Les bots d’IA inondent le Web3, la preuve de personnalité est la seule solution

Les airdrops réclamés par des bots avant même que les vrais utilisateurs puissent connecter leurs portefeuilles. Des votes de gouvernance basculés par des milliers de faux comptes. Des programmes de liquidité DeFi vidés par un seul acteur contrôlant dix mille adresses.

Ce ne sont pas des risques théoriques.

Ce sont les frictions majeures de chaque produit crypto qui tente de traiter ses utilisateurs comme des humains plutôt que comme des paires de clés anonymes.

Le problème sous-jacent a un nom technique — l’attaque sybil — et il existe depuis les premiers jours des réseaux pair-à-pair. La solution émergente a, elle aussi, un nom : la preuve de personnalité.

Et le marché vient de décider que cela compte.

Avec Worldcoin (WLD) en hausse de plus de 21 % au cours des dernières 24 heures et Humanity Protocol (H) en hausse de plus de 34 %, devenant ainsi l’un des actifs les plus tendance sur CoinGecko, le signal est difficile à ignorer — ce récit vient de devenir urgent.

Cet article explique précisément ce qu’est la preuve de personnalité, comment les systèmes majeurs la mettent en œuvre et pourquoi bien la concevoir compte bien au‑delà des airdrops de tokens.

TL;DR

La preuve de personnalité est une méthode cryptographique qui permet de prouver que vous êtes un humain réel et unique sur une blockchain sans forcément révéler votre nom ni aucune autre donnée personnelle.

Le principal problème qu’elle résout est l’attaque sybil, où une personne crée de nombreuses identités fictives pour exploiter des systèmes conçus pour des individus uniques.

Les approches dominantes utilisent la biométrie (scans d’iris, empreintes de paume, reconnaissance faciale), l’analyse de graphe social ou des combinaisons des deux, chacune avec des compromis distincts en matière de confidentialité, d’accessibilité et de décentralisation.

Les preuves à divulgation nulle de connaissance permettent à ces systèmes de vérifier l’humanité sans exposer les données biométriques sous‑jacentes à quiconque.

À mesure que les bots générés par l’IA deviennent indiscernables des humains en ligne, la preuve de personnalité passe d’un problème de niche du Web3 à une question d’infrastructure fondamentale de l’internet.

Ce qu’est réellement une attaque sybil et pourquoi elle casse tout

Le terme « attaque sybil » vient d’une étude de cas psychiatrique de 1973 portant sur une femme ayant 16 personnalités distinctes. L’informaticien John Douceur l’a repris dans un article de recherche Microsoft de 2002 pour décrire une classe spécifique de défaillances dans les systèmes distribués. La défaillance fonctionne ainsi : si un réseau accorde de l’influence, des ressources ou des récompenses en fonction du nombre d’identités participantes, et si la création de nouvelles identités est peu coûteuse, alors un seul adversaire peut submerger le système en créant de nombreuses fausses identités.

Dans Bitcoin (BTC) (BTC), les attaques sybil sont coûteuses car l’influence vient du travail de calcul, et non du nombre d’identités. Un mineur avec une machine reçoit des récompenses proportionnelles à sa puissance de hachage, quel que soit le nombre d’adresses qu’il contrôle. Mais la plupart des applications Web3 ne fonctionnent pas ainsi. Les airdrops de tokens donnent une allocation par portefeuille. Le vote quadratique pondère davantage les petits donateurs que les baleines, créant de forts incitatifs à répartir les fonds sur des faux comptes. Les protocoles de prêt vérifient les ratios de collatéral par adresse, et non par personne. Dans chaque cas, le système suppose implicitement qu’une adresse équivaut à un humain. Cette hypothèse s’effondre dès l’instant où un acteur rationnel réalise qu’il est moins coûteux de générer mille portefeuilles que de fournir une réelle valeur.

Une attaque sybil ne nécessite pas de pirater quoi que ce soit. Elle exige seulement que le coût de création de fausses identités soit inférieur à la récompense associée. Pour la plupart des applications Web3 aujourd’hui, les calculs penchent fortement en faveur de l’attaquant.

L’ampleur du problème croît plus vite que ce que la plupart des builders imaginent. En 2023, on estime qu’environ 20 % de l’airdrop d’Arbitrum (ARB) sont allés à des portefeuilles sybil, d’après des analyses on‑chain. Le programme d’incitations de Friend.tech a été systématiquement farmé en quelques jours après son lancement. Et tous ces exemples précèdent la génération actuelle d’agents d’IA, qui peuvent désormais créer des portefeuilles, les financer, interagir avec des protocoles et passer les contrôles basiques de détection de bots avec un minimum de supervision humaine.

Comment la preuve de personnalité crée une garantie « un humain, une identité »

La preuve de personnalité n’est pas une technologie unique. C’est un objectif de conception : créer un justificatif qu’un et un seul humain réel peut détenir, qui ne peut pas être transféré ni dupliqué, et qui peut être vérifié par n’importe quel système sans exiger de confiance en une autorité centrale.

Pensez‑y comme un acte de naissance cryptographique pour l’internet, sauf que l’émetteur n’a pas besoin de connaître votre nom.

L’idée centrale est que les êtres humains ont des attributs physiques ou sociaux uniques et difficiles à falsifier. Votre motif d’iris est statistiquement unique parmi tous les humains vivants.

Votre visage, votre empreinte de paume, vos comportements en ligne et le graphe social des personnes qui vous connaissent et se portent garantes pour vous sont tous difficiles à imiter à grande échelle. Un système de preuve de personnalité convertit l’un de ces attributs en un justificatif on‑chain qui indique « ce portefeuille appartient à exactement un humain réel » sans préciser quel humain ni à quoi ressemble son attribut.

Le justificatif lui‑même prend différentes formes selon le système. Worldcoin émet un World ID, qui est une preuve à divulgation nulle de connaissance indiquant que vous avez scanné votre iris avec le dispositif Orb du projet et que vous n’êtes pas déjà enregistré. Humanity Protocol utilise la numérisation des veines de la paume et émet un identifiant décentralisé (DID) accompagné de justificatifs vérifiables (VC). Proof of Humanity (un projet distinct basé sur Ethereum (ETH)) utilise des vidéos soumises par les utilisateurs et un système de parrainage social dans lequel des humains déjà vérifiés engagent une mise pour les nouveaux entrants.

Le standard d’or pour tout système de preuve de personnalité est que le simple fait de savoir qu’un justificatif existe ne révèle rien sur la personne derrière, si ce n’est qu’elle est humaine.

Ce qui unit ces différentes approches est la séparation entre l’événement de vérification et l’enregistrement on‑chain. Le système doit vérifier votre biométrie lors de l’inscription. Ensuite, le justificatif on‑chain porte la preuve sans conserver les données sous‑jacentes.

Les approches biométriques : comment les scans d’iris, de paume et de visage fonctionnent on‑chain

Les systèmes biométriques de preuve de personnalité fonctionnent via un pipeline en trois étapes distinctes : capture, génération de gabarit et engagement.

Lors de la capture, un dispositif matériel enregistre votre biométrie. L’Orb de Worldcoin utilise des caméras proche infrarouge pour photographier les deux iris en haute résolution.

Le matériel de Humanity Protocol capture les motifs uniques de veines dans votre paume, qui sont des structures internes invisibles aux caméras et presque impossibles à reproduire de l’extérieur. L’exigence clé à ce stade est que le matériel soit digne de confiance, c’est pourquoi les deux projets construisent soit des dispositifs propriétaires, soit utilisent des partenaires matériels certifiés plutôt que de s’appuyer sur les appareils photo des smartphones.

Lors de la génération de gabarit, l’image brute est convertie en une représentation mathématique appelée IrisCode (pour les systèmes basés sur l’iris) ou en un vecteur de caractéristiques équivalent. Un IrisCode capture la texture et la structure de l’iris sous forme de chaîne binaire compacte. Deux scans du même iris produiront des IrisCodes qui diffèrent de moins de 10 % des bits. Deux scans d’iris différents différeront d’environ 45 % des bits, ce qui est statistiquement équivalent à du bruit aléatoire. Cette différence permet de vérifier l’unicité biométrique sans inspection visuelle.

Lors de l’engagement, le gabarit est haché et le hachage est enregistré on‑chain.

Worldcoin va plus loin en utilisant un protocole de preuve à divulgation nulle de connaissance : l’Orb génère un engagement sur votre IrisCode, et le système peut ensuite vérifier qu’un nouveau scan correspond à un engagement existant sans jamais révéler l’IrisCode lui‑même ni même l’engagement en clair. L’enregistrement on‑chain ne stocke qu’un nullifier, un code à usage unique qui prouve que vous avez utilisé votre justificatif sans relier cette utilisation à votre inscription initiale.

La conséquence pratique en matière de confidentialité est significative. Un observateur qui surveille la blockchain peut confirmer que quelqu’un ayant un World ID valide a réalisé une action. Il ne peut pas déterminer de quel ID il s’agissait, à quoi ressemble son iris ni aucun autre attribut le concernant.

Les approches basées sur le graphe social et pourquoi certains systèmes évitent totalement la biométrie

Toutes les équipes qui construisent des preuves de personnalité ne considèrent pas que la biométrie matérielle soit la bonne réponse. Les objections se répartissent en deux catégories : l’accessibilité (les dispositifs Orb nécessitent une présence physique sur un site de déploiement, ce qui exclut des milliards de personnes) et la confiance (le fabricant du matériel devient un point de défaillance unique pour tout le système d’identité).

Les approches par graphe social empruntent une autre voie.

Le projet Proof of Humanity d’origine sur Ethereum demande à chaque candidat de soumettre une courte vidéo de lui‑même accompagnée d’un dépôt. Un membre déjà vérifié du réseau doit ensuite se porter garant en mettant en jeu un dépôt pour appuyer sa demande.

Si un challenger conteste une inscription et gagne, le candidat contesté perd son dépôt.

Le parrain ne perd rien en cas de présentation réussie. Ce système ne nécessite aucun matériel au‑delà d’un smartphone et ne collecte pas de gabarits biométriques.

Gitcoin Passport agrège des signaux plutôt que de se fier à un seul. Les utilisateurs accumulent des « tampons » provenant de comptes vérifiés sur différentes plateformes : contributions GitHub, noms ENS, vérification d’identité Coinbase, connexions BrightID et autres. Chaque tampon ajoute une preuve d’humanité. Le système attribue un score aux utilisateurs au‑dessus d’un seuil pour l’accès aux programmes de subventions, avec Seuils plus élevés pour les applications plus sensibles.

BrightID utilise l’analyse de graphe social de manière plus directe. Les utilisateurs rejoignent des appels vidéo virtuels avec des membres existants qui vérifient qu’ils rencontrent bien une personne réelle et distincte. Le réseau utilise des algorithmes de théorie des graphes pour identifier des grappes de comptes qui semblent être contrôlés par une même entité et les signale comme sybils probables. Le BrightID whitepaper décrit cela comme une preuve d’unicité « basée sur les connexions » plutôt que biométrique.

Chaque approche sociale introduit ses propres vulnérabilités. Les systèmes basés sur les graphes peuvent être manipulés par des groupes coordonnés qui se portent mutuellement caution au travers de fausses identités. Les appels vidéo sont vulnérables aux deepfakes à mesure que la qualité de la vidéo générée par IA s’améliore.

Les systèmes de seuils comme Gitcoin Passport partent du principe qu’acquérir simultanément de nombreux justificatifs de plateformes est suffisamment coûteux pour dissuader les attaques sybil, ce qui pourrait ne plus être vrai à mesure que les agents IA se multiplient.

Also Read: Two AI Rivals, One Compute Bill: Inside Google's $30B SpaceX Move

Pourquoi les preuves à divulgation nulle de connaissance sont la couche de confidentialité qui rend tout cela viable

Chaque système biométrique de preuve de personnalité fait face à une tension fondamentale : la vérification exige de connaître quelque chose de vrai sur vous, mais stocker cette vérité crée une base de données de surveillance. La résolution de cette tension vient des preuves à divulgation nulle de connaissance (ZKP), une technique cryptographique qui permet à une partie de prouver à une autre qu’elle connaît un fait sans révéler le fait lui‑même.

Une ZKP pour l’identité fonctionne ainsi. Imaginez que vous souhaitiez prouver que vous êtes enregistré dans le système Worldcoin à un protocole DeFi qui veut empêcher le farming sybil. Sans ZKP, vous soumettriez votre adresse de portefeuille et le protocole vérifierait votre justificatif World ID. Mais le protocole pourrait alors construire un profil de chaque action que vous avez jamais effectuée avec ce justificatif. Avec une ZKP, vous générez plutôt une preuve qui dit « Je possède un justificatif World ID valide » sans révéler lequel, ni quel portefeuille l’a initialement enregistré, ni aucune autre information d’identification. Le protocole vérifie mathématiquement la preuve et accorde l’accès.

Worldcoin met cela en œuvre en utilisant une variante du protocole ZK Semaphore, initialement développé par l’équipe Ethereum Privacy and Scaling Explorations. Semaphore permet aux membres d’un groupe de signaler leur appartenance et d’envoyer des messages sans révéler leur identité spécifique au sein du groupe. Worldcoin ajoute le mécanisme de nullifier, de sorte que chaque World ID ne puisse être utilisé qu’une seule fois par contexte applicatif, empêchant le même justificatif d’être utilisé pour réclamer plusieurs allocations.

Le défi computationnel de la génération de ZKP a historiquement rendu l’identité on‑chain peu pratique pour un usage quotidien. La génération de preuves pour des circuits complexes pouvait prendre des minutes sur du matériel grand public. Les progrès récents des systèmes de preuve, en particulier les STARKs et l’agrégation récursive de preuves, ont réduit de manière spectaculaire les temps de génération. Worldcoin indique que les preuves World ID peuvent maintenant être générées sur un smartphone en moins de deux secondes.

Les preuves à divulgation nulle de connaissance ne protègent pas seulement la vie privée des utilisateurs. Elles lèvent également la responsabilité liée au stockage de bases de données biométriques pour les applications qui utilisent des justificatifs de preuve de personnalité, puisqu’elles ne reçoivent jamais les données sous‑jacentes.

Also Read: AAVE Buyers Absorb Heavy Selling, But Price Still Slides 12%

Le problème de la centralisation et pourquoi la décentralisation est si difficile

Le problème le plus profond et non résolu de la preuve de personnalité est que les systèmes biométriques matériels exigent que quelqu’un construise et déploie le matériel. Cette entité devient un gardien, et les gardiens créent un risque de centralisation.

L’Orb de Worldcoin est conçu et fabriqué par Tools For Humanity, l’entreprise cofondée par Sam Altman. Chaque World ID commence par un scan Orb.

Si Tools For Humanity change ses politiques, se fait pirater ou fait face à une fermeture réglementaire, toute l’infrastructure de justificatifs est en danger. Le projet a rendu son code de correspondance d’iris et ses circuits ZK open source comme mesure d’atténuation partielle, et il s’est engagé à une transition vers une gouvernance communautaire. Mais la fabrication physique des appareils Orb reste centralisée.

Humanity Protocol est confronté au même défi structurel, mais à un autre niveau matériel. Les scanners de veines de la paume nécessitent un matériel spécialisé proche infrarouge qui ne peut pas simplement être répliqué par n’importe quel fabricant. Le projet a annoncé des plans pour un réseau de partenaires de vérification certifiés plutôt qu’un fabricant unique, ce qui répartit quelque peu la confiance mais n’élimine pas la dépendance au matériel physique.

Les systèmes purement sociaux comme Proof of Humanity et BrightID évitent le problème de centralisation matérielle mais introduisent leurs propres dépendances de gouvernance. Qui définit les règles de parrainage ? Qui décide quand une soumission vidéo est frauduleuse ? Qui tranche les litiges ? Ces décisions nécessitent une structure de gouvernance, et les structures de gouvernance ont leurs propres surfaces d’attaque.

Le système le plus décentralisé imaginable ne nécessiterait ni matériel ni parrainage social, en utilisant uniquement des propriétés cryptographiques de la personne elle‑même. Les chercheurs ont exploré la biométrie comportementale, les schémas de frappe, les mouvements de souris et la reconnaissance de la démarche captée par les accéléromètres des téléphones comme entrées potentielles. Aucune de ces approches n’est encore suffisamment fiable pour constituer la base unique d’un système de preuve de personnalité, mais la recherche dans cette direction est active.

Also Read: XRP And Stellar Are Trending Together Again, Here's What Traders Spotted

Qui a réellement besoin de preuve de personnalité et comment elle est appliquée

Comprendre comment la preuve de personnalité est utilisée en pratique compte autant que comprendre son fonctionnement technique. Les applications couvrent un champ plus large que ce à quoi la plupart des nouveaux venus s’attendent.

Les airdrops et la distribution de tokens sont le cas d’usage le plus visible aujourd’hui. Les protocoles qui souhaitent distribuer des tokens à de vrais utilisateurs plutôt qu’à des fermes de bots peuvent conditionner les réclamations à un World ID ou à un justificatif Proof of Humanity. Cela n’empêche pas tout farming, puisqu’un attaquant déterminé pourrait acquérir des justificatifs de manière frauduleuse, mais cela en augmente considérablement le coût. Un attaquant devrait se présenter physiquement (ou envoyer un tiers) à plusieurs emplacements Orb pour accumuler plusieurs justificatifs.

Le financement quadratique est sans doute l’application à plus forte valeur. Dans le financement quadratique, les petits dons provenant de nombreux donateurs uniques sont assortis de manière plus généreuse que les grands dons de quelques donateurs. Ce système ne produit le résultat escompté que si les donateurs sont réellement uniques. Gitcoin utilise des tampons de preuve de personnalité comme couche clé de résistance sybil dans son programme de subventions depuis 2022.

La gouvernance décentralisée est susceptible d’en tirer un bénéfice énorme. Le vote actuel dans les DAO est largement ploutocratique : les tokens équivalent à des votes, et les plus riches dominent les résultats.

Une gouvernance « une personne, une voix » devient possible lorsque l’appartenance peut être vérifiée comme des humains uniques. Des projets comme ENS, Optimism et Gitcoin ont tous exploré des modèles hybrides où le vote par token est partiellement contrebalancé par des mécanismes fondés sur l’identité.

Le revenu de base universel et les programmes sociaux représentent l’application la plus ambitieuse. La mission déclarée de Worldcoin est précisément celle‑ci : créer une population mondiale vérifiée et distribuer une part de la productivité future de l’IA à chaque humain vérifié. L’architecture de Humanity Protocol, avec sa pile DID et de justificatifs vérifiables, est conçue pour prendre en charge exactement ce type de partenariat avec des gouvernements et des ONG.

La vérification des agents IA constitue la nouvelle frontière. À mesure que des agents IA autonomes deviennent des participants dans la DeFi, leur capacité à imiter le comportement humain progresse plus vite que les méthodes de détection. Les justificatifs de preuve de personnalité pourraient devenir le mécanisme principal par lequel les protocoles distinguent les agents agissant pour le compte d’humains vérifiés de l’activité de bots entièrement autonomes. Les projets intégrant la couche IA de NEAR Protocol et des infrastructures similaires seront confrontés directement à cette question.

Also Read: LUNC Falls 31% As A Marketwide Selloff Drags Small Caps Lower

Les questions réglementaires et éthiques auxquelles personne n’a pleinement répondu

La preuve de personnalité se situe à l’intersection du droit à la vie privée, de la régulation des données biométriques et de la conformité financière, d’une manière qui n’a été pleinement résolue nulle part dans le monde.

Dans l’Union européenne, les données biométriques sont classées comme une catégorie spéciale de données personnelles au titre du RGPD et bénéficient du plus haut niveau de protection.

La collecte de scans d’iris auprès de résidents de l’UE nécessite un consentement explicite, une finalité de traitement légitime et des garanties techniques appropriées. Worldcoin a fait l’objet de mesures réglementaires dans plusieurs pays de l’UE, dont la Bavière et le Portugal, en raison de préoccupations selon lesquelles la collecte du consentement était inadéquate et que les droits à l’effacement n’étaient pas correctement mis en œuvre. Le projet a suspendu ses opérations sur certains marchés tout en engageant un dialogue avec les régulateurs.

Aux États‑Unis, les lois sur la confidentialité biométrique existent au niveau des États plutôt qu’au niveau fédéral. Le Biometric Information Privacy Act (BIPA) de l’Illinois est le plus strict, exigeant un consentement écrit explicite et fixant une limite de conservation des données à cinq ans. Le Texas et l’État de Washington ont des lois similaires. Tout système de preuve de personnalité collectant des données biométriques auprès de résidents américains doit naviguer dans ce patchwork.

Les questions éthiques vont au‑delà de la régulation. L’exclusion biométrique est un risque réel : les personnes âgées, les personnes atteintes de certaines pathologies, et les personnes ayant des dommages à l’iris ou des schémas veineux inhabituels peuvent échouer à la vérification biométrique matérielle sans aucune faute de leur part. Un système qui exclurait ces populations des applications Web3 exigeant une preuve de personnalité créerait une nouvelle forme de sous‑classe numérique.

Il existe également un véritable débat sur la question de savoir si une quelconque biométrie…Aucune base de données, aussi bien chiffrée et protégée par du zéro connaissance soit-elle, ne devrait exister à l’échelle envisagée par Worldcoin. Des chercheurs en sécurité ont souligné qu’une base de données d’engagements IrisCode est potentiellement corrélable si la fonction de hachage sous-jacente est un jour cassée ou si des erreurs d’implémentation divulguent des informations. L’histoire de la sécurité de l’information n’incite guère à penser que les systèmes conçus pour être privés le resteront indéfiniment.

Also Read: Is AI Approaching A Point Of No Return? Anthropic Calls For A Pause Framework

Conclusion

La preuve de personnalité est l’un des problèmes les plus techniquement ambitieux et socialement lourds de conséquences de toute la cryptographie.

Elle pose une question en apparence simple : comment prouver que vous êtes humain sans faire confiance à qui que ce soit pour se porter garant de vous ?

La réponse exige un mélange d’ingénierie matérielle, de cryptographie avancée, de gouvernance décentralisée et de conception minutieuse de la confidentialité — combinés d’une manière qu’aucun des projets actuels n’a encore parfaitement maîtrisée.

Ce qui est clair, c’est que le problème ne va pas disparaître.

Les agents générés par l’IA s’améliorent plus vite que les méthodes de détection ne progressent. Les incitations économiques aux attaques sybil augmentent à mesure que davantage de valeur circule dans les systèmes Web3. Et les avantages d’une bonne solution — d’une gouvernance crédiblement neutre à une infrastructure financière universellement accessible — sont suffisamment importants pour justifier à la fois l’effort d’ingénierie et un examen honnête des compromis.

Worldcoin et Humanity Protocol représentent aujourd’hui les principales approches biométriques, et leur dynamique de marché reflète une demande réelle pour une solution.

Mais le domaine en est encore à ses débuts.

L’architecture de l’infrastructure de preuve de personnalité en 2030 sera probablement très différente de tout ce qui est déployé aujourd’hui.

Pour toute personne construisant dans le Web3, suivre ce domaine n’est pas optionnel. La capacité à distinguer de manière fiable les humains des bots on-chain sera un élément fondamental de la prochaine génération d’applications décentralisées.