Quatre semaines pour réaliser un travail de vérification informatique qui aurait auparavant mobilisé des spécialistes pendant plusieurs années. C'est la performance annoncée par Google DeepMind, qui vient d'utiliser l'intelligence artificielle pour démontrer mathématiquement certaines garanties de sécurité du système de chiffrement de Signal, l'une des messageries les plus réputées pour la confidentialité de ses échanges. Le 10 novembre, les chercheurs de Google ont présenté AlphaProof Code, un nouvel outil qui utilise plusieurs agents d'intelligence artificielle pour analyser des logiciels et construire des preuves mathématiques de leur bon fonctionnement.
Pour comprendre l'intérêt de cette approche, il faut distinguer deux manières de vérifier un programme. Habituellement, les spécialistes cherchent des bugs en multipliant les tests et les simulations d'attaques. Mais même après des millions d'essais réussis, rien ne garantit qu'une situation particulière ne provoquera pas une faille. La vérification formelle fonctionne autrement. Elle consiste à définir précisément les propriétés que le programme doit respecter, puis à démontrer mathématiquement qu'il les respecte dans les conditions étudiées. Cette technique existe depuis longtemps, mais elle demande énormément de travail. Google a donc confié une partie de cette tâche à des agents IA, sous la supervision de chercheurs humains. Leur terrain d'expérimentation était particulièrement ambitieux : le protocole Signal, également utilisé sous différentes formes dans WhatsApp et Google Messages. Les chercheurs ont analysé une partie de son code jusqu'au niveau des instructions réellement exécutées par les processeurs. L'objectif était notamment de vérifier que certains mécanismes protégeaient les conversations, même lorsque des clés de chiffrement étaient compromises.
L'IA a produit environ six millions et demi de lignes de démonstrations, ensuite vérifiées par Lean, un logiciel spécialisé dans le contrôle des preuves mathématiques. Pour tester leur méthode, les chercheurs ont également réintroduit deux anciennes vulnérabilités de Signal, corrigées depuis. Le système a correctement démontré que les versions modifiées ne respectaient plus les garanties étudiées. Mais attention : cela ne signifie pas que Signal est désormais impossible à pirater. L'expérience ne couvre ni l'application complète, ni les conversations de groupe, ni toutes les situations impliquant plusieurs appareils. Certaines fonctions cryptographiques sont également considérées comme sûres sans avoir été entièrement vérifiées.
L'intérêt se situe donc ailleurs. Si cette méthode peut être étendue, les développeurs pourraient demain accompagner certaines parties de leurs logiciels de preuves mathématiques, plutôt que de dépendre uniquement des tests classiques. Google a publié les résultats et les démonstrations pour permettre à d'autres chercheurs de les examiner. Le coût de cette expérience n'a cependant pas été communiqué.
Source : Google Deepmind
","author_name":"Choses à Savoir"}