14 août 2026 · Observation de la sécurité : auto-hébergement et agents IA

1. La surface d’attaque des portefeuilles matériels ne se limite pas aux appareils et aux clés privées.

D’après l’annonce de Trezor, son prestataire de services logistiques, ShipMonk, a été victime d’un accès non autorisé : les noms, adresses e-mail, numéros de téléphone et adresses de livraison de 11,742 clients ont été exposés, et 1,947 autres personnes ont vu leurs noms, villes et e-mails compromis. Les appareils et les systèmes internes de Trezor n’ont pas été piratés ; toutefois, les informations d’identité et de logistique augmentent le risque de phishing plus ciblé, de faux service client et de fausses livraisons.

2. La « raisonnement caché » des agents IA peut aussi devenir une source de données de la chaîne d’approvisionnement.

Selon une republication de Decrypt au sujet d’un rapport de recherche, des chercheurs ont décodé 315 320 éléments de raisonnement à partir de journaux de sessions d’agents IA partagés publiquement. Ils ont découvert des données telles que des clés API, des mots de passe et des informations personnelles, qui n’étaient pas censées apparaître dans les sorties visibles. Le risque ne se limite pas au fait que des journaux soient rendus publics : des instructions malveillantes peuvent aussi se cacher dans des blocs de raisonnement difficiles à observer par la surveillance de sécurité, formant ainsi une injection d’instructions invisible.

3. Deux éléments pointent vers la même ligne rouge : la sécurité des clés ne doit pas se résumer à « le chiffrement est-il en place ? ».

Il faut plutôt se demander : par qui les données sont traitées, combien de temps elles sont conservées, qui peut les voir, et si, en cas d’incident, on peut clairement délimiter le risque. Le premier concerne la logistique et les informations d’identité ; le second, le contexte de l’agent et ses identifiants. Dans les deux cas, ce n’est pas un seul contrôle technique ponctuel qui peut résoudre le problème.

Divulgation : organisée par l’équipe de CoWallet. Nous concevons des portefeuilles MPC avec ECDSA à seuil ; nous avons donc une position sur les sujets liés à l’auto-hébergement et à la sécurité des clés.