El cofundador de Ethereum, Vitalik Buterin, afirma que el auge del hackeo impulsado por IA no convierte la ciberseguridad en una batalla perdida, y señala en cambio la verificación formal como una forma de demostrar que el software es seguro. En lugar de depender del descubrimiento de vulnerabilidades, argumenta, los desarrolladores pueden demostrar matemáticamente que los programas cumplen requisitos de seguridad definidos.

En una entrada de blog del 18 de mayo, que compartió en X, Buterin sostuvo que la IA podría hacer práctica esta verificación a gran escala, un enfoque que, según dijo, importa sobre todo para sistemas críticos, incluidos la criptografía, los protocolos de mensajería y el software blockchain.

La seguridad debe definirse antes de poder demostrarse

Buterin dijo que demostrar que un programa es seguro requiere primero definir qué significa realmente seguridad. Citó como ejemplo la app de mensajería cifrada Signal, señalando que el cifrado por sí solo no cubre todos los aspectos de seguridad. Una definición completa puede necesitar contemplar la falsificación de mensajes, fallas de entrega, mensajes reenviados, dispositivos hackeados y claves filtradas.

El hardware añade complicaciones adicionales. Las señales físicas pueden filtrar información, mientras que detalles como el tamaño del mensaje, la identidad del remitente y la sincronización pueden ser reveladores por sí mismos. En conjunto, estas consideraciones pueden llevar las definiciones de seguridad a superar las 1.000 líneas de código. Aun así, Buterin argumentó que las definiciones siguen siendo un objetivo de verificación más pequeño que la implementación subyacente.

La verificación formal apunta al programa completo

La verificación formal no es una idea nueva: se ha aplicado durante mucho tiempo en campos críticos para la seguridad como la aviación y el software médico, donde el costo del fallo es alto, pero el esfuerzo requerido la ha mantenido como algo raro en el desarrollo de propósito general. Históricamente, los desarrolladores solo han verificado las secciones que ellos mismos identificaron como críticas para la seguridad, en gran parte porque la verificación exigía un esfuerzo considerable. Buterin argumentó que la IA podría cambiar esa ecuación, haciendo más práctica la verificación de programas completos y extendiendo la cobertura a bases de datos, redes, capas de caché y otros componentes.

Planteó el objetivo como distinto del modelo tradicional en el que los defensores compiten por descubrir vulnerabilidades antes que los atacantes. Bajo su enfoque, el software se vuelve más resiliente al demostrar que satisface los requisitos de seguridad. Las definiciones también pueden combinarse cuando distintos grupos establecen requisitos separados, dijo, y cuando dos definiciones no pueden coexistir, los desarrolladores pueden aislar el conflicto de diseño subyacente. Reconoció, sin embargo, que algunas interfaces de usuario siguen siendo más difíciles de manejar.

Necesidades complejas de verificación para el software de Ethereum

Buterin identificó los protocolos de paso de mensajes, los sandboxes, los SNARK —pruebas criptográficas compactas de que un cálculo se realizó correctamente— y el cifrado totalmente homomórfico, que permite computar directamente sobre datos cifrados, como áreas donde la distinción entre definiciones e implementaciones puede importar. Vinculó el enfoque directamente a la dirección de desarrollo de Ethereum, diciendo que las blockchains necesitan una seguridad de software más fuerte, en particular en sistemas que persiguen escalabilidad y privacidad.

El contexto subraya lo que está en juego: el software blockchain es de código y las redes que soporta custodian activos directamente, de modo que el mismo código queda a la vista tanto de atacantes como de defensores —condiciones bajo las cuales las garantías que no dependen de quién encuentre primero una falla cobran un peso particular.

Su argumento se centra en la verificación matemática en lugar de solo en el descubrimiento de vulnerabilidades. La verificación, dijo, debe extenderse más allá de las secciones de código seleccionadas: la definición exige un trabajo cuidadoso, mientras que la implementación sigue sujeta a la comprobación formal. La IA, en su opinión, podría asumir la escala de ese proceso, cubriendo bases de datos, redes, caché y otros componentes. La pregunta a observar es si las herramientas asistidas por IA pueden llevar la verificación de programas completos a la práctica rutinaria a escala de producción, incluidas las interfaces de usuario que señaló como los casos más difíciles.