Google DeepMind utilise l'IA pour vérifier des parties du protocole Signal

En bref

Google DeepMind a vérifié formellement les garanties cryptographiques clés du protocole Signal en utilisant une IA agentique en quatre semaines.
La vérification a couvert les propriétés au niveau du code machine de la poignée de main PQXDH et du protocole Triple Ratchet sur environ 140 000 instructions.
L'analyse n'a trouvé aucune nouvelle vulnérabilité dans les parties vérifiées et a correctement identifié les failles connues dans les anciennes versions de Signal.
DeepMind a déclaré que ce travail constitue une étape importante et que l'extension de la vérification formelle à tous les logiciels reste un objectif à long terme.

Vérification du protocole Signal

Les chercheurs de Google DeepMind ont utilisé une IA agentique pour prouver mathématiquement, ou vérifier formellement, un certain nombre de garanties cryptographiques clés du protocole Signal dans un projet de preuve de concept de quatre semaines. Le travail a utilisé un nouveau cadre d'IA appelé AlphaProof Code.

La vérification a couvert les propriétés au niveau du code machine pour la poignée de main PQXDH et le protocole Triple Ratchet. L'équipe a vérifié environ 140 000 instructions machine dans un binaire compilé construit à partir de la version 0.105.4 de libsignal-protocol et de la version 1.6.0 de SPQR. L'IA a généré environ 6,5 millions de lignes de code de preuve en Lean, tandis que des experts humains ont examiné les spécifications avant que les agents ne produisent les preuves.

L'analyse de DeepMind n'a trouvé aucune nouvelle vulnérabilité dans les parties du protocole Signal qu'elle a examinées. Lorsque les chercheurs ont utilisé AlphaProof Code sur des versions plus anciennes de Signal contenant des vulnérabilités connues et depuis longtemps corrigées, ils les ont correctement identifiées et ont montré que le protocole ne pouvait pas être vérifié formellement.

Portée et limites

La vérification ne couvrait pas l'intégralité de l'application mobile Signal. Les chercheurs ont souligné que leurs résultats ne constituent qu'une étape dans un processus plus large.

« Nous sommes très enthousiastes à propos de ce résultat, mais il y a encore un long chemin à parcourir avant de pouvoir étendre cela à tous les logiciels du monde, et nous voulons le faire », a déclaré Swarat Chaudhuri, chercheur chez DeepMind.

Les chercheurs ont indiqué que certaines de leurs avancées cruciales résident dans le développement d'un processus de collaboration humain-IA qui permet aux agents de contribuer et de s'auto-corriger à presque chaque phase du processus tout en sollicitant toujours l'entrée et la révision humaines à des étapes clés.

« Nous ne voulons pas de ce genre de monde où l'IA génère les objectifs et l'IA génère les preuves et, en gros, passe des examens qu'elle a elle-même rédigés », a déclaré Chaudhuri. « Il y a un terrain d'entente. »

DeepMind a réalisé l'analyse de Signal à titre gratuit dans le cadre d'un projet de recherche, et Google a refusé de communiquer le coût de l'analyse. L'entreprise a également refusé de commenter si elle avait l'intention de lancer un produit ou un service commercial de vérification formelle.

Pourquoi cela compte

Ce travail sert de validation indépendante de la cryptographie qui protège les communications sur des plateformes telles que l'application Signal, Google Messages et WhatsApp. Il démontre également les capacités de vérification formelle de Google DeepMind en utilisant AlphaProof Code. DeepMind publie les spécifications et les preuves qu'elle a développées pour l'analyse du protocole Signal afin d'aider d'autres travaux de vérification formelle.

Sources (en anglais)

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.