El cofundador de Ethereum, Vitalik Buterin, rechazó la idea de que el hackeo impulsado por IA marque el fin de la ciberseguridad. En su lugar, sostuvo que los modelos avanzados podrían hacer que el software cripto fuera más difícil de vulnerar, no más fácil.

En una publicación del miércoles en X, Buterin afirmó que la IA no otorgará a los hackers una ventaja insuperable y señaló que los tenedores de criptomonedas —incluido él mismo, con aproximadamente el 90% de su patrimonio neto en cripto— están apostando, en la práctica, a que la seguridad defensiva podrá mantener el ritmo de las capacidades ofensivas.

“Cada vez es más común pensar que el hackeo con IA significa que la ciberseguridad está condenada”, escribió Buterin. “No estoy de acuerdo. Creo que la ciberseguridad favorece naturalmente a la defensa cuando las personas se organizan de verdad”.

Verificación formal a escala

Un elemento central del argumento de Buterin es la idea de que la IA podría hacer práctica la verificación formal —el uso de pruebas matemáticas para establecer que el software se comporta de forma segura— incluso en sistemas muy complejos. “Si la IA puede demostrar Navier-Stokes y FLT, entonces puede demostrar la afirmación ‘este programa es seguro’ como un teorema matemático”, escribió. “Aunque el programa sea muy complicado”.

En otras palabras, Buterin cree que los modelos de IA capaces de resolver problemas matemáticos famosos por su dificultad también podrían demostrar que un software complejo cumple requisitos de seguridad claramente definidos. Sin embargo, advirtió que eso no significa que la seguridad sea sencilla; la parte difícil consiste en definir qué significa “seguro” desde el principio.

La distinción es importante porque una prueba completada descarta todos los comportamientos que quedan fuera de la especificación de un programa, mientras que las auditorías y las pruebas solo pueden investigar las debilidades que los revisores saben buscar. Esta es una de las razones por las que los métodos formales se han reservado históricamente para componentes pequeños y críticos.

Sus comentarios se basan en el impulso más amplio de Ethereum hacia la seguridad y la privacidad asistidas por IA, los STARKs —pruebas criptográficas sucintas que permiten verificar cálculos sin revelar los datos subyacentes— y la resistencia cuántica.

Una carrera armamentista impulsada por la IA

Los desarrolladores de blockchain utilizan cada vez más agentes de IA para analizar código, probar exploits y verificar errores antes de que los atacantes puedan actuar, mientras los investigadores descubren vulnerabilidades tanto en la infraestructura de Ethereum como en el software de Bitcoin. Este giro defensivo se produce tras una serie de incidentes que alimentaron el temor de que la IA estuviera inclinando el campo a favor de los atacantes.

En mayo, el investigador de seguridad Taylor Hornby utilizó Claude Opus 4.8 de Anthropic para descubrir una vulnerabilidad de cuatro años de antigüedad en el fondo de privacidad Orchard de Zcash, que podría haber permitido la falsificación ilimitada e indetectable de ZEC. Los desarrolladores no encontraron evidencia de que hubiera sido explotada y la corrigieron en junio.

La carrera entre atacantes y defensores se intensificó en julio, cuando investigadores de la Ethereum Foundation dijeron que agentes de IA habían descubierto vulnerabilidades en infraestructura crítica de la red. Ese mismo mes, los atacantes comenzaron a vaciar billeteras Coldcard mediante una vulnerabilidad de firmware de varios años de antigüedad que debilitaba la generación de semillas, y finalmente robaron aproximadamente $130 millones en Bitcoin. Coinkite, el fabricante de Coldcard, afirmó que probablemente la IA ayudó a identificar el error.

Para agosto, la amenaza se había extendido por todo el ecosistema de software de Bitcoin. El servicio de swaps Boltz suspendió sus operaciones y afirmó que presuntos atacantes estaban encontrando vulnerabilidades más rápido de lo que sus desarrolladores podían corregirlas. Por su parte, Core Lightning confirmó que varias vulnerabilidades identificadas en informes generados por IA eran reales. En respuesta, el equipo voluntario Bitcoin Red Team realizó auditorías asistidas por IA que señalaron 4,962 posibles vulnerabilidades en 390 proyectos.

Programas completos, no componentes

Buterin afirmó que la IA ahora puede verificar programas completos en lugar de componentes seleccionados, un enfoque que Ethereum planea seguir durante los próximos años.

“No hay futuro para las blockchains —especialmente las blockchains con escalabilidad y privacidad— sin hacer esto”, dijo. “Necesitamos que el software sea realmente seguro. Y ya hemos logrado muchos avances”.

El avance de Ethereum en esa hoja de ruta de varios años —y si las auditorías de IA en todo el ecosistema continúan descubriendo vulnerabilidades a gran escala— ofrecerá el indicador más claro a corto plazo del equilibrio favorable a la defensa que describe.