Por Angel Di Matteo   𝕏 @shadowargel

Vitalik Buterin rechazó la idea de que el avance de la inteligencia artificial condenará a la ciberseguridad a una batalla imposible de ganar. El cofundador de Ethereum sostiene que las mismas capacidades que permiten a agentes de IA descubrir vulnerabilidades a velocidades inéditas podrían utilizarse para verificar matemáticamente programas completos, abriendo una posible ruta hacia software Blockchain considerablemente más difícil de vulnerar.

***

  • Buterin considera que la ciberseguridad puede favorecer estructuralmente a los defensores una vez que estos adopten adecuadamente las nuevas herramientas de IA.
  • Su principal apuesta está en la verificación formal: utilizar demostraciones matemáticas para comprobar que un programa satisface propiedades específicas de seguridad.
  • La industria cripto ya vive esta carrera: sistemas de IA han encontrado vulnerabilidades importantes en Zcash, Ethereum y software relacionado con Bitcoin.
  • Ethereum pretende avanzar durante los próximos años hacia la verificación de programas completos asistida por IA, algo que Buterin considera esencial para Blockchains con escalabilidad y privacidad.

 

La rápida evolución de las capacidades de inteligencia artificial para encontrar y explotar vulnerabilidades ha alimentado una perspectiva inquietante para la industria tecnológica: que llegará un momento en que los sistemas defensivos simplemente no podrán seguir el ritmo de máquinas capaces de examinar millones de líneas de código y descubrir fallas a una velocidad muy superior a la humana.

Vitalik Buterin no comparte ese desenlace.

El cofundador de Ethereum argumentó esta semana que la inteligencia artificial podría terminar inclinando la balanza de la ciberseguridad hacia los defensores, especialmente si sus capacidades matemáticas permiten llevar técnicas extremadamente rigurosas de verificación de software desde aplicaciones relativamente limitadas hasta programas completos y altamente complejos.

“Es una opinión cada vez más común que el hacking con IA significa que la ciberseguridad está condenada”, escribió Buterin en X. “No estoy de acuerdo. Creo que la ciberseguridad favorece naturalmente a la defensa una vez que la gente se organiza”.

La cuestión tiene además implicaciones financieras directas para el desarrollador. Buterin señaló que aproximadamente 90% de su patrimonio está denominado en criptomonedas, por lo que él y millones de otros tenedores están efectivamente apostando a que la capacidad para proteger sistemas Blockchain podrá evolucionar al mismo ritmo que las herramientas utilizadas para atacarlos, detalla Decrypt.

La apuesta de Buterin: convertir seguridad informática en un problema matemático

El núcleo de su argumento está en una disciplina conocida como verificación formal, que intenta demostrar matemáticamente que un programa cumple determinadas propiedades. En lugar de probar una aplicación una y otra vez esperando encontrar errores, el objetivo consiste en formular qué comportamiento debe satisfacer el software y construir una prueba matemática de que efectivamente lo hace bajo las condiciones establecidas.

Buterin cree que la IA puede transformar radicalmente la escala a la que resulta práctico aplicar esta técnica. Si modelos suficientemente avanzados son capaces de resolver o contribuir a resolver problemas matemáticos extraordinariamente complejos, argumentó, también deberían poder demostrar afirmaciones del tipo “este programa es seguro” como un teorema matemático, incluso cuando el software involucrado sea extremadamente sofisticado.

Su referencia a problemas como Navier-Stokes y el Último Teorema de Fermat (FLT) pretende ilustrar precisamente ese salto de capacidad: si una IA puede razonar sobre matemáticas de enorme complejidad, verificar propiedades formales de un programa debería convertirse progresivamente en un problema abordable.

Esto no significa que una computadora pueda simplemente recibir cualquier aplicación y certificar de manera absoluta que “no puede ser hackeada”. El propio Buterin identifica una dificultad fundamental: antes de demostrar matemáticamente que un sistema es seguro, alguien tiene que definir con precisión qué significa “seguro”.

Una aplicación puede comportarse exactamente de acuerdo con su especificación y aun así tener una especificación incompleta. El verdadero desafío consiste, por tanto, en formular correctamente todas las propiedades que deben mantenerse: quién puede mover determinados fondos, bajo qué condiciones puede cambiar un estado, qué información debe permanecer privada, qué operaciones nunca deberían producirse y cómo debe responder el sistema ante situaciones inesperadas.

Una vez formalizadas correctamente esas reglas, la IA podría hacer considerablemente más manejable el trabajo de demostrar que el código efectivamente las respeta.

La carrera entre atacantes y defensores ya comenzó en cripto

La teoría de Buterin está empezando a enfrentarse con situaciones reales. Durante los últimos meses, agentes y modelos de IA han demostrado una capacidad creciente para encontrar vulnerabilidades que permanecieron inadvertidas durante años, convirtiendo al ecosistema cripto en uno de los primeros laboratorios donde puede observarse claramente la carrera entre IA ofensiva y defensiva.

En mayo, el investigador de seguridad Taylor Hornby utilizó Claude Opus 4.8 de Anthropic para descubrir una vulnerabilidad que llevaba aproximadamente cuatro años en Orchard, el sistema de transacciones privadas de Zcash. La falla podría haber permitido, según el reporte, crear cantidades ilimitadas de ZEC sin que la falsificación fuese detectable mediante los mecanismos normales del protocolo. Los desarrolladores no encontraron evidencia de que hubiera sido explotada previamente y corrigieron el problema en junio.

En julio, investigadores de Ethereum Foundation informaron que agentes de IA habían identificado vulnerabilidades en infraestructura crítica de la red. Pero ese mismo mes apareció la otra cara de la tecnología: atacantes comenzaron a vaciar billeteras Coldcard aprovechando una antigua falla de firmware que debilitaba la generación de semillas. Aproximadamente USD $130 millones en Bitcoin terminaron siendo robados, y Coinkite, fabricante de Coldcard, indicó que probablemente se utilizó IA para localizar la vulnerabilidad.

Para agosto, la presión se había extendido a diferentes proyectos del ecosistema Bitcoin. Boltz suspendió temporalmente su servicio de swaps después de advertir que presuntos atacantes estaban descubriendo fallas más rápidamente de lo que sus desarrolladores podían corregirlas, mientras Core Lightning confirmó que varias vulnerabilidades señaladas mediante reportes generados con IA eran auténticas.

La respuesta de los defensores muestra precisamente el mecanismo que Buterin considera crucial. El grupo voluntario Bitcoin Red Team utilizó auditorías asistidas por inteligencia artificial para señalar 4.962 vulnerabilidades potenciales en 390 proyectos, trasladando la capacidad de análisis masivo de código desde quienes buscan explotar las fallas hacia quienes intentan encontrarlas primero.

Encontrar todos los errores antes que el atacante cambia las reglas del juego

Existe una asimetría histórica que favorece al atacante en ciberseguridad: el defensor debe proteger una enorme superficie de código, mientras que el atacante solamente necesita encontrar una vulnerabilidad suficientemente importante para comprometerla. La capacidad de los modelos de IA para inspeccionar software a gran escala inicialmente parece hacer esa asimetría todavía más peligrosa, porque permite automatizar la búsqueda de ese único punto débil.

La tesis de Buterin plantea una forma diferente de abordar el problema. En lugar de utilizar IA únicamente para ejecutar más auditorías y encontrar más bugs, la verificación formal busca demostrar propiedades sobre el programa completo. Si la especificación es correcta y la prueba matemática cubre efectivamente el comportamiento relevante, determinados tipos de vulnerabilidades podrían quedar descartados antes de que el software sea desplegado.

Ese salto resulta particularmente importante para Blockchain. En una aplicación tradicional, una compañía puede en muchos casos corregir rápidamente un servidor comprometido, revertir determinadas operaciones o intervenir sobre una base de datos. En protocolos descentralizados que administran miles de millones de dólares mediante contratos inteligentes, una vulnerabilidad puede ser explotada globalmente en minutos y las transacciones resultantes pueden resultar irreversibles.

La creciente complejidad tampoco ayuda. Incorporar escalabilidad, criptografía avanzada, privacidad y nuevas funcionalidades aumenta el número de componentes que deben funcionar correctamente y amplía potencialmente la superficie de ataque. Precisamente por ello Buterin considera insuficiente depender indefinidamente de auditorías humanas convencionales.

Ethereum quiere verificar programas completos con ayuda de IA

Buterin aseguró que Ethereum pretende avanzar durante los próximos años hacia una estrategia donde la inteligencia artificial pueda ayudar a verificar programas completos y no solamente componentes seleccionados.

“No hay futuro para las Blockchains —especialmente Blockchains con escalabilidad y privacidad— sin hacer esto”, afirmó. “Necesitamos hacer que el software sea realmente seguro. Y ya hemos avanzado mucho”.

La afirmación refleja un cambio interesante en la discusión sobre IA y ciberseguridad. Los mismos modelos que preocupan por su capacidad para automatizar ataques también pueden proporcionar a equipos relativamente pequeños herramientas de análisis que anteriormente habrían requerido enormes cantidades de trabajo especializado. El resultado podría ser una aceleración simultánea de ambos lados de la carrera: vulnerabilidades encontradas más rápidamente por atacantes, pero también código sometido a niveles de análisis y demostración formal que antes eran económicamente impracticables.

Eso no garantiza que los defensores vayan a ganar. Las pruebas matemáticas solamente son tan útiles como las especificaciones sobre las que se construyen, los sistemas reales interactúan con componentes que pueden quedar fuera de esas demostraciones y factores humanos como credenciales comprometidas, ingeniería social o errores operativos seguirán creando superficies de ataque.

Pero la perspectiva de Buterin cuestiona la idea de que una IA más capaz implica automáticamente hackers más poderosos y una ciberseguridad inevitablemente más débil. Si esas mismas capacidades pueden utilizarse para analizar cada rincón de un programa, formular pruebas y verificar matemáticamente propiedades críticas antes de desplegarlo, la tecnología que actualmente está acelerando la búsqueda de vulnerabilidades también podría convertirse en una de las herramientas más poderosas jamás construidas para eliminarlas.

Para Ethereum y el resto de la industria cripto, donde un error de software puede significar cientos de millones de dólares desapareciendo en cuestión de horas, demostrar que esa tesis funciona podría terminar siendo mucho más importante que simplemente construir modelos capaces de encontrar el próximo bug.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados