Le directeur technique de Ledger appelle les chercheurs en sécurité utilisant l’IA à agir de manière responsable et met en garde contre l’« attention farming »

Les fabricants de portefeuilles crypto matériels Ledger et Trezor ont appelé à une divulgation plus responsable des vulnérabilités de sécurité.

Dans une publication mise en ligne lundi sur X, le directeur technique de Ledger, Charles Guillemet, a déclaré que l’intelligence artificielle facilitait la découverte et l’exploitation des bugs. Toutefois, certains chercheurs publient leurs découvertes avant que des correctifs soient disponibles, une pratique qu’il a qualifiée d’« attention farming aux dépens du risque d’autrui ».

Guillemet a exhorté les chercheurs à signaler les bugs en privé et à convenir d’un calendrier de correction avant de publier les détails. Il a cité 90 jours comme délai par défaut courant, avec une certaine souplesse selon la gravité de la faille et le travail nécessaire pour la corriger.

« Quatre-vingt-dix jours constituent un engagement du fabricant, et pas seulement du chercheur », a déclaré Jan Komárek, responsable de la sécurité chez Trezor, à Cointelegraph. 

« Chercheurs : contactez-nous d’abord, convenez d’un calendrier, puis publiez l’intégralité des informations ; et si nous ne parvenons pas à fournir un correctif dans ce délai, publiez-les quand même », a-t-il déclaré.

La sécurité des portefeuilles crypto matériels a fait l’objet d’un examen accru après que les vols de Coldcard ont dépassé 100 millions de dollars et qu’une violation de données chez le prestataire d’expédition de Trezor a exposé les informations personnelles de dizaines de milliers de clients.

À lire aussi : Trezor affirme qu’une violation de données touche 67 000 autres clients américains