En resumen
- Los investigadores de la Fundación Ethereum están utilizando agentes de inteligencia artificial para formar equipos de infraestructura de red crítica.
- Los agentes ayudaron a descubrir una vulnerabilidad de software peer-to-peer que luego se reveló.
- Las auditorías asistidas por IA ya han revelado errores en proyectos blockchain, incluido Zcash.
La Fundación Ethereum está utilizando enjambres de agentes de inteligencia artificial para atacar Ethereum, antes de que alguien más lo haga.
En una publicación de blog el jueves, los investigadores de la Fundación Ethereum en el equipo de Seguridad del Protocolo dijeron que han implementado una serie de agentes de inteligencia artificial contra el software en el que se basa Ethereum, buscando vulnerabilidades en sistemas criptográficos, códigos de protocolo y contratos inteligentes.
“Hemos estado ejecutando agentes de IA coordinados contra los tipos de sistemas de los que depende la red, como software de sistemas, códigos criptográficos y contratos que deben ser correctos”, escribieron los investigadores. “Los agentes encontraron errores reales”.
Uno de los errores descubiertos incluyó un pánico desencadenado de forma remota en el gossipsub de libp2p, parte de la capa peer-to-peer utilizada por los clientes de consenso de Ethereum. El problema se solucionó y se reveló en Github como CVE-2026-34219.
Conocida como equipo rojo, la práctica implica que las empresas desplieguen investigadores de seguridad para atacar sus propios sistemas, intentando infiltrarse o interrumpir las redes para descubrir debilidades antes de que los piratas informáticos malintencionados las encuentren. Mientras los equipos rojos atacan un sistema, corresponde a los equipos azules defenderlo.
Los investigadores humanos tradicionalmente han buscado vulnerabilidades revisando el código manualmente, pero los agentes de IA pueden escanear bases de código completas, probar posibles vulnerabilidades y generar hallazgos para su revisión.
“Que los agentes encontraran errores no fue una sorpresa”, escribió el equipo. “La sorpresa fue lo poco que se trabajó para encontrarlos y lo mucho que se invirtió en distinguir los errores reales de los que simplemente parecían reales”.
Según la Fundación Ethereum, los agentes están organizados en funciones especializadas, que incluyen reconocimiento, caza, llenado de vacíos y validación. Algunos buscan posibles rutas de ataque, mientras que otros intentan reproducir fallas y verificar si funcionan con el código de producción.
“El esquema está ahí por una razón”, escribieron. “Obliga a hacer una afirmación específica y comprobable y a una definición clara de lo hecho. Un agente que tiene que escribir una prueba observable no puede recurrir a “esto parece arriesgado”.
El creciente papel de la IA en la investigación de vulnerabilidades quedó demostrado en abril, cuando una versión preliminar de Claude Mythos de Anthropic descubrió 271 vulnerabilidades en el navegador Firefox de Mozilla.
Los investigadores compararon los agentes de inteligencia artificial con fuzzers, o herramientas que prueban el software en busca de fallas. Sin embargo, a diferencia de los fuzzers, los agentes de IA pueden generar informes de vulnerabilidad, evaluar el impacto y crear pruebas de concepto.
Pero detallado no siempre significa correcto. Los hallazgos generados por IA pueden parecer convincentes incluso cuando son erróneos, lo que deja a los investigadores filtrar duplicados, falsos positivos y vulnerabilidades que en realidad no pueden explotarse.
“Una regla importa más que cualquier otra. Un candidato no es un hallazgo hasta que haya un artefacto autónomo que reproduzca la falla contra el código real, y que se aplique a alguien que no lo escribió”, escribieron los investigadores. “El reproductor no lee el artículo y no le importa cuán seguro parezca el modelo. O se ejecuta o no”.
Las herramientas de inteligencia artificial ya han ayudado a los investigadores de seguridad a descubrir fallas en las redes blockchain.
En mayo, el investigador de seguridad Taylor Hornby utilizó Claude Opus 4.8 de Anthropic durante una auditoría asistida por IA que encontró una vulnerabilidad crítica en el grupo de privacidad Orchard de Zcash. La falla había existido durante aproximadamente cuatro años y podría haber permitido a un atacante crear ZEC falsificado sin un rastro obvio en la cadena. Aún se está trabajando en una actualización de la red para restaurar la confianza en el suministro de Zcash.
El experimento de la Fundación Ethereum lleva la tecnología internamente, utilizando agentes de inteligencia artificial para probar su propio código y encontrar vulnerabilidades.
“La IA no reemplazó al investigador de seguridad. Movió el trabajo”, dijo la Fundación Ethereum. “Los agentes nos permiten cubrir mucho más terreno del que podríamos cubrir manualmente. A cambio, piden un juicio más cuidadoso, sobre una pila mucho mayor de reclamaciones que suenan seguras”.
“Ese es un intercambio que vale la pena hacer”, agregaron, “siempre que recuerdes que el juicio es el producto real”.
