El equipo de Protocol Security, perteneciente a la estructura de la Ethereum Foundation (EF), llevó a cabo un experimento a gran escala sobre el uso de agentes de IA coordinados para buscar vulnerabilidades en componentes críticos de la infraestructura blockchain. Los objetos de verificación fueron software de sistema, código criptográfico y contratos inteligentes.

La conclusión principal a la que llegaron los investigadores resultó ser poco evidente: el problema clave no residía en la detección de errores, sino en su triaje. Como señalaron en la EF, los agentes realmente encuentran vulnerabilidades, pero la mayor parte del tiempo no se dedica a la búsqueda, sino a separar las amenazas reales de los falsos positivos.

Es interesante que el equipo rechazó un enfoque monolítico con un único agente de IA grande. En su lugar, se implementó un sistema de varios agentes especializados que trabajan en paralelo contra un mismo repositorio. Unos se encargaban del reconocimiento inicial del código, otros de la identificación de vulnerabilidades potenciales, el llenado de vacíos y la validación. La coordinación se realizaba a través de un repositorio común con intercambio de estado mediante un sistema de control de versiones.

Según los desarrolladores, los agentes se desempeñan excelentemente en la generación de direcciones de búsqueda: son capaces de escanear rápidamente grandes volúmenes de código, rastrear rutas de ejecución y preparar materiales para una prueba de concepto. Sin embargo, cada candidato requiere una reproducción independiente en código real antes de poder ser calificado como vulnerabilidad.

Resultados prácticos y limitaciones

Un ejemplo divulgado públicamente del trabajo de los agentes de IA fue la vulnerabilidad CVE-2026-34219 en la implementación en Rust del protocolo libp2p gossipsub. Estaba relacionada con el manejo de backoff expiry, el período de restricción temporal de interacción entre nodos después de ciertos mensajes de red. El error permitía provocar de forma remota la finalización abrupta del proceso mediante un mensaje PRUNE especialmente manipulado con un valor de backoff casi máximo, lo que provocaba un desbordamiento debido a una aritmética no verificada al sumar Instant + Duration.

La EF no reveló el número total de errores reales encontrados, limitándose a mencionar algunos hallazgos. Al mismo tiempo, la mayoría de los candidatos generados resultaron ser falsos positivos, duplicados o problemas que quedaban fuera del alcance de la verificación. La fundación considera esto una parte normal de la metodología, no un fracaso del sistema.

Es notable que los agentes de IA muestran resultados débiles al trabajar con vulnerabilidades que solo se manifiestan a través de una larga cadena de acciones correctas. Dicha lógica requiere no solo encontrar un fragmento de código sospechoso, sino también demostrar que toda la secuencia de estados es realmente alcanzable.

La publicación de la EF coincidió en el tiempo con una reorganización masiva de la fundación. En junio, la plantilla se redujo en un 20% y el presupuesto se recortó aproximadamente en un 40%. Vitalik Buterin confirmó la transición a un modelo de gestión de capital a largo plazo. Además, se disolvió el equipo Protocol Support, responsable de la coordinación del desarrollo del protocolo, el soporte de EIP y las iniciativas educativas.

En medio de estos cambios, el ex empleado de la EF Trent Van Epps advirtió sobre el riesgo de una "crisis de financiación de lento crecimiento" en los próximos tres a nueve meses.

Comentario del analista: El experimento de la EF demuestra un enfoque maduro para la integración de la IA en la seguridad de blockchain. En lugar del bombo publicitario en torno a los "cazadores de errores autónomos", vemos una integración pragmática: la IA asume el reconocimiento rutinario, pero la decisión final sigue siendo humana. Este es el vector correcto, especialmente considerando que los falsos positivos y los ataques complejos de múltiples pasos siguen siendo el talón de Aquiles de los agentes. Sin embargo, en el contexto de la reducción presupuestaria y la reorganización de la EF, surge la pregunta: ¿no se convertirá esta tecnología en un intento de compensar la falta de recursos humanos?