Google DeepMind affirme avoir franchi un obstacle de longue date en cybersécurité : utiliser la vérification formelle assistée par IA pour tester le code compilé réel derrière le chiffrement de Signal, plutôt que seulement la conception du protocole.

Ce travail est important, car les systèmes cryptographiques peuvent être solides sur le papier tout en laissant des erreurs s’introduire lors de la création et de la compilation des logiciels. DeepMind a indiqué que son cadre AlphaProof Code associait des experts humains — qui définissaient et examinaient les spécifications de sécurité — à des agents alimentés par Gemini Carbon, lesquels ont généré plus de six millions de lignes de code de preuve Lean. Le système a ensuite signalé environ 1 % de la base de code pour un examen humain supplémentaire.¹

L’entreprise affirme que cet effort de quatre semaines a établi des propriétés essentielles, notamment la protection des messages avant et après la compromission temporaire d’un appareil. Afin de vérifier si le cadre pouvait distinguer un logiciel sûr d’un logiciel défaillant, les chercheurs ont réintroduit deux bogues précédemment corrigés dans une version isolée de Signal ; dans les deux cas, il a produit des preuves vérifiées par machine montrant que le code modifié n’était pas sûr.¹

Le résultat a été présenté publiquement comme une première. Dans une annonce republiée, le directeur général de DeepMind, Demis Hassabis, a mis en avant l’affirmation de son équipe selon laquelle elle avait prouvé des propriétés de sécurité essentielles du code machine sous-jacent à Signal, la qualifiant de première vérification formelle de code de production réel pour un protocole largement déployé.Demis Hassabis (demishassabis)²

Le directeur technologique de Signal, Ehren Kret, a présenté cette avancée moins comme un remplacement du jugement humain que comme une extension majeure de ce que la vérification peut couvrir. « Utiliser des agents d’IA pour traduire du code en production en théorèmes Lean valides constitue une avancée majeure », a-t-il déclaré, estimant que le processus donne à Signal davantage de confiance dans ses promesses de confidentialité à mesure que les menaces pilotées par l’IA se développent.¹

Axios a rapporté que le chercheur scientifique de DeepMind Swarat Chaudhuri a décrit l’ambition plus large comme l’atteinte de « ce monde de logiciels impossibles à pirater », bien que le système actuel demeure un projet de recherche et non un outil commercial de cybersécurité.³ DeepMind prévoit de publier en open source ses artefacts de vérification et d’explorer des liens avec des outils tels que CodeMender et Project Zero — une première étape vers l’intégration de garanties mathématiques dans le développement quotidien de logiciels.¹