Ethereum : une faille majeure détectée par l’IA dans libp2p
L’équipe de sécurité du protocole de l’Ethereum Foundation a révélé le 9 juillet que des agents IA coordonnés, analysant le code source d’Ethereum, ont identifié la faille CVE-2026-34219. Il s’agit d’un plantage (panic) déclenchable à distance dans la couche gossipsub de libp2p, permettant à n’importe quel pair non authentifié de faire planter un nœud vulnérable avec un seul message de contrôle falsifié.
Le bug a été corrigé dans la version libp2p-gossipsub v0.49.4. Tous les opérateurs exécutant des clients de consensus sur une version plus ancienne doivent considérer cette mise à jour comme non négociable.
Ethereum News : comprendre l’impact du bug
Gossipsub est la couche de messagerie P2P dont dépendent tous les clients de consensus Ethereum pour propager les blocs et les attestations sur le réseau.
La faille CVE-2026-34219 se situe dans le gestionnaire d’expiration des retraits (PRUNE backoff expiry handler) : lorsqu’un pair envoie un message de contrôle PRUNE contenant une valeur de retrait proche du maximum, l’implémentation effectue une opération arithmétique Instant + Duration non vérifiée lors du cycle suivant (heartbeat). Selon la base de données de vulnérabilités de SentinelOne, cette opération provoque un dépassement de capacité (overflow) et déclenche un plantage du système.
D’après le registre CVE du NVD, cette vulnérabilité affiche un score de base CVSS v3.1 de 8.2 (ÉLEVÉ). Le vecteur d’attaque est le réseau, ne nécessite aucun privilège particulier et aucune interaction de l’utilisateur.
L’attaquant peut se reconnecter et rejouer le message après chaque crash, rendant l’attaque par déni de service (DoS) répétable à un coût négligeable. Le périmètre affecté inclut tout validateur, indexeur ou outil auxiliaire utilisant Rust libp2p-gossipsub en dessous de la version v0.49.4. La vulnérabilité ne se limite pas aux déploiements Ethereum, car l’avis de sécurité de Snyk la signale comme un risque pour toute application utilisant cette bibliothèque en production.
Comment le pipeline d’agents IA a-t-il trouvé la faille ?
Nikos Baxevanis, de l’équipe de sécurité du protocole de la Fondation Ethereum, a publié la méthodologie qui a permis cette découverte.
L’équipe a déployé de nombreux agents IA en parallèle contre les logiciels système, le code cryptographique et les contrats d’Ethereum. Ces agents se sont coordonnés via un dépôt Git partagé sans répartiteur central, une structure inspirée des travaux d’Anthropic sur les flottes de compilateurs.
Les rôles étaient générés dynamiquement selon les besoins : la Reconnaissance convertissait la surface d’attaque en hypothèses testables, la Chasse traçait les chemins de code et créait des reproducteurs, le Comblement de lacunes suivait la couverture, et la Validation vérifiait de manière indépendante chaque candidat avant qu’il ne soit validé.
La discipline clé reposait sur un seuil de reproductibilité strict. Comme l’indique l’article de l’EF : « Un candidat n’est pas une découverte tant qu’il n’existe pas un artefact autonome reproduisant l’échec sur le code réel, et que celui-ci peut être exécuté par quelqu’un qui ne l’a pas écrit ».
Cette règle unique a permis d’éliminer les pièges courants des faux positifs : les plantages qui disparaissaient dans les versions de production, les reproducteurs s’appuyant sur des valeurs internes impossibles à générer pour un attaquant réel, ou les preuves formelles satisfaites indépendamment du comportement réel du code.
L’analyse honnête de l’équipe sur la charge de travail liée au tri est l’élément le plus instructif de cette divulgation. « La surprise a été de constater que peu de travail a été consacré à la recherche des bugs, et énormément à distinguer les vrais bugs de ceux qui en avaient seulement l’apparence », a écrit Baxevanis. La majorité des candidats étaient erronés, en double ou hors sujet, et le volume généré par l’IA signifie que le taux de faux positifs s’accumule rapidement sans une infrastructure de tri rigoureuse.
L’avenir de la sécurité du protocole
La faille CVE-2026-34219 n’est pas un incident isolé dans la gestion des retraits de libp2p. Selon les listes CVE externes, une vulnérabilité antérieure, CVE-2026-33040, impliquait un dépassement similaire corrigé dans la v0.49.3 avec un score CVSS de 8.7. Ces deux bugs consécutifs suggèrent un effort de renforcement systématique du sous-système de libp2p plutôt qu’un correctif ponctuel, indiquant que la surface des messages de contrôle gossipsub nécessite une surveillance accrue.
L’implication plus large pour l’infrastructure d’Ethereum est structurelle. Si l’audit de smart contracts assisté par IA existe depuis des années, cette annonce marque un tournant vers l’utilisation de ces capacités contre le code réseau et système fondamental.
La conclusion de l’équipe de l’EF est directe : « Le goulot d’étranglement n’a pas disparu. Il s’est déplacé de la recherche de bugs vers la confiance dans les résultats, ce qui est préférable car c’est là que le jugement humain compte réellement ». Pour le développement continu du protocole Ethereum, il s’agit d’une amélioration durable des processus, et non d’une simple découverte unique.
Les opérateurs exécutant des clients de consensus ou des outils auxiliaires basés sur Rust libp2p doivent vérifier leur version de gossipsub immédiatement et passer à la v0.49.4 ou ultérieure. Le correctif ajoute une vérification des limites sur les durées de retrait dans les messages PRUNE avant qu’elles n’entrent dans les calculs du heartbeat, fermant ainsi définitivement la voie au dépassement de capacité.
Pourquoi nous faire confiance
2M+
250+
8
70
Plus d'articles
in numbers
