La IA reduce drásticamente el costo de encontrar vulnerabilidades, dividiendo a la industria cripto en dos enfoques

La criptografía se está dividiendo en dos caminos de seguridad: parches ágiles y minimalismo inmutable.

Escrito por: @Bankless

Traducido por: AididiaoJP, Foresight News

La capacidad de la IA para encontrar vulnerabilidades ha llegado a un punto en el que la industria cripto se ve obligada a reorganizar sus estrategias de seguridad.

Empecemos con la red de Bitcoin. El 22 de octubre, Bitcoin Core fusionó un cambio en la estrategia de seguridad, específicamente para abordar vulnerabilidades que pueden ser descubiertas con un simple aviso a un LLM (modelo de lenguaje grande). En el pasado, este tipo de problemas podían permanecer en secreto durante hasta un año; ahora, las correcciones y publicaciones deben avanzar rápidamente. El autor del cambio, Antoine Poinsot, lo expresó claramente: los LLM están "reduciendo drásticamente la barrera para descubrir ciertos tipos de problemas".

Este no es un caso aislado. Dos vulnerabilidades críticas en PHP, descubiertas gracias a modelos de IA, han puesto en riesgo a aproximadamente 1.3 millones de servidores expuestos en Internet. Initia, por su parte, suspendió toda su red: los atacantes utilizaron lo que el cofundador Zon llamó un "error del Día 0" para acuñar monedas y transferir aproximadamente 2.7 millones de dólares a través de cadenas. No se puede confirmar si la IA se utilizó en este ataque, pero no sería descabellado suponer que participó de alguna manera.

Los datos también apuntan en la misma dirección. La base de datos de incidentes de hackers de DefiLlama muestra que, desde 2026, ha habido 112 ataques que superaron el millón de dólares; en todo 2025, hubo 70. La investigación de contratos inteligentes de Anthropic encontró que los modelos de vanguardia de 2025 duplican aproximadamente cada 1.3 meses los "ingresos por explotación de vulnerabilidades" en entornos simulados.

¿Qué hacer cuando los atacantes tienen cazadores de vulnerabilidades incansables y en constante evolución? La industria cripto está desarrollando dos respuestas muy diferentes.

Enfoque Ágil: Cambiar y detener cuando sea necesario

La primera respuesta es mantener la flexibilidad: poder aplicar parches rápidamente y también detenerse rápidamente.

Starknet es el ejemplo más claro en este momento. El jueves, su comunidad votó para investigar la transformación en una L1 independiente post-cuántica. Una de las razones es que desean actualizar la criptografía a su propio ritmo. StarkWare afirma: "No podemos depender de que Ethereum funcione lo suficientemente rápido para garantizar nuestra seguridad." El CEO Eli Ben-Sasson estima que la llegada de la computación cuántica será en "dos años" y cree que la IA está acelerando esta línea de tiempo.

Los investigadores de Ethereum también están en alerta. A principios de este mes, Justin Drake instó a la industria a prepararse para un "modo búnker", es decir, trasladar fondos a nuevas direcciones más seguras. El contexto es una ola de avances matemáticos impulsados por la IA.

Pero la agilidad tiene un costo. Cada clave de administrador, cada ruta de actualización, es tanto un punto de ataque como un punto de dependencia. Cambiar las reglas puede crear nuevos errores. Por lo tanto, Ethereum retiró Glamsterdam de la red de prueba Hoodi esta semana, ya que la investigación mostró que su cambio de Gas podría alterar el comportamiento de los contratos ya implementados.

Enfoque Minimalista: Reducir al mínimo la superficie de ataque

La segunda respuesta es reducir el objetivo.

La declaración del desarrollador de Ethereum, Ross (z0r0z), el jueves fue muy directa: trasladar el código de infraestructura digital crítica a la cadena pública, para que todos puedan verificar lo que realmente sucedió; luego avanzar hacia un modelo sin servidor; e incluso escribir las aplicaciones en el código de la cadena de bloques, de modo que cada vez que se ejecuten sean iguales. Esta idea de repente no parece tan extraña.

Por supuesto, esto es un poco ambicioso. Pero en esencia, es la "prueba de abandono" de Ross: si los constructores desaparecen mañana, ¿puede el sistema seguir funcionando de manera segura? Cuanto más pequeño, más seguro y más fácil de verificar sea el código, menos lugares habrá que puedan ser atacados y menos entidades en las que confiar. Ross agregó en una respuesta: "Los desarrolladores deberían concentrar su energía en un código más simple."

La misma intuición también se presenta en la criptografía de Ethereum. Vitalik dijo que la hoja de ruta de Ethereum ha cambiado hacia "solo hash", en parte porque los hashes están diseñados sin estructuras que permitan a la IA acelerar la explotación matemática.

El lado opuesto también es evidente. El código público e inmutable también puede ser leído por atacantes de IA; una vez que está en línea, no se puede parchear. Por lo tanto, el minimalismo es mejor cuando el código es lo suficientemente pequeño como para ser revisado exhaustivamente.

La prueba de IA hace que lo "inmutable" no sea tan aterrador

Aquí es donde entra la verificación formal. La verificación formal implica usar pruebas matemáticas para demostrar que el código no violará ciertas reglas.

Históricamente, la verificación formal ha sido increíblemente costosa. La construcción del núcleo del sistema operativo seL4 tomó solo dos años-hombre, pero la verificación requirió 20 años-hombre. Sin embargo, la nueva investigación publicada el jueves por Anthropic y Theorem muestra que este camino se está volviendo más barato: utilizando Claude para verificar 239 puntos de entrada en 123 bibliotecas de código abierto, bajo ciertas suposiciones, independientemente de la entrada, hasta un máximo de 64 MB, estos puntos de entrada no fallarán. Todo el proceso tomó solo unas semanas.

También hay costos. La escala de la prueba aumentará a medida que el código se expanda. En el trabajo mencionado, una prueba típica tiene alrededor de 600,000 líneas, correspondiente a aproximadamente 18,000 instrucciones de máquina, y puede consumir cientos de millones de tokens de IA. Además, la prueba solo cubre las propiedades que especificas, no significa que excluya todos los errores.

Pero hay que tener en cuenta quién se beneficia más: el código pequeño y de un solo propósito. Esta es precisamente la clase de código que los minimalistas quieren llevar a la cadena. Si la IA continúa reduciendo los costos de prueba, lo "inmutable" no será tan crítico, porque el código no necesitará parches cada vez más.

Por supuesto, sistemas como L1 y rollup son grandes y siguen evolucionando, y aún dependen de la agilidad. Solo que, en el nuevo paradigma de la IA, la "prueba de abandono" se está convirtiendo cada vez más en la medida central de la estrategia de seguridad, y no solo en un ideal de descentralización. Estas tendencias merecen atención continua.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.