Les nouveaux contrats Stylus d’Arbitrum, gelés sur Arbitrum One depuis le 2 octobre, pourraient être réactivés grâce à une proposition publiée sur le forum de gouvernance de l’Arbitrum DAO le vendredi 23 octobre à 18 h 48 UTC. Cette AIP constitutionnelle « Stylus Activation Contract » ne permettrait d’activer un nouveau programme Stylus qu’après un audit limité réalisé par un auditeur du programme de sécurité d’Arbitrum, puis une signature d’un multisig contrôlé par la Fondation Arbitrum. La DAO garderait le pouvoir de retirer ce rôle à tout moment. Aucun vote n’est programmé.
Pour l’instant, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il ne s’agit que d’un message de forum. Samedi 24 octobre vers 05 h 00 UTC, le fil, publié depuis le compte nommé offchain, comptait un seul message, aucune réponse et 27 vues. L’espace Snapshot de la Fondation Arbitrum n’affichait aucun sondage préalable (temperature check) sur Stylus, première étape formelle du vote. Tant que toute la procédure n’est pas allée à son terme, les nouvelles activations restent bloquées.
La question que le texte cherche à résoudre est étroite : comment laisser les équipes livrer à nouveau du code Stylus sans rouvrir la porte qui inquiétait le Conseil de sécurité ? Jusqu’au 2 octobre, activer un contrat ne demandait qu’une transaction et le gaz pour la payer. Avec ce plan, il faudrait aussi le feu vert d’un auditeur et la signature de la Fondation.
Pourquoi le Conseil de sécurité d’Arbitrum a gelé les activations Stylus le 2 octobre
La pause est intervenue dans le cadre d’une action d’urgence du Conseil de sécurité menée à bien « à 11 h 30 EST le 2 octobre 2026 », selon le compte rendu publié sur le forum d’Arbitrum. L’heure de la côte Est américaine était alors à l’heure d’été, ce qui correspond à 15 h 30 UTC ; le compte rendu a été mis en ligne à 15 h 31 UTC. Le Conseil a donné sa raison en une phrase : « AI-assisted tooling has led to an increasing number of sophisticated attacks on hand-crafted WASM programs that do not use the standard Stylus compiler toolchain », soit, en français, des outils assistés par IA qui ont entraîné un nombre croissant d’attaques sophistiquées contre des programmes WASM écrits à la main, sans la chaîne de compilation Stylus standard.
« Écrits à la main » signifie directement en bytecode WebAssembly, au lieu d’être compilés depuis Rust ou C par les outils officiels. Le Conseil explique que ces programmes sont conçus pour provoquer des comportements inattendus, par exemple dégrader les performances de la chaîne pour tous les autres utilisateurs. Il écrit aussi qu’« aucune attaque permettant le vol de fonds d’utilisateurs n’a été découverte » et que les bugs Stylus connus touchent surtout la vivacité de la chaîne (liveness), par déni de service.
De nouvelles versions d’ArbOS avaient déjà corrigé plusieurs bugs signalés et attaques connues au cours des mois précédents, indique le compte rendu. La pause a été décidée « par excès de prudence » (« out of an abundance of caution »), précise le message, afin d’empêcher de nouveaux programmes écrits à la main d’exploiter des failles que l’ArbOS actuel n’a pas encore corrigées. Le texte ne liste ni les bugs, ni les versions qui les ont réparés, ni leurs découvreurs, ni l’existence d’une attaque sur le réseau en production. CryptoSlate, qui a relayé la pause le 3 octobre, a repris l’explication d’Arbitrum sans vérifier par lui-même le lien avec les outils d’IA.
Techniquement, le gel tient à un seul réglage. Le Conseil a appelé ArbOwner.setWasmActivationGas avec la valeur maximale possible (2^64 moins 1) sur Arbitrum One et Arbitrum Nova, ce qui rend l’activation si chère en gaz qu’elle ne peut pas aboutir. Un seul paramètre de configuration ayant changé, ni mise à jour d’ArbOS ni audit n’ont été nécessaires, précise le compte rendu.
La même charge utile contenait une seconde mesure, distincte : une protection ouverte à tous sur BoLD, le système de contestation qui sécurise le règlement d’Arbitrum One sur Ethereum. Quiconque présente à cette protection deux réponses contradictoires à la même étape d’un défi en cours, toutes deux acceptées par la preuve en une étape, peut la pousser à suspendre le règlement d’Arbitrum One vers Ethereum. Arbitrum dit avoir ajouté ce garde-fou « compte tenu de la hausse des attaques assistées par IA ». La chaîne continuerait de tourner, mais les messages vers Ethereum non encore confirmés, comme les retraits, attendraient pendant que le Conseil déploie un correctif. Cette protection a fait l’objet d’un audit externe, dont le message ne nomme pas l’auteur.
Arbitrum n’est pas seul à réagir à des bugs que l’IA permet de trouver plus vite. Le 23 octobre, jour de la proposition sur Stylus, Bitcoin Core a modifié ses propres règles de divulgation pour les failles que des outils d’IA peuvent découvrir, comme nous l’avons raconté dans notre article sur l’abandon par Bitcoin Core de l’embargo pour les bugs qu’une IA peut trouver.
Qu’est-ce qu’Arbitrum Stylus et pourquoi l’activation compte
Stylus ajoute une machine virtuelle WebAssembly à côté de l’EVM sur Arbitrum : des contrats intelligents peuvent s’écrire en Rust, C et C++ et appeler des contrats Solidity, et réciproquement. Le blog d’Arbitrum l’a annoncé le 31 août 2023, en affirmant que le calcul était « over 10x improved » et la mémoire « over 100x improved » par rapport à Solidity, soit des gains de plus de 10 fois et de plus de 100 fois. Ce sont des chiffres d’Arbitrum lui-même. Stylus est arrivé sur Arbitrum One et Nova le 3 septembre 2024 avec la mise à jour ArbOS 31 « Bianca », avait rapporté The Defiant à l’époque.
Un contrat Stylus passe en production en deux temps. Le déploiement dépose le code WebAssembly sur la chaîne, et n’importe qui peut encore le faire aujourd’hui. L’activation compile ensuite le code déployé pour que la chaîne puisse l’exécuter. Les définitions de la proposition sont limpides : un contrat Stylus déployé « cannot be called until it is activated », autrement dit ne peut pas être appelé tant qu’il n’est pas activé. Bloquer l’activation suffit donc à empêcher tout nouveau code Stylus de tourner, sans toucher au déploiement ni aux contrats existants.
L’activation a aussi une date d’expiration. Par défaut, elle dure 365 jours et chacun peut la renouveler par un appel keepalive, d’après la note de la documentation d’Arbitrum sur la pause. Arbitrum One est un rollup qui se règle sur Ethereum, et Stylus lui permet d’exécuter des programmes WebAssembly, ce que ne prennent pas en charge les réseaux de couche 2 limités à l’EVM.
Comment la validation par la Fondation rouvrirait Stylus sur Arbitrum One
La proposition maintient le réglage de gaz du Conseil et ajoute un moyen de le contourner pour le code approuvé. La section 4 du texte décrit le parcours d’un développeur :
- Le développeur envoie le code source et la configuration de compilation, avec les informations que la Fondation peut raisonnablement demander, et accepte les conditions d’activation de la Fondation.
- Un auditeur du programme de sécurité d’Arbitrum réalise un audit limité. Au minimum, il recompile le programme avec cargo stylus à partir du commit soumis et vérifie que le bytecode correspond au codehash déployé.
- L’auditeur publie un résultat, réussite ou échec, sur le forum de gouvernance d’Arbitrum.
- En cas de réussite, la Fondation remet au développeur une signature d’activation.
- Le développeur active le contrat en envoyant la transaction via le nouveau Stylus Activation Contract.
La recompilation est le cœur du dispositif. Un programme issu de la chaîne d’outils standard à partir d’un code source publié ne peut pas être du WebAssembly écrit à la main, catégorie que le Conseil tient pour responsable des attaques. L’audit doit juger si un contrat pourrait nuire au protocole Arbitrum. Il ne passe pas en revue la logique métier du contrat, et la proposition précise noir sur blanc qu’il ne garantit pas que cette logique métier soit exempte de bugs.
Sur la chaîne, le Stylus Activation Contract exécuterait quatre actions dans une seule transaction : vérifier que l’appelant est autorisé pour ce contrat, abaisser un instant l’exigence de gaz d’activation, activer le code approuvé, puis rétablir le réglage restrictif avant la fin de la transaction. Un appel qui échoue est annulé, si bien que l’activation n’est jamais laissée ouverte. Le montage vise aussi à empêcher qu’une approbation serve à activer du code supplémentaire non approuvé. Toute nouvelle version exige un nouvel audit et une nouvelle signature.
Le périmètre se limite à Arbitrum One et s’appuie sur des capacités déjà présentes dans ArbOS 61, de sorte qu’aucune mise à jour d’ArbOS n’est requise. Arbitrum Sepolia, le réseau de test, est hors du champ de la proposition mais suivra le même processus, selon le texte. Arbitrum Nova est écartée « parce qu’elle est minimisée », et rien dans la proposition n’y rouvre les activations. Les chaînes Arbitrum à gouvernance indépendante sont traitées à part.
Qui détient le pouvoir avec le contrat d’activation Stylus
Quatre acteurs figurent dans le texte, plus le Conseil de sécurité dont le réglage reste en place. Leurs rôles, tels que la proposition les décrit :
| Acteur | Rôle dans la proposition | Limites indiquées dans le texte |
|---|---|---|
| Arbitrum DAO | Seul administrateur du contrat d’activation ; accorde, révoque ou réattribue le droit de signature et modifie la configuration | Agit par votes constitutionnels, avec leurs délais de gouvernance |
| Fondation Arbitrum | Détient le droit de signature via un multisig et gère ses propres signataires | Ne réalise pas l’audit ni sa propre évaluation de sécurité ; ne peut pas désactiver un contrat |
| Auditeur du programme de sécurité | Réalise l’audit limité et publie réussite ou échec sur le forum | Vérifie le risque pour le protocole, pas la logique métier ; sociétés non nommées |
| Développeur | Soumet le code, accepte les conditions de la Fondation, envoie la transaction d’activation | Nouvel audit et nouvelle signature pour chaque nouvelle version |
| Conseil de sécurité | Son réglage de gaz du 2 octobre reste en vigueur et n’est contourné que pour le code signé | Un vote contre la proposition ne lève pas la pause |
Le mandat de la Fondation serait « ongoing », continu, dès la mise en œuvre, avec « no automatic expiry », sans expiration automatique. Il ne prend fin que si la DAO le modifie ou le révoque. L’adresse du multisig et la composition des signataires ne sont pas publiques ; la proposition les promet avant le vote on-chain, avec le code source, les adresses de déploiement et la charge utile de gouvernance.
La Fondation s’appuierait aussi sur d’autres pour la décision elle-même. Selon le texte, elle « does not perform the audit and does not make its own assessment », c’est-à-dire ne réalise pas l’audit et ne fait pas sa propre évaluation de la sécurité d’un contrat, et se fie au résultat publié par l’auditeur. La signature, hors chaîne dans les définitions de la proposition, confirme que le code est éligible à l’activation sur la base de cet audit.
Ce qui reste permissionless pour les contrats Stylus, et ce qui ne l’est plus
Une grande partie de Stylus continue de fonctionner comme avant. La proposition et le compte rendu du Conseil s’accordent sur ce qui n’est pas touché :
- Les contrats Solidity et EVM ne sont pas concernés, ni au déploiement ni à l’exécution.
- N’importe qui peut appeler un contrat Stylus activé, ancien ou approuvé par la nouvelle voie.
- Les contrats actifs continuent de tourner jusqu’à leur expiration, 365 jours après leur dernière activation ou leur dernier renouvellement sur Arbitrum One. La mise à jour ArbOS 61 les a tous renouvelés, si bien qu’aucun n’expire avant le 20 août 2027, a indiqué le Conseil.
- Chacun peut toujours renouveler un contrat actif via keepalive.
Passeraient en revanche par l’audit et la signature : tout nouveau code Stylus, y compris une nouvelle version d’une application existante, et la réactivation d’un contrat expiré ou à mettre à jour après un changement de version de Stylus. Une équipe qui exploite aujourd’hui une application Stylus garde son contrat en ligne, mais toute évolution qu’elle voudrait publier attendra la nouvelle voie.
La proposition regarde aussi plus loin. Des « protocol-level activation controls », contrôles d’activation au niveau du protocole, et un moyen de désactiver des contrats Stylus sont prévus dans une future proposition ArbOS, que cette AIP n’autorise pas.
Les risques que la proposition liste pour son propre dispositif
Le texte comporte une section intitulée « Risks and Tradeoffs ». Aucun délégué ni développeur n’avait répondu dans le fil au moment de notre vérification, et Coindaro n’a trouvé aucune critique publiée du plan ; les points ci-dessous sont donc ceux de la proposition elle-même.
Les développeurs dépendraient de la disponibilité des auditeurs et de la Fondation pour chaque nouvelle activation. La proposition cite les retards d’audit ou de signature, les refus et la perte d’accès au signataire parmi les causes de lancements et de mises à jour retardés. Les demandes seraient traitées selon le principe des « reasonable efforts », des efforts raisonnables, sans calendrier fixe, le délai dépendant du volume de demandes, de la capacité des auditeurs et de la complexité du code.
Comme le mandat n’expire pas, transférer le droit de signature à quelqu’un d’autre nécessiterait une action de gouvernance. Un audit limité, ajoute le texte, « cannot guarantee that every activated contract is safe » (ne peut pas garantir que tout contrat activé soit sûr), et « a compromised signer could provide an activation signature for harmful code » : un signataire compromis pourrait fournir une signature d’activation pour du code nuisible. Il n’existe toujours aucun mécanisme pour désactiver un contrat une fois qu’il tourne.
Le contrat d’activation lui-même requiert des permissions de propriétaire de la chaîne. Ses contrôles d’accès, sa capacité de mise à jour et sa gestion du changement temporaire de gaz doivent être audités par Trail of Bits, dont le rapport devrait être publié avant le vote on-chain.
Notre lecture (c’est une analyse de Coindaro, pas une réaction rapportée ni une citation de la proposition) : le plan remplace un gel général par un filtre contrat par contrat où un auditeur tranche et une seule organisation signe, sur une étape que n’importe qui pouvait franchir jusqu’au 2 octobre. Le texte conserve de vrais garde-fous, du contrôle de la DAO sur le droit de signature à l’absence de pouvoir de la Fondation pour éteindre des contrats. La Fondation a aussi déjà essuyé des résistances de la DAO. En avril 2023, les détenteurs de jetons ont voté massivement contre l’AIP-1, alors que 750 millions d’ARB, soit environ 1 milliard de dollars à l’époque, avaient déjà été transférés à la Fondation, a rapporté The Block. Nous citons cet épisode comme simple contexte ; il ne dit rien de la manière dont les délégués voteront sur Stylus.
Pas encore de date de vote : les étapes avant la réouverture de Stylus
La proposition fixe un ordre d’étapes, mais aucune date :
- Discussion sur le forum, étape actuelle.
- Un sondage préalable (temperature check) sur Snapshot.
- Mise en œuvre et revue : le contrat d’activation et la charge utile sont finalisés et testés, et le rapport de Trail of Bits, le code source et les adresses sont publiés.
- Un vote on-chain sur l’AIP constitutionnelle, avec les options POUR, CONTRE et ABSTENTION.
- En cas d’approbation, les délais de gouvernance requis, puis l’exécution sur chaque chaîne concernée.
Les activations par la nouvelle voie ne pourront démarrer qu’une fois cette exécution terminée et le processus en place. La proposition ajoute un point qui compte pour quiconque espère qu’un vote « non » rétablirait simplement les anciennes règles : un vote CONTRE « does not automatically lift » la pause du Conseil, c’est-à-dire ne la lève pas automatiquement, et une autre politique d’activation exigerait sa propre action de gouvernance.
Plusieurs éléments manquent encore. Le texte ne donne aucune date pour le Snapshot ou le vote on-chain, ni pour la réouverture. Il ne nomme pas les auditeurs, n’indique ni le coût d’un audit limité ni qui le paierait. La DAO ne financerait rien de nouveau : la Fondation et ses prestataires assument l’ingénierie du contrat d’activation et la coordination de son audit, ce qui est distinct des audits propres aux développeurs. L’adresse du multisig et ses signataires sont inconnus, tout comme le nombre de contrats ou d’équipes Stylus qui attendent d’activer.
Ce que les développeurs Stylus peuvent surveiller
Les développeurs pourraient adresser leurs demandes à [email protected], indique la proposition, et la Fondation publierait les conditions d’utilisation du contrat d’activation si la DAO l’approuve. Les équipes qui ont des contrats en ligne ont jusqu’au 20 août 2027 au moins avant toute expiration, et les renouvellements par keepalive fonctionnent toujours.
Le programme de subventions Stylus Sprint de la DAO est déjà terminé. Un bilan du Stylus Sprint publié sur le forum le 23 octobre à 19 h 08 UTC, préparé par Entropy pour le comité du Stylus Sprint, indique que le rapport a été achevé avant l’action du 2 octobre et que ses recommandations reflètent la situation d’avant la pause. Les subventions restées en partie inachevées suivent la procédure de résiliation de la Fondation, et Entropy s’attend à ce que les fonds restants reviennent à la DAO « in a few weeks », d’ici quelques semaines.
La prochaine échéance à guetter est le sondage préalable sur Snapshot, qui n’avait pas été publié le 24 octobre. La prochaine date fixe d’Arbitrum côté jeton n’a rien à voir avec Stylus : le dernier déblocage d’ARB pour l’équipe et les investisseurs en mars 2027.