Por Canuto  

La inteligencia artificial acelera el hallazgo de vulnerabilidades, pero Ledger y Trezor advierten que publicar los errores antes de corregirlos puede exponer a los usuarios.
***

  • El CTO de Ledger, Charles Guillemet, pidió reportar las vulnerabilidades de forma privada antes de divulgar sus detalles.
  • Jan Komárek, jefe de seguridad de Trezor, presentó 90 días como una referencia para coordinar la corrección, aunque sostuvo que los proveedores también deben comprometerse.
  • La advertencia llega tras robos vinculados con Coldcard por más de USD $100 millones y una filtración que afectó a clientes de Trezor.

La disputa por la divulgación responsable

La inteligencia artificial está modificando la forma en que investigadores y empresas detectan vulnerabilidades en productos relacionados con criptomonedas. Charles Guillemet, director de tecnología de Ledger, advirtió que estas herramientas permiten encontrar y explotar errores con mayor facilidad, pero también pueden acelerar la publicación de detalles antes de que exista una solución disponible para los usuarios.

La preocupación central no apunta al uso de IA para auditar código, sino a lo que puede ocurrir después del hallazgo. En una carta abierta sobre divulgación responsable, Guillemet cuestionó la publicación de vulnerabilidades antes de que los fabricantes puedan preparar y distribuir correcciones, una práctica que describió como “cultivar atención con el riesgo de otros”.

En ese contexto, el ejecutivo de Ledger pidió que las vulnerabilidades se comuniquen primero por canales privados y que investigadores y proveedores acuerden un calendario antes de hacer públicos los detalles técnicos. La recomendación busca reducir el periodo en que un atacante podría aprovechar una falla conocida mientras los usuarios todavía utilizan dispositivos o programas sin protección.

La discusión resulta especialmente relevante para los monederos de hardware, porque estos dispositivos almacenan o protegen las claves que permiten controlar activos digitales. Una vulnerabilidad publicada prematuramente no afecta únicamente a la reputación de una empresa, ya que también podría ofrecer a terceros información suficiente para intentar comprometer fondos o datos de los clientes.

El plazo de 90 días y las obligaciones del proveedor

Guillemet mencionó 90 días como el plazo predeterminado que suele utilizarse para coordinar la divulgación de vulnerabilidades. Ese periodo funciona como una referencia para que el fabricante investigue el problema, desarrolle una corrección, la pruebe y comunique las medidas necesarias sin mantener indefinidamente la información fuera del conocimiento público.

Jan Komárek, jefe de seguridad de Trezor, subrayó que esos 90 días no deben entenderse como una obligación exclusiva del investigador. “Noventa días es un compromiso del proveedor, no solo del investigador”, declaró a Cointelegraph, al plantear que la empresa debe asumir una responsabilidad concreta durante el tiempo acordado para corregir el problema.

Komárek también pidió a los investigadores acudir primero a Trezor, negociar un cronograma y publicar después la información completa. Su posición contempla una excepción importante: si la compañía no consigue lanzar una corrección dentro del plazo, el investigador debería divulgar los hallazgos de todos modos, en lugar de permitir que la demora empresarial se convierta en un aplazamiento indefinido.

La flexibilidad sigue siendo necesaria porque no todas las fallas tienen la misma gravedad ni requieren el mismo trabajo técnico. Tanto el nivel de exposición como la complejidad de la solución pueden modificar el calendario, aunque la negociación privada solo resulta creíble si ambas partes mantienen comunicación, documentan sus compromisos y explican qué medidas adoptaron cuando llega el momento de informar al público.

El nuevo papel de la inteligencia artificial

Las herramientas de IA pueden ayudar a revisar grandes cantidades de código y señalar comportamientos anómalos que un análisis manual podría pasar por alto. Esa capacidad reduce el tiempo necesario para encontrar errores, pero también puede disminuir la distancia entre el descubrimiento de una vulnerabilidad y su posible explotación, especialmente cuando los detalles técnicos se difunden sin coordinación.

Para los investigadores, el desafío consiste en equilibrar reconocimiento profesional y seguridad de terceros. Publicar un hallazgo puede demostrar capacidad técnica y atraer atención, pero la exposición pública de una falla sin corregir puede trasladar el costo de esa visibilidad a personas que no participaron en la investigación ni tienen herramientas para protegerse.

La expresión utilizada por Guillemet, “attention farming”, resume esa tensión desde la perspectiva de los fabricantes. El término alude a la búsqueda de atención mediante publicaciones que, según su crítica, priorizan el impacto público del descubrimiento por encima del tiempo que necesitan los proveedores para reparar el producto.

Una divulgación responsable no implica ocultar indefinidamente los problemas de seguridad ni conceder a las empresas control absoluto sobre la información. El modelo defendido por Ledger y Trezor busca una secuencia ordenada: aviso privado, evaluación de la gravedad, acuerdo sobre el calendario, corrección cuando sea posible y publicación completa si el proveedor no cumple el compromiso asumido.

La presión sobre los monederos de hardware

Las advertencias aparecen mientras la seguridad de los monederos de hardware enfrenta un escrutinio creciente. Estos productos suelen presentarse como una barrera adicional frente a ataques digitales, pero su seguridad depende de múltiples elementos, entre ellos el diseño del dispositivo, el software asociado, los procesos de actualización, la protección de datos personales y la respuesta del fabricante ante incidentes.

La información disponible señala que los robos relacionados con Coldcard superaron los USD $100 millones. El mismo contexto incluye una filtración de datos en un proveedor de envíos de Trezor, incidente que expuso información personal de decenas de miles de clientes y amplió la discusión más allá de las fallas estrictamente técnicas de los dispositivos.

Estos antecedentes muestran que el riesgo para los usuarios no se limita a la extracción directa de claves privadas. Una filtración de datos personales puede aumentar la exposición a intentos de fraude, suplantación o amenazas dirigidas, mientras que una vulnerabilidad del dispositivo puede comprometer la confianza en la herramienta que los clientes eligieron para proteger sus activos.

Por esa razón, la coordinación entre investigadores y fabricantes adquiere un peso particular en el ecosistema cripto. El usuario final normalmente no puede evaluar por sí mismo la gravedad de un error ni determinar si una actualización resuelve por completo el problema, de modo que necesita información clara, plazos verificables y advertencias precisas cuando una corrección todavía no está disponible.

Qué pueden esperar los usuarios y la industria

La postura de Ledger y Trezor apunta a establecer una práctica común para los hallazgos producidos con apoyo de IA. Si esa práctica se consolida, los investigadores podrían conservar el reconocimiento por sus descubrimientos sin revelar de inmediato instrucciones que faciliten ataques, mientras los proveedores tendrían que demostrar avances concretos dentro del plazo acordado.

El plazo de 90 días tampoco elimina todas las dificultades de coordinación. Una empresa puede necesitar más tiempo para diseñar una solución segura, probarla en diferentes versiones y preparar instrucciones para los usuarios, pero una extensión debería responder a razones técnicas verificables y no convertirse en una forma de evitar la rendición de cuentas.

Para los usuarios, la recomendación práctica es mantenerse atentos a las comunicaciones oficiales de los fabricantes y aplicar las actualizaciones disponibles por canales legítimos. También conviene distinguir entre una vulnerabilidad reportada, una vulnerabilidad confirmada y una falla corregida, porque cada etapa implica un nivel distinto de riesgo y requiere respuestas diferentes.

El debate deja una conclusión clara para la industria de activos digitales: encontrar errores con mayor rapidez no equivale automáticamente a mejorar la seguridad. La ventaja de la inteligencia artificial solo será sostenible si investigadores, fabricantes y usuarios comparten información de manera responsable, con transparencia suficiente para proteger al público y con plazos que impidan que la atención mediática prevalezca sobre la corrección del problema.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados