver devient une cible prioritaire. Une injection de prompt, ou une manipulation de ses entrées, pourrait conduire à valider un transfert frauduleux ou à désactiver un contrôle légitime. Le scénario rappelle les anciennes attaques sur les consoles d’administration, avec une différence : la console parle, raisonne, et peut être convaincue par un texte.

D’où l’insistance sur les tests adverses. Il ne suffit pas de mesurer la précision sur un jeu d’alertes propres. Il faut tenter de faire dire à l’agent le contraire de sa politique, via un journal piégé, un oracle mensonger, une pièce jointe, un commentaire de transaction. Les organisations qui sautent cette étape découvrent la faille en production, souvent un vendredi.

La parade n’est pas de retirer toute autonomie. Elle est de séparer les droits. Lire une mempool n’exige pas le droit de pauser un contrat. Préparer un rapport n’exige pas le droit de le transmettre à un régulateur. Proposer un gel n’exige pas le droit de l’exécuter. Cette séparation, banale en administration système, reste rare dans les démonstrations d’agents.

La responsabilité, encore floue selon les pays

Le rapport constate que la responsabilité en cas de dommage causé par une action autonome n’est pas tranchée de la même façon partout. En attendant, la ligne pratique est claire : l’organisation déployeuse et les personnes qui configurent et supervisent restent redevables. Il leur faut des archives de l’autorité de l’agent, des seuils d’escalade, et de toute validation humaine avant un acte conséquent.

Cette exigence documentaire n’est pas une formalité. Sans elle, un litige se résume à des captures d’écran et à des souvenirs. Avec elle, on peut montrer qu’un gel a respecté une politique écrite, ou qu’il l’a franchie. Les assureurs, les régulateurs et les utilisateurs lésés poseront la même question. Le journal d’agent devient une pièce du dossier, au même titre qu’un procès-verbal.

CertiK recommande des pistes concrètes : conserver la trace complète des entrées, du raisonnement et des actions ; fixer des limites nettes à ce que l’agent décide seul ; tester la résistance à la manipulation ; nommer un propriétaire humain pour la performance et les échecs de chaque agent. Rien de spectaculaire. Tout cela décide, en cas de crise, si l’automatisation est défendable.

Ce que une plateforme devrait écrire avant d’activer le premier agent

Avant le premier branchement sur une mempool ou un portefeuille chaud, une équipe gagne à figer cinq décisions. Quel acte est autorisé sans humain ? Quel acte exige une confirmation ? Quel délai maximal avant escalade ? Qui est réveillé la nuit ? Quelle est la procédure de retrait des droits si l’agent diverge ? Ces questions tiennent sur une page. Leur absence tient souvent sur un post-mortem.

Il faut aussi décider du langage de la trace. Un raisonnement illisible, noyé dans un jargon de modèle, ne sert ni l’auditeur interne ni le régulateur. Une trace utile nomme les sources, les seuils franchis, les alternatives écartées. Elle doit pouvoir être relue six mois plus tard par quelqu’un qui n’a pas participé au projet. Sinon, elle n’est qu’un journal technique.

Enfin, le retrait doit être aussi simple que l’activation. Un agent que l’on ne peut pas débrancher sans casser la surveillance n’est pas un outil. C’est une dépendance. Les plans de continuité devraient inclure un mode dégradé humain, même lent, pour les heures où le fournisseur de modèle, l’API ou le connecteur tombe.

Lectures utiles pour une direction sécurité

• Ne pas confondre alerte et acte. Le premier peut être large. Le second doit rester étroit.
• Nommer un propriétaire par agent, pas un comité flou.
• Mesurer les faux gels, pas seulement les exploits évités.
• Garder une reprise manuelle sur le traçage et l’audit.
• Traiter le prompt comme une surface d’attaque, au même titre qu’une clé d’API.

Un métier qui se réécrit, pas une mode de salon

L’intérêt du rapport Intel3D n’est pas d’annoncer une révolution déjà gagnée. Il est de décrire un déplacement en cours : de l’assistant qui signale vers l’opérateur qui enquête, trace et parfois agit. Les pertes restent élevées, les méthodes des attaquants se déplacent vers les portefeuilles, la conformité se durcit, et les agents commencent à signer eux-mêmes. Dans ce paysage, refuser l’automatisation par principe laisse l’avantage de latence à l’adversaire. L’accorder sans bornes laisse l’avantage à la prochaine injection.

La voie étroite est celle que CertiK esquisse : des rôles définis, des journaux complets, des seuils, des tests adverses, un humain nommé. La main d’œuvre de sécurité s’élargit. Elle ne se déleste pas de ses comptes à rendre. Les équipes qui comprendront cette phrase avant le prochain exploit éviteront peut-être le gel inutile, ou le gel trop tardif. Les autres liront le rapport après coup, dans un dossier déjà ouvert.