Vitalik Buterin d’Ethereum met en garde contre les risques de sécurité liés aux agents IA et partage sa pile LLM privée

Le cofondateur d’Ethereum, Vitalik Buterin, s’est entièrement déconnecté des services d’IA dans le cloud et a détaillé, dans un billet publié cette semaine, sa configuration d’intelligence artificielle (IA) entièrement locale, en environnement isolé (sandbox).

Points clés :

• Le cofondateur d’Ethereum Vitalik Buterin a abandonné l’IA dans le cloud en avril 2026, en exécutant localement Qwen3.5:35B sur un ordinateur portable Nvidia 5090 à 90 jetons par seconde.
• Buterin a constaté qu’environ 15 % des compétences d’agents d’IA contiennent des instructions malveillantes, en citant des données de la société de sécurité Hiddenlayer.
• Son daemon de messagerie open source applique une règle de confirmation « humain + LLM 2 sur 2 » pour toutes les actions sortantes vers Signal et par email, à destination de tiers.

Comment Vitalik Buterin exécute un système d’IA auto-souverain sans accès au cloud

Buterin a décrit le système comme « auto-souverain / local / privé / sécurisé » et a déclaré qu’il avait été construit directement en réponse à ce qu’il considère comme de graves échecs en matière de sécurité et de confidentialité qui se propagent dans l’espace des agents d’IA. Il a pointé des recherches montrant qu’environ 15 % des compétences d’agents, ou des outils en plugin, contiennent des instructions malveillantes. La société de sécurité Hiddenlayer a démontré que l’analyse d’une seule page web malveillante pouvait compromettre entièrement une instance Openclaw, lui permettant de télécharger et d’exécuter des scripts shell sans que l’utilisateur s’en aperçoive.

« Je pars d’un état d’esprit profondément inquiet, parce que, tout comme nous étions enfin en train de faire un pas en avant en matière de confidentialité grâce à la démocratisation du chiffrement de bout en bout et à de plus en plus de logiciels “local-first”, nous sommes à la veille de faire dix pas en arrière », a écrit Buterin.

Son matériel de prédilection est un ordinateur portable équipé d’un GPU Nvidia 5090 avec 24 GB de mémoire vidéo. En exécutant le modèle Qwen3.5:35B à poids ouverts depuis Alibaba via llama-server, la configuration atteint 90 jetons par seconde, ce que Buterin considère comme la cible pour une utilisation quotidienne confortable. Il a testé l’AMD Ryzen AI Max Pro avec 128 GB de mémoire unifiée, qui a atteint 51 jetons par seconde, et le DGX Spark, qui est monté à 60 jetons par seconde.

Il a déclaré que le DGX Spark, commercialisé comme un superordinateur d’IA de bureau, était peu convaincant compte tenu de son coût et d’un débit inférieur à celui d’un bon GPU de laptop. Pour son système d’exploitation, Buterin est passé d’Arch Linux à NixOS, ce qui permet aux utilisateurs de définir l’ensemble de la configuration de leur système dans un seul fichier déclaratif. Il utilise llama-server comme daemon de fond qui expose un port local auquel n’importe quelle application peut se connecter.

Claude Code, a-t-il noté, peut être pointé vers une instance locale de llama-server plutôt que vers les serveurs d’Anthropic. Le cloisonnement (sandboxing) est central dans son modèle de sécurité. Il utilise bubblewrap pour créer des environnements isolés à partir de n’importe quel répertoire avec une seule commande. Les processus s’exécutant à l’intérieur de ces sandboxes ne peuvent accéder qu’aux fichiers explicitement autorisés et aux ports réseau contrôlés. Buterin a publié en open source un daemon de messagerie sur github.com/vbuterin/messaging-daemon qui encapsule signal-cli et email.

Il a remarqué que le daemon peut lire les messages librement et s’envoyer des messages sans confirmation. Tout message sortant vers un tiers exige une approbation explicite de l’humain. Il a appelé cela le modèle « humain + LLM 2 sur 2 » et a déclaré que la même logique s’applique aux portefeuilles (wallets) Ethereum. Il a conseillé aux équipes qui construisent des outils de wallet connectés à l’IA de limiter les transactions autonomes à $100 par jour et d’exiger une confirmation humaine pour tout ce qui est au-dessus, ou pour toute transaction comportant des calldata susceptibles d’exfiltrer des données.

Inférence à distance, selon les conditions de Buterin

Pour les tâches de recherche, Buterin a comparé l’outil local Local Deep Research à sa propre configuration en utilisant le framework d’agent pi associé à SearXNG, un moteur de méta-recherche auto-hébergé axé sur la confidentialité. Il a déclaré que pi plus SearXNG produisait des réponses de meilleure qualité. Il conserve un dump local de Wikipédia d’environ 1 téraoctet, ainsi que de la documentation technique, pour réduire sa dépendance aux requêtes de recherche externes, qu’il considère comme une fuite de confidentialité.

Il a également publié un daemon local de transcription audio à github.com/vbuterin/stt-daemon. L’outil s’exécute sans GPU pour un usage de base et envoie la sortie au LLM pour correction et synthèse. Pour l’intégration à Ethereum, Buterin a déclaré que les agents d’IA ne devraient jamais détenir un accès non restreint au portefeuille. Il a recommandé de traiter l’humain et le LLM comme deux facteurs de confirmation distincts, qui chacun détectent des modes de défaillance différents.

Dans les cas où les modèles locaux sont insuffisants, Buterin a décrit une approche préservant la confidentialité pour l’inférence à distance. Il a pointé sa propre proposition ZK-API avec le chercheur Davide, le projet Openanonymity, ainsi que l’utilisation de mixnets pour empêcher les serveurs de lier des requêtes successives par adresse IP. Il a également cité les environnements d’exécution de confiance comme moyen de réduire, à court terme, la fuite de données provenant de l’inférence à distance, tout en notant que le chiffrement homomorphe entièrement fonctionnel pour l’inférence en cloud privé reste aujourd’hui trop lent pour être pratique.

Buterin a conclu par une note indiquant que le billet décrit un point de départ, et non un produit fini, et a mis en garde les lecteurs contre la copie exacte de ses outils en supposant qu’ils sont sécurisés.