L'outil de codage IA demandé par Brian Armstrong pour Coinbase peut être détourné par un nouveau virus
- Le cabinet de cybersécurité HiddenLayer a découvert une « CopyPasta License Attack » qui exploite l'outil de codage IA préféré de Coinbase, Cursor.
- La vulnérabilité permet au malware de se propager silencieusement à travers les bases de code, en insérant des portes dérobées et en exfiltrant des données sensibles.
- Le PDG de Coinbase, Brian Armstrong, fait face à une vive critique après avoir révélé que l'IA rédige désormais 40 % du code de l'entreprise, avec des projets d'expansion.
Le PDG de Coinbase a peut-être forcé son entreprise à utiliser les outils IA Cursor, mais selon la plateforme de cybersécurité HiddenLayer, ce mouvement pourrait exposer l'échange à des risques.
L'assistant de codage IA préféré des développeurs de Coinbase s'est avéré vulnérable à une cyberattaque capable d'implanter un malware caché et de compromettre l'ensemble de l'organisation, selon un nouveau rapport de l'entreprise de cybersécurité HiddenLayer.
Dans un blog publié jeudi soir, HiddenLayer a écrit que l'attaque expose les faiblesses de l'éditeur de code Cursor par le biais d'une exploitation connue sous le nom de « CopyPasta License Attack », une méthode qui semble inoffensive à l'extérieur, mais intègre des instructions malveillantes dans des fichiers développeurs courants.
HiddenLayer découvre l'attaque CopyPasta
Cursor fournit une autocomplétion intelligente, des suggestions de code automatisées et une détection d'erreurs en temps réel pour aider les développeurs à simplifier le codage. Mais en mode Auto-Run, où le logiciel peut exécuter des commandes automatiquement, les chercheurs ont découvert une faille qui contourne les protections destinées à empêcher l'exécution d'instructions non sécurisées sans approbation.
HiddenLayer a soutenu que l'attaque CopyPasta exploite les invites système (system prompts) au sein de Cursor, qui sont impératives pour la conformité des licences logicielles. Elle imite le texte de licence comme les accords GPL, puis se déguise en texte markdown README.
L'attaque utilise également des commentaires cachés dans les fichiers markdown et des entrées basées sur la syntaxe pour faire passer des instructions malveillantes pour des commandes de développeur autoritaires.
« Combinées à des instructions malveillantes, l'attaque CopyPasta est capable de se répliquer simultanément de manière obscurcie dans de nouveaux dépôts et d'introduire des vulnérabilités délibérées dans des bases de code qui seraient autrement sécurisées », a déclaré HiddenLayer dans sa divulgation.
Lors des tests, les chercheurs ont utilisé une charge utile inoffensive qui insérait une seule ligne de code au début de tout fichier Python. Mais ils ont averti que la même méthode pourrait être utilisée lors de violations de sécurité, y compris l'installation de portes dérobées, l'exfiltration de données sensibles, la consommation de ressources système ou la corruption d'environnements de production.
Les chercheurs l'ont comparée à des expériences telles que l'attaque « Morris II », par exemple, qui a montré comment les agents de messagerie pouvaient être trompés pour spammer ou fuiter des données tout en se reproduisant. Morris II avait un taux de succès théorique élevé, mais il était limité en pratique car les systèmes de messagerie nécessitaient toujours une révision humaine avant l'envoi des messages.
HiddenLayer a déclaré que d'autres assistants de codage IA, tels que Windsurf, Kiro et Aider, propagent également l'exploitation CopyPasta vers de nouveaux fichiers d'une manière qui n'est pas facilement détectable. La vulnérabilité a été signalée indépendamment par HiddenLayer et le groupe de sécurité BackSlash.
Les ingénieurs de Coinbase sous forte pression de codage IA
Comme rapporté par Cryptopolitan hier, le PDG de Coinbase, Brian Armstrong, a divulgué que l'équipe d'ingénierie de l'échange utilise Cursor comme son outil préféré pour la plupart de ses travaux, avec l'intention de faire en sorte que « chaque ingénieur de Coinbase » l'utilise d'ici février prochain.
Le chef de l'entreprise a déclaré à John Collison, co-fondateur de Stripe, dans un podcast fin août qu'il avait donné une semaine aux développeurs pour commencer à utiliser GitHub Copilot et Cursor, ou perdre leur emploi.
« Je suis parti en vrille et j'ai posté dans le canal Slack général. L'IA est importante. Nous avons besoin que vous appreniez tous et que vous vous intégriez au moins. Vous n'avez pas à l'utiliser tous les jours pour l'instant jusqu'à ce que nous fassions une formation, mais intégrez-le au moins d'ici la fin de la semaine. Sinon, j'organiserai une réunion samedi avec tous ceux qui ne l'ont pas fait, et j'aimerais vous rencontrer pour comprendre pourquoi », a résumé Armstrong.
Mercredi, il a posté sur X que l'IA était responsable de l'écriture d'autant que 40 % du code de l'entreprise, et s'attendait à ce que ce chiffre augmente à 50 % le mois prochain.
~40 % du code quotidien écrit chez Coinbase est généré par l'IA. Je veux le porter à >50 % en octobre.
— Brian Armstrong (@brian_armstrong) Septembre 3, 2025
Évidemment, il doit être revu et compris, et tous les domaines de l'entreprise ne peuvent pas utiliser du code généré par l'IA. Mais nous devrions l'utiliser de manière responsable autant que possible. pic.twitter.com/Nmnsdxgosp
Armstrong a été l'un des partisans les plus vocaux de l'intégration de l'IA dans les flux de travail d'entreprise dans la Silicon Valley. Mais son insistance pour que les ingénieurs adoptent des outils de codage IA ne plaît pas à certains membres de la communauté.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
