Ripple déploie une équipe rouge d'IA sur le registre XRP : voici ce qu'elle a découvert

L'ondulation est intégration l'intelligence artificielle tout au long du cycle de vie complet du développement Ledger XRP (XRPL)Ce dispositif comprend notamment l'analyse automatisée du code, les tests d'intrusion et une équipe rouge dédiée, assistée par l'IA. Ces efforts portent déjà leurs fruits : l'équipe rouge a identifié plus de 10 failles, dont les problèmes les moins graves ont été rendus publics jusqu'à présent.

Pourquoi Ripple remanie-t-il la sécurité du registre XRP maintenant ?

Le registre XRP fonctionne en continu. depuis 2012Durant cette période, il a traité plus de 100 millions d'écritures comptables et facilité plus de 3 milliards de transactions. Ce bilan est impressionnant, mais il a aussi une conséquence pratique : un code source qui reflète plus d'une décennie de choix techniques, dont certains sont antérieurs aux outils de sécurité modernes.

« Les décisions de conception prises lors des phases précédentes du réseau, les hypothèses valables à plus petite échelle et les modèles antérieurs aux outils modernes façonnent collectivement le fonctionnement actuel du système », a noté Ripple dans un récent article de blog.

L'entreprise justifie cette refonte par le rôle croissant de XRPL. Le réseau prend désormais en charge les paiements institutionnels, la tokenisation d'actifs réels et des projets d'infrastructure financière tels que l'initiative BLOOM de l'Autorité monétaire de Singapour, un programme soutenu par la banque centrale et explorant la monnaie et les paiements numériques. Face à la complexité croissante des tâches et à l'importance grandissante des enjeux, Ripple estime que les méthodes de test traditionnelles ne suffisent plus.

Le rôle de l'IA dans les tests de sécurité modernes

L'IA n'est pas nouvelle dans le domaine de la sécurité logicielle, mais son application aux protocoles blockchain s'est accélérée. Les outils d'apprentissage automatique peuvent explorer systématiquement de vastes bases de code, détecter les cas limites et simuler le comportement des attaquants à une échelle qu'une analyse manuelle ne peut égaler.

Un exemple éloquent : lors d’une expérimentation de deux semaines, le modèle Claude Opus 4.6 d’Anthropic a identifié 22 vulnérabilités dans le navigateur Firefox, dont 14 ont été classées comme extrêmement critiques. Ce type de résultat a incité les développeurs blockchain du secteur à prendre plus au sérieux la sécurité assistée par l’IA.

Ripple estime que des acteurs malveillants utilisent déjà des outils similaires pour trouver des vulnérabilités, ce qui exige une réponse symétrique de la part des développeurs.

Que comprend réellement la stratégie de sécurité de l'IA de Ripple ?

La stratégie s'articule autour de six piliers, couvrant tous les aspects, de la manière dont le code est écrit à la manière dont les modifications sont approuvées pour le réseau en production.

Les principaux composants techniques sont :

• Analyse du code assistée par l'IA sur chaque demande de fusion (PR) : Chaque modification de code proposée est examinée à l'aide d'outils d'analyse adverse avant d'être fusionnée, ce qui permet de détecter les problèmes plus tôt dans le processus.
• Tests de fuzzing automatisés et tests adverses : Ripple utilise le fuzzing, ce qui consiste à fournir au système des entrées inattendues ou malformées pour observer sa réaction, guidée par des modèles de menaces explicites plutôt que par des entrées aléatoires.
• Modélisation des menaces et cartographie de la surface d'attaque : Les fonctionnalités nouvelles et existantes sont analysées en fonction de leurs interactions, et non seulement de leur comportement isolé.
• Simulation de cas limites : Les outils d'IA génèrent des scénarios de stress qu'il serait impossible de construire manuellement, notamment aux frontières où l'ancien code rencontre les nouvelles fonctionnalités.

L'équipe rouge assistée par l'IA

Une équipe rouge en sécurité informatique est un groupe dont le rôle est de penser et d'agir comme un attaquant. Ripple a mis en place une équipe rouge dédiée, assistée par l'IA et axée spécifiquement sur le code source XRPL. Cette équipe examine l'interaction des fonctionnalités en conditions réelles plutôt que de tester chaque fonctionnalité isolément, ce qui est souvent le point faible des systèmes à longue durée de vie.

Découvrez des projets prometteurs...

Des projets prometteurs...

(Publicité)

L'article continue...

L'équipe de test rouge a déjà découvert plus de 10 failles. Ripple indique que tous les problèmes identifiés sont traités en priorité et corrigés, les découvertes les plus importantes faisant l'objet de procédures de divulgation coordonnées.

Comment Ripple résout-il les problèmes de code structurel ?

Au-delà des tests actifs, Ripple travaille à moderniser son code source. Cela permet de résoudre une catégorie de problèmes que les tests seuls ne peuvent pas entièrement régler.

Dans les systèmes à longue durée de vie, les bogues proviennent souvent de problèmes structurels plutôt que d'erreurs isolées. Ripple en a identifié plusieurs dans la XRPL :

• La sécurité des types est limitée, ce qui signifie que le code n'applique pas toujours des règles strictes concernant le type de données qu'une fonction peut accepter ou renvoyer.
• Des schémas d'interaction incohérents entre les fonctionnalités ajoutées à différentes périodes de l'histoire du réseau.
• Application insuffisante des invariants, où les hypothèses sur le comportement attendu du système ne sont pas formellement vérifiées par le code lui-même.
• Hypothèses non documentées ou non appliquées sur lesquelles les développeurs s'appuient implicitement, mais que le système ne vérifie pas.

La résolution de ces problèmes rend le système plus prévisible et plus facile à appréhender, réduisant ainsi la probabilité de bugs résultant d'interactions inattendues.

Quels changements apporter aux amendements XRPL ?

Les amendements constituent le mécanisme permettant d'activer les modifications au niveau du protocole sur le registre XRP. Ils nécessitent un consensus des validateurs avant d'entrer en vigueur.

Ripple renforce les exigences en matière d'évaluation des modifications avant leur activation. Désormais, toute modification importante du protocole nécessitera de multiples audits de sécurité indépendants, des programmes de primes aux bogues élargis pour inciter les chercheurs externes, et des tests d'attaque (ou « attackathons »), événements structurés où les participants tentent activement de compromettre les nouvelles fonctionnalités avant leur mise en service.

Ripple indique qu'elle définira et publiera des critères de préparation à la sécurité explicites en collaboration avec la Fondation XRPL, établissant des seuils clairs pour les tests, l'examen et l'évaluation des risques que les modifications doivent respecter avant d'être activées sur le réseau.

Que réserve l'avenir au registre XRP ?

Ripple a confirmé que la prochaine version XRPL sera entièrement consacrée à la correction de bogues et à l'amélioration du code, sans aucune nouvelle fonctionnalité. Cela indique une pause délibérée dans le développement de nouvelles fonctionnalités afin de se concentrer sur les travaux de base.

L'entreprise prévoit également d'approfondir sa collaboration avec des partenaires externes, notamment XRPL Commons, la Fondation XRPL, des chercheurs en sécurité indépendants, des opérateurs de validateurs et des sociétés de sécurité externes. La répartition des efforts de sécurité entre plusieurs organisations aux perspectives différentes est une pratique courante dans les infrastructures critiques, et Ripple formalise actuellement cette approche pour XRPL.

Les informations relatives à la sécurité, les conclusions publiées et les enseignements tirés seront partagés ouvertement avec la communauté au sens large, dans le cadre d'un engagement explicite de transparence.

Conclusion

Ripple intègre l'IA à chaque étape du développement du registre XRP, depuis l'examen des modifications individuelles du code jusqu'à la simulation adverse à grande échelle du réseau en production. 

L'équipe de test a déjà découvert plus de 10 failles, la prochaine version de XRPL ne contiendra aucune nouvelle fonctionnalité et de nouveaux critères de sécurité pour les modifications sont en cours d'élaboration avec la Fondation XRPL. Cette initiative répond directement au rôle croissant du réseau dans les paiements institutionnels et la tokenisation d'actifs, domaines où la tolérance aux défaillances d'infrastructure est quasi nulle.

Ressources

1. Article de blog de RippleRenforcer la sécurité du registre XRP grâce à l'IA pour la prochaine phase de croissance

2. Rapport de Tech In AsiaRipple ajoute des contrôles de sécurité basés sur l'IA au développement du registre XRP

3. Rapport de CoinDeskRipple recourt à l'IA pour tester la robustesse du registre XRP à mesure que les cas d'utilisation institutionnels se développent.