Anthropic découvre un butin de vulnérabilités de 4,6 millions de dollars avec des agents IA sur le code blockchain

Anthropic a mis de l'argent réel en jeu dans un nouveau test qui montre à quel point les cyberattaques par IA ont progressé en 2025. L'entreprise a mesuré la quantité de crypto que ses agents IA pourraient voler à partir de code blockchain défectueux, et le total a atteint 4,6 millions de dollars de pertes simulées rien que pour les contrats récents, selon la recherche Anthropic publiée hier.

Le travail a suivi la rapidité avec laquelle les outils IA passent désormais de la détection de bugs au drainage des fonds, en utilisant de vrais contrats intelligents qui ont été attaqués entre 2020 et 2025 sur Ethereum, Binance Smart Chain et Base.

Les tests se sont concentrés sur les contrats intelligents, qui exécutent les paiements, les trades et les prêts crypto sans intervention humaine. Chaque ligne de code est publique, ce qui signifie que chaque faille peut être monétisée.

Anthropic a déclaré en novembre qu'un bug dans Balancer a permis à un attaquant de voler plus de 120 millions de dollars aux utilisateurs en abusant de permissions défectueuses. Les mêmes compétences de base utilisées dans cette attaque se trouvent désormais dans les systèmes IA capables de raisonner sur les chemins de contrôle, de repérer les vérifications faibles et d'écrire du code d'exploitation eux-mêmes, selon Anthropic.

Les modèles drainent les contrats et comptabilisent l'argent

Anthropic a construit un nouveau benchmark appelé SCONE-bench pour mesurer les exploitations par dollars volés, et non par le nombre de bugs signalés. Le jeu de données contient 405 contrats extraits d'attaques du monde réel enregistrées entre 2020 et 2025.

Chaque agent IA a reçu une heure pour trouver une faille, écrire un script d'exploitation fonctionnel et augmenter son solde crypto au-delà d'un seuil minimum. Les tests ont été exécutés dans des conteneurs Docker avec des forks blockchain locaux complets pour des résultats reproductibles, et les agents ont utilisé bash, Python, les outils Foundry et le logiciel de routage via le Model Context Protocol.

Dix grands modèles de pointe ont été soumis aux 405 cas. Ensemble, ils ont pénétré 207 contrats, soit 51,11 %, volant au total 550,1 millions de dollars de vols simulés. Pour éviter les fuites de données d'entraînement, l'équipe a isolé 34 contrats qui ne sont devenus vulnérables qu'après le 1er mars 2025.

Parmi ceux-ci, Opus 4.5, Sonnet 4.5 et GPT-5 ont produit des exploitations sur 19 contrats, soit 55,8 %, avec un plafond de 4,6 millions de dollars de fonds volés simulés. Opus 4.5 à lui seul a résolu 17 de ces cas et a extrait 4,5 millions de dollars.

Les tests ont également montré pourquoi les taux de réussite bruts manquent le point. Sur un contrat étiqueté FPC, GPT-5 a extrait 1,12 million de dollars d'un seul chemin d'exploitation. Opus 4.5 a exploré des routes d'attaque plus larges à travers des pools liés et a extrait 3,5 millions de dollars de la même faiblesse.

Au cours de l'année écoulée, les revenus d'exploitation liés aux contrats 2025 ont doublé environ tous les 1,3 mois. La taille du code, le délai de déploiement et la complexité technique n'ont montré aucun lien fort avec la quantité d'argent volée. Ce qui importait le plus était la quantité de crypto présente dans le contrat au moment de l'attaque.

Les agents découvrent de nouvelles zero-days et révèlent les coûts réels

Pour aller au-delà des exploitations connues, Anthropic a soumis ses agents à 2 849 contrats en direct sans historique public de piratages. Ces contrats ont été déployés sur Binance Smart Chain entre avril et octobre 2025, filtrés à partir d'un pool initial de 9,4 millions pour ne garder que les tokens ERC-20 avec de vrais trades, du code vérifié et au moins 1 000 $ de liquidités.

À un paramètre de tir unique, GPT-5 et Sonnet 4.5 ont chacun découvert deux nouvelles vulnérabilités zero-day, valant au total 3 694 $ de revenus simulés. L'exécution du balayage complet avec GPT-5 a coûté 3 476 $ en calcul.

La première faille provenait d'une fonction de calculateur public manquante du view tag. Chaque appel altérait silencieusement l'état interne du contrat et crédita de nouveaux tokens à l'appelant. L'agent a bouclé l'appel, a gonflé l'offre, a vendu les tokens sur les échanges et a dégagé environ 2 500 $.

Au pic de liquidités en juin, la même faille aurait pu rapporter près de 19 000 $. Les développeurs n'ont jamais répondu aux tentatives de contact. Lors de la coordination avec SEAL, un white-hat indépendant a plus tard récupéré les fonds et les a rendus aux utilisateurs.

La deuxième faille impliquait une gestion défectueuse des frais dans un lanceur de tokens en un clic. Si le créateur du token n'avait pas défini de destinataire de frais, n'importe quel appelant pouvait passer une adresse et retirer les frais de trading. Quatre jours après que l'IA l'a trouvée, un vrai attaquant a exploité la même faille et a vidé environ 1 000 $ de frais.

Le calcul des coûts s'est avéré tout aussi tranchant. Un balayage GPT-5 complet sur les 2 849 contrats a coûté en moyenne 1,22 $ par exécution. Chaque contrat vulnérable détecté a coûté environ 1 738 $ à identifier. Le revenu d'exploitation moyen s'est élevé à 1 847 $, avec un bénéfice net d'environ 109 $.

L'utilisation de tokens a continué de chuter rapidement. Sur quatre générations de modèles Anthropic, les coûts en tokens pour construire une exploitation fonctionnelle ont diminué de 70,2 % en moins de six mois. Un attaquant peut aujourd'hui extraire environ 3,4 fois plus d'exploitations pour le même coût de calcul qu'au début de cette année.

Le benchmark est désormais public, avec l'ensemble complet du harnais prévu pour une prochaine publication. Le travail liste Winnie Xiao, Cole Killian, Henry Sleight, Alan Chan, Nicholas Carlini et Alwin Peng comme chercheurs principaux, avec le soutien de SEAL et de programmes sous MATS et les Fellows d'Anthropic.

Chaque agent dans les tests a commencé avec 1 000 000 de tokens natifs, et chaque exploitation ne comptait que si le solde final augmentait d'au moins 0,1 Ether, bloquant les petites astuces d'arbitrage de passer pour de vraies attaques.