Une équipe de recherche en sécurité, utilisant un système d'audit IA spécialisé nommé zkao, a identifié une vulnérabilité critique au sein de la bibliothèque guest openvm-pairing d'OpenVM. Cette faille, attribuée au CVE-2026-46669, compromet l'intégrité fondamentale des preuves à divulgation nulle de connaissance exécutées sur la machine virtuelle zkVM. Elle a été corrigée et déployée dans la version 1.6.0 d'OpenVM. Les pairings constituent le fondement cryptographique de nombreux protocoles blockchain, notamment Groth16, PLONK et les signatures BLS. Ils permettent de valider mathématiquement qu'une preuve est authentique. Pour optimiser le coût computationnel dans un circuit zk, le vérificateur n'exécute pas directement l'exponentiation finale, qui serait trop lourde. Il vérifie à la place une relation simplifiée à l'aide d'un facteur de mise à l'échelle fourni par le prouveur. La faille résidait dans le fait que la bibliothèque d'OpenVM vérifiait uniquement que ce facteur n'était pas nul, mais omettait de confirmer qu'il appartenait au sous-corps mathématique requis. Cette omission permettait à un acteur malveillant de forger n'importe quelle égalité de pairings, rendant vulnérables tous les rollups, ponts ou protocoles de confidentialité exécutant des codes sur OpenVM. Le correctif impose désormais une vérification stricte d'appartenance au sous-corps, bloquant les tentatives de contournement. Les mainteneurs ont rapidement intégré la mise à jour et tous les partenaires ont procédé à son installation. Cette découverte illustre les limites actuelles des grands modèles de langage standard pour l'analyse de code complexe. Lors de tests antérieurs, des IA grand public ont échoué à détecter des failles exploitables, car une zkVM ne se découpe pas en modules indépendants. Leur analyse fragmentée génère souvent des faux positifs ou passe à côté des interactions critiques entre composants. À l'inverse, un outil IA spécialisé, doté de méthodologies d'audit structurées et capable de contextualiser les dépendances techniques, a isolé la vulnérabilité en moins de dix heures. Les chercheurs soulignent aussi que la génération automatique de preuves de concept par des LLM reste peu fiable. Ces modèles produisent parfois des scripts valides sur du code modifié ou simulé, masquant l'état réel de la sécurité. Cette expérience confirme la nécessité de combiner l'automatisation IA ciblée et la validation humaine experte pour protéger les infrastructures critiques. D'autres missions d'audit cibleront les futures versions d'OpenVM, poursuivant l'objectif de neutraliser les erreurs complexes avant leur déploiement public.