La IA reduce drásticamente el costo de encontrar vulnerabilidades, dividiendo a la industria de las criptomonedas en dos enfoques

La criptografía se está dividiendo en dos caminos de seguridad: parches ágiles y minimalismo inmutable.

Escrito por: @Bankless

Traducido por: AididiaoJP, Foresight News

La capacidad de la IA para encontrar vulnerabilidades ha alcanzado un nivel que obliga a la industria de las criptomonedas a reorganizar sus estrategias de seguridad.

Empecemos con la red de Bitcoin. El 22 de octubre, Bitcoin Core fusionó un cambio en la estrategia de seguridad, dirigido específicamente a vulnerabilidades que pueden ser descubiertas con un simple aviso para LLM (modelos de lenguaje grande). En el pasado, este tipo de problemas podían permanecer en secreto durante hasta un año; ahora, la reparación y publicación deben avanzar rápidamente. El autor del cambio, Antoine Poinsot, lo expresó claramente: los LLM están "reduciendo drásticamente la barrera para descubrir ciertos tipos de problemas".

Este no es un caso aislado. Dos vulnerabilidades críticas de PHP descubiertas con modelos de IA han puesto en riesgo a aproximadamente 1.3 millones de hosts expuestos en Internet. Initia, por su parte, suspendió toda su red: los atacantes utilizaron lo que el cofundador Zon llamó un "bug del Día 0" para acuñar y transferir aproximadamente 2.7 millones de dólares a través de cadenas. Aún no se puede confirmar si este ataque utilizó IA, pero no sería descabellado decir que participó de alguna manera.

Los datos también apuntan en la misma dirección. La base de datos de incidentes de hackers de DefiLlama muestra que desde 2026 ha habido 112 ataques que superan el millón de dólares; en todo 2025 hubo 70. La investigación de contratos inteligentes de Anthropic encontró que los modelos de vanguardia de 2025 duplican aproximadamente cada 1.3 meses los "ingresos por explotación de vulnerabilidades" en entornos simulados.

¿Qué hacer cuando los atacantes tienen cazadores de vulnerabilidades incansables y en constante evolución? La industria de las criptomonedas está desarrollando dos respuestas muy diferentes.

Enfoque Ágil: Cambiar y detener en cualquier momento

La primera respuesta es mantener la flexibilidad: poder aplicar parches rápidamente y también detenerse rápidamente.

Starknet es el ejemplo más claro en este momento. El jueves, su comunidad votó para investigar la transformación en una L1 independiente post-cuántica. Una de las razones es la esperanza de actualizar la criptografía a su propio ritmo. StarkWare afirma: "No podemos depender de que Ethereum funcione lo suficientemente rápido para garantizar nuestra seguridad." El CEO Eli Ben-Sasson estima que la llegada de la computación cuántica será en "dos años" y cree que la IA está acelerando esta línea de tiempo.

Los investigadores de Ethereum también están en alerta. A principios de este mes, Justin Drake instó a la industria a prepararse para un "modo búnker", es decir, mover fondos a direcciones nuevas y más seguras. El contexto es una ola de avances matemáticos impulsados por IA.

Pero la agilidad tiene un costo. Cada clave de administrador, cada ruta de actualización, es tanto una superficie de ataque como un punto de dependencia. Cambiar las reglas puede crear nuevos bugs. Por lo tanto, Ethereum retiró Glamsterdam de la red de prueba Hoodi esta semana, ya que la investigación mostró que su cambio de Gas podría alterar el comportamiento de los contratos ya desplegados.

Enfoque Minimalista: Reducir la superficie de ataque al mínimo

La segunda respuesta es reducir el objetivo.

La declaración del desarrollador de Ethereum Ross (z0r0z) el jueves fue muy directa: mover el código de infraestructura digital crítica a la cadena pública para que todos puedan verificar lo que realmente sucedió; luego avanzar hacia un enfoque sin servidores; incluso escribir las aplicaciones en el código de la cadena de bloques para que cada vez que se ejecuten sean iguales. Esta idea de repente no parece tan extraña.

Por supuesto, esto tiene un poco de ambición. Pero en esencia, es la "prueba de abandono" de Ross: si los constructores desaparecen mañana, ¿puede el sistema seguir funcionando de manera segura? Cuanto más pequeño, más determinista y más fácil de verificar sea el código, menos lugares habrá que puedan ser atacados y menos entidades en las que confiar. Ross añadió en su respuesta: "Los desarrolladores deberían concentrar su energía en un código más simple."

La misma intuición también aparece en la criptografía de Ethereum. Vitalik dijo que la hoja de ruta de Ethereum ha cambiado hacia "solo hash", en parte porque el hash está diseñado sin estructuras que permitan la explotación matemática acelerada por IA.

El lado opuesto también es evidente. El código público e inmutable también puede ser leído por atacantes de IA; una vez que está en línea, no se puede aplicar un parche. Por lo tanto, el minimalismo es mejor cuando el código es lo suficientemente pequeño como para ser exhaustivamente revisado.

La prueba de IA hace que lo "irreparable" no sea tan aterrador

Aquí es donde entra la verificación formal. La verificación formal implica usar pruebas matemáticas para demostrar que el código no violará ciertas reglas.

Históricamente, la verificación formal ha sido increíblemente costosa. La construcción del núcleo del sistema operativo seL4 solo tomó dos años de trabajo, pero la verificación tomó 20 años de trabajo. Sin embargo, la nueva investigación publicada el jueves por Anthropic y Theorem muestra que este camino está volviéndose más barato: usando Claude para verificar 239 puntos de entrada en 123 bibliotecas de código abierto, bajo ciertas suposiciones, independientemente de la entrada, hasta un máximo de 64MB, estos puntos de entrada no fallarán. Todo el proceso solo tomó unas pocas semanas.

También hay un costo. La escala de la prueba crecerá a medida que el código se expanda. En el trabajo mencionado, una prueba típica tiene alrededor de 600,000 líneas, correspondiente a aproximadamente 18,000 instrucciones de máquina, y puede consumir cientos de millones de tokens de IA. Además, la prueba solo cubre las propiedades que especificas, no excluye todos los bugs.

Pero hay que tener en cuenta quién se beneficia más: el código pequeño y de un solo propósito. Este es precisamente el tipo de código que el minimalista quiere llevar a la cadena. Si la IA sigue reduciendo los costos de prueba, lo "irreparable" no será tan importante, porque el código en sí cada vez necesitará menos parches.

Por supuesto, sistemas como L1 y rollup son grandes y siguen evolucionando, y aún dependen de la agilidad. Solo que, bajo el nuevo paradigma de la IA, la "prueba de abandono" se parece cada vez más a la medida central de la estrategia de seguridad, y no solo a un ideal de descentralización. Estas tendencias merecen ser seguidas de cerca.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.