Cuando un informe limpio de IA deje de ser defensa: el giro silencioso en la seguridad cripto

Una pieza de software puede reescribir las reglas no escritas de toda una industria. Eso es lo que algunos investigadores empiezan a anticipar con Mythos, el sistema de inteligencia artificial diseñado para detectar vulnerabilidades en código que estuvo brevemente disponible este mes antes de ser retirado del mercado estadounidense.

El argumento es directo. Si auditar un contrato inteligente deja de costar semanas y honorarios elevados, lo que hoy se considera diligencia razonable antes de desplegar código en una blockchain dejará de serlo. Y esa redefinición arrastra consigo a desarrolladores, fondos de inversión y, eventualmente, a los tribunales.

• OpenAI marca límites a la automatización total: «sería peligroso e insatisfactorio»

De los fuzzers deterministas a máquinas que razonan

Durante años, la industria recurrió a herramientas automatizadas llamadas fuzzers, programas que bombardean el código con entradas aleatorias para ver qué se rompe. Funcionan, pero su lógica es ciega: prueban combinaciones sin entender qué hace el contrato.

Los sistemas de IA actuales operan de otra manera. Alexander Urbelis, director de seguridad informática en ENS Labs, citado por CoinDesk, describe el salto como un cambio de grado que produce un cambio de naturaleza: las máquinas ya buscaban fallos, pero ahora se habla de un fuzzer con capacidad de razonar.

Esa capacidad cambia el incentivo. En cripto, el código de los contratos suele ser público y los programas de recompensas por vulnerabilidades manejan presupuestos significativos. La posibilidad de inferir qué pretende hacer el código y compararlo con lo que efectivamente hace, en minutos en lugar de semanas, modifica la economía completa de la auditoría.

Auditoría continua y un nuevo estándar de cuidado

David Schwed, COO de la firma de seguridad SVRN y fundador del máster en ciberseguridad de Yeshiva University, va más allá en sus declaraciones a CoinDesk. Para él, el cambio relevante no es solo cazar más vulnerabilidades, sino la posibilidad de auditoría continua con recomendaciones automatizadas a una fracción del costo de una revisión puntual.

Si esa promesa se materializa, las expectativas del ecosistema se mueven con ella. Hasta ahora, los equipos podían argumentar que cierta revisión no se hizo por costo o complejidad. Cuando un análisis sofisticado está disponible a demanda, ese argumento pierde fuerza.

Urbelis lleva el argumento al terreno legal. Un informe limpio producido por IA no protegerá a un equipo cuando una vulnerabilidad termine siendo explotada: la parte demandante puede dar la vuelta al razonamiento y sostener que, si la herramienta era barata y estaba al alcance, el fallo debió haberse detectado.

La consecuencia se proyecta hacia el capital. Si los inversionistas empiezan a exigir auditorías asistidas por IA como condición para financiar un proyecto, omitirlas podría terminar interpretándose como negligencia.

Lo que la IA no detecta y donde se pierde el dinero

Aquí aparece el contrapeso incómodo. Ninguno de los investigadores citados por CoinDesk cree que la IA esté lista para reemplazar al auditor humano. Las máquinas detectan fallos de código, pero son débiles identificando vulnerabilidades económicas y de incentivos, justamente las que han drenado tesorerías enteras en el sector.

Más relevante todavía: muchas de las pérdidas más costosas de cripto no nacieron de fallos en el código. Urbelis menciona el caso reciente de Drift, descrito como el desenlace de una campaña de ingeniería social de seis meses dirigida a colaboradores de confianza. El contrato inteligente, dice, hizo exactamente lo que se le ordenó. Lo que se comprometió fue la autoridad detrás de la orden.

Schwed incluye los casos de Ronin y Bybit, donde las claves privadas comprometidas y los procesos de firma manipulados fueron los protagonistas, en lugar de las vulnerabilidades de software. Ningún escáner de código puede evitar que un firmante autorizado apruebe una transacción que no puede verificar.

La conclusión que dejan los expertos no es triunfalista ni catastrofista. La IA no eliminará los desafíos de seguridad de la industria. Pero sí puede alterar, de forma estructural, dos variables: el costo de encontrar vulnerabilidades y las expectativas que rodean ese hallazgo. Para un sector construido sobre código que mueve miles de millones, esa alteración basta para cambiar el juego.

-Nyria