Le coût le plus bas pour un chercheur en sécurité est de 1,22 dollar – Alors, où vont les humains ?

Le chercheur en sécurité le moins cher au monde coûte maintenant1,22 $ par scane de contrat.

Ces chiffres proviennent d’une étude menée à la fin de l’année 2025. L’étude montre que les agents IA peuvent identifier des vulnérabilités dans les contrats intelligents, à un coût bien inférieur à celui d’un chercheur en sécurité humain. De plus, le taux de succès a augmenté de 2 % à plus de 55 % en l’espace d’un an. L’étude a également révélé que ces agents ont réussi à générer des exploitations simulées valant jusqu’à 4,6 millions de dollars sur des contrats qui étaient auparavant considérés comme sécurisés.

L’industrie réagit de la seule manière possible : en admisant que l’ancien système d’incitations pour les bugs est défectueux. Le 29 juillet, Coinbase a réorganisé son programme d’incitations pour les bugs sur HackerOne. Les salaires versés pour les bugs de gravité élevée ont été réduits de 60 %, passant de 15 000 $ à 6 000 $.70 % pour les cas critiques, entre 50 000 et 15 000 dollars.En éliminant complètement les récompenses pour les résultats de faible et moyenne gravité. Deux jours auparavant, GitHub – le plus grand dépôt de code au monde – a apporté des modifications presque identiques, introduisantUn système à deux niveaux qui réduit de moitié les paiements publics.À tous les niveaux de sévérité, mais en réservant des récompenses exclusives pour le niveau VIP qui nécessite une invitation.

Ce n’est pas une histoire de entreprises qui sont économe en argent. C’est plutôt une histoire du fait que l’IA rend les recherches en matière de sécurité peu rentables, et force chaque entreprise ayant un code source à repenser la frontière entre ce que les machines peuvent trouver et ce que seuls les humains peuvent percevoir.

Que s’est-il passé ?C’est simple. Coinbase a constaté que, au cours du premier semestre 2026, 44 % des rapports de bugs étaient des doublons. 37 % étaient utiles, mais pas exploitables. Enfin, 15 % étaient invalides. Seulement 4 % des rapports ont conduit à des paiements. L’entreprise a écrit que « l’IA a changé qui – ou quoi – découvre les vulnérabilités liées aux ‘commodités’. Elle a également changé la vitesse et le coût avec lequel cela peut se produire ».

Des chiffres plus larges confirment cela. Le rapport annuel de HackerOne pour l’année 2025 montre que 67 % des chercheurs utilisent aujourd’hui des outils d’IA ou d’automatisation.Les rapports de vulnérabilités générés par l’IA sont devenus 210 % plus nombreux par rapport à l’année précédente.La masse de submissions de faible valeur, générés par des machines, rend plus difficile pour les équipes de sécurité de détecter les résultats significatifs qui se cachent au milieu du bruit.

Ce que cela révèle, c’est une inversion structurelle. Les programmes de remboursement pour les failles de sécurité étaient basés sur un modèle simple : il s’agissait de payer des chercheurs externes pour effectuer ce que l’équipe interne ne pouvait pas faire. L’IA a complètement renversé ce modèle. Si une outil automatisée peut scanner tout le code source d’une entreprise pour 1,22 dollar, et détecter la plupart des failles de sécurité que seules des récompenses de 500 dollars auraient pu attirer, alors l’incitation à payer pour ces failles de sécurité devient insignifiante.

Mais voici la vérité désagréable que les changements apportés par Coinbase indiquent : la même IA qui envahit les programmes de récompense pour les bugs est également utilisée pour trouver les failles qui coûtent des centaines de millions de dollars aux protocoles.

Dans la première moitié de 2026, il y a eu 344 incidents de sécurité liés aux cryptomonnaies. Les pertes totales s’élèvent à 1,32 milliard de dollars ; les pertes nettes sont en hausse de 28 % par rapport à l’année précédente, selon CertiK. Seuls les groupes liés à la Corée du Nord ont volé environ 643 millions de dollars, principalement grâce à deux attaques massives contre le Drift Protocol (270 millions de dollars liés à une faille dans la logique de règlement des conflits) et le Kelp DAO (292 millions de dollars liés à une vulnérabilité liée aux confiances entre participants).

Aucun de ces éléments n’a été détecté par les scanners d’IA. Aucun d’eux ne correspond aux types de vulnérabilités pour lesquelles on pourrait obtenir une récompense de 600 $. Il s’agissait plutôt de erreurs liées à la logique commerciale – des vulnérabilités qui nécessitent une compréhension du fonctionnement économique d’un protocole, et non simplement de savoir si son code peut être compilé.

C’est là le problème. Les outils d’IA sont très efficaces pour détecter les vulnérabilités syntaxiques – attaques de reentrance, appels externes non contrôlés, configurations incorrectes du contrôle d’accès – car il s’agit de problèmes liés à la reconnaissance de patterns. Ils sont cependant très mal adaptés pour détecter les erreurs liées à la logique économique ; celles-ci nécessitent une compréhension claire de l’intention du protocole, ce qui est impossible à détecter directement dans le code lui-même.

Une étude publiée sur arXiv en février 2026 a évalué trois modèles d’IA leaders (GPT-4.1, Gemini-2.5 et Claude Sonnet-4.5) en ce qui concerne la génération de contrats intelligents. Il a été constaté queDe 47 % à 75 % des contrats générés par l’IA contenaient au moins une vulnérabilité.L’étude a conclu que les contrats intelligents générés par les LLM sont « généralement inadaptés à une utilisation directe, sans une vérification et une correction rigoureuses de la sécurité ». L’ironie est évidente : l’IA produit simultanément des codes plus vulnérables, et découvre de nouveaux bugs dans ces codes, ce qui crée une course aux armements en matière de sécurité.

Cela crée trois jeux distincts.Pour les constructeurs et les investisseurs, afin de pouvoir participer en 2026 et au-delà.

Jeu 1 : L’économie du scanner.Les outils d’analyse statique, de fuzzing et de vérification formelle alimentés par l’IA deviennent une norme incontournable. OpenZeppelin a indiqué que…Les outils d’IA ont réduit le temps de vérification de 50%.Début 2026. La question pour les investisseurs est de savoir quel outil permet de couvrir la même portée que Slither ou Mythril dans l’analyse statique traditionnelle, et si cet outil peut créer une barrière autour des données de vulnérabilités et du réglage fin des modèles propriétaires. Les entreprises qui se positionnent dans cette catégorie sont des entreprises spécialisées dans les infrastructures, mais elles doivent faire face à une dynamique où le marché devient de plus en plus compétitif : la scanning devient un service de commodité, et les marges bénéficiaires diminuent.

Jeu 2 : L’humain au centre du processus.The Trail of Bits a constaté que environ 50 % des données réelles…Les vulnérabilités ne seront probablement pas détectées par aucun outil automatisé.C’est un cas particulier pour les équipes de sécurité d’élite qui se spécialisent dans l’examen des logiques commerciales, les aspects économiques des protocoles et la pensée antagoniste. Ces équipes ne compétent pas par volume ou vitesse ; elles compètent par leur jugement. Le programme Cantina de Coinbase pour les vulnérabilités des smart contracts dans le cadre du Web3 reste inchangé, malgré les réductions apportées au niveau du Web2 – ce qui montre que l’entreprise reconnaît les différences économiques liées à la sécurité au niveau des protocoles. Les entreprises qui se positionnent comme étant la couche humaine au-dessus de l’analyse automatique par l’IA possèdent une valeur durable, mais elles rencontrent un problème de croissance : les chercheurs en sécurité sont rares, et le manque de personnes compétentes ne permet pas une croissance significative.

Jeu 3 : L’audit continu.Les données de CertiK montrent un problème structurel : les audits ponctuels sont obsolètes dans un monde où l’IA peut exploiter le code déployé récemment en quelques heures. L’étude Anthropic souligne cela clairement : à mesure que les coûts de scan diminuent et que les capacités augmentent, la période entre le déploiement du code et son exploitation se réduit. Les entreprises qui mettent en place des systèmes de surveillance continue et des processus d’audit automatisés – non pas comme fonction produit, mais comme une infrastructure de sécurité intégrée – seront celles qui pourront tirer profit de ce changement. C’est là une opportunité économique : s’insérer dans le processus de sécurité en cours, où les revenus augmentent avec chaque modification du code, plutôt que de se contenter d’un audit ponctuel, où les revenus sont réalisés une fois et ensuite le client s’en va.

La décision de Coinbase est un signe avant-coureur, mais ce n’est pas tout. La restructuration similaire de GitHub deux jours plus tôt, ainsi que les changements observés sur d’autres grandes plateformes, montrent qu’il s’agit d’une réajustement à l’échelle de l’industrie entière. La question est de savoir quel type d’économie de la sécurité pourrait remplacer le modèle de récompenses qui a été affaibli par l’intelligence artificielle.

Le PDG de Coinbase, Brian Armstrong, a déclaré queEnviron 40 % du code de l’entreprise est maintenant généré par l’IA.L’objectif est de faire passer ce chiffre au-delà de 50 %. Cela signifie que Coinbase génère en même temps plus de code vulnérable, tout en se protégeant des attaques menées par l’IA. Ainsi, c’est le cas d’essai le plus difficile pour ce nouveau paradigme de sécurité. Si Coinbase ne parvient pas à gérer correctement les aspects économiques, la plupart des entreprises ne pourront pas non plus y arriver.

Pour les constructeurs :Ne considérez pas l’analyse par IA comme votre stratégie de sécurité. Considérez-la plutôt comme une base de référence. Ajoutez une évaluation humaine, en particulier pour les logiques commerciales et les hypothèses économiques. Intégrez une surveillance continue dans votre processus de développement, sans attendre la fin du projet. Les protocoles qui survivront au prochain cycle seront ceux qui considèrent la sécurité comme un processus, et non comme un événement isolé.

Pour les investisseurs :Les outils de scan sont une infrastructure de marché dont les marges sont très étroites. Ce sont les entreprises durables qui se positionneront entre le bruit généré par l’IA et les problèmes coûteux qui entraînent des pertes financières – la couche de jugement humain, les plateformes de surveillance continue, les entreprises qui intègrent la sécurité dans le processus de développement lui-même.

Le chercheur le moins coûteux au monde coûte 1,22 dollar. La vulnérabilité la plus chère coûte 292 millions de dollars. La question n’est pas de savoir si l’IA remplacera les recherches en matière de sécurité. C’est plutôt quelles entreprises décideront où dépenser les ressources humaines avant que quelque chose ne se produise entre ces deux chiffres.