L'audit IA a trouvé de vraies vulnérabilités, mais ne vous réjouissez pas trop tôt : la reproduction et la vérification sont les véritables défis, et l'examen manuel final est une étape incontournable.

L'article conclut que les agents IA peuvent assister l'audit de code Ethereum, ayant déjà découvert des vulnérabilités réelles, dont CVE-2026-34219 dans libp2p Gossipsub. Le goulot d'étranglement principal est passé de la découverte à la validation. L'IA excelle à combiner le code et la documentation pour rechercher des vulnérabilités et générer des reproducteurs, mais peut évaluer à tort des chemins inaccessibles comme accessibles, amplifier la gravité, et identifier insuffisamment les vulnérabilités déclenchées en plusieurs étapes. Par conséquent, tous les candidats de vulnérabilités doivent être reproduits indépendamment dans le code réel, validés et dédoublonnés de manière indépendante, et la divulgation est finalement confirmée manuellement.