El equipo de Protocol Security de la Ethereum Foundation (EF) llevó a cabo un experimento a gran escala: desplegaron agentes de IA coordinados contra componentes críticos de la infraestructura blockchain. En el punto de mira estaban el software de sistema, el código criptográfico y los contratos inteligentes. Los resultados resultaron inesperados incluso para los propios desarrolladores.
La conclusión principal que se extrajo en la EF no se refiere tanto a la cantidad de errores encontrados, sino al proceso de su tratamiento. Como señaló el equipo, la IA realmente encuentra bugs — esto no fue una sorpresa. Lo sorprendente fue otra cosa: lo poco que se necesitó para detectarlos y lo mucho que se requirió para separar las vulnerabilidades reales de las falsas alarmas.
Es importante destacar: la inteligencia artificial no reemplazó al humano en el proceso de auditoría de seguridad. Simplemente desplazó el cuello de botella. Antes, los investigadores dedicaban la mayor parte del tiempo a buscar hipótesis; ahora, a verificar un enorme conjunto de candidatos generados. El triaje, y no la generación, se ha convertido en el nuevo cuello de botella.
Arquitectura del sistema: inteligencia de enjambre en lugar de monolito
Protocol Security rechazó el esquema clásico de un único agente de IA grande que gestionara todo el proceso. En su lugar, se desplegó una red de sistemas especializados que trabajan en paralelo contra un solo repositorio. Unos agentes se encargaban del reconocimiento inicial del código, otros de la búsqueda de vulnerabilidades potenciales, de llenar vacíos y de la validación. La coordinación se realizaba a través de un repositorio común y un sistema de control de versiones.
Como explicaron en la EF, el tiempo que antes se dedicaba a la formulación y verificación de hipótesis ahora se redistribuye hacia su evaluación masiva: construcción de un oráculo, triaje, mantenimiento de una lista de problemas conocidos y divulgación. Los agentes son excelentes para escanear rápidamente grandes secciones de código, rastrear rutas de ejecución y preparar materiales para una prueba de concepto. Pero cada candidato sigue requiriendo una reproducción independiente en el código real antes de que pueda calificarse como vulnerabilidad.
Hallazgos concretos y limitaciones del método
Un ejemplo divulgado públicamente es la vulnerabilidad CVE-2026-34219 en la implementación en Rust de libp2p gossipsub. Está relacionada con el manejo de la expiración del backoff — el período durante el cual un nodo limita temporalmente la interacción con un par. El error permitía provocar de forma remota una terminación abrupta del proceso al procesar un mensaje PRUNE especialmente diseñado con un valor de backoff casi máximo. La causa fue una aritmética no verificada al sumar Instant + Duration, lo que provocaba un desbordamiento.
Sin embargo, el número total de bugs reales detectados por los agentes no fue revelado por la EF. En el blog se mencionan varios hallazgos, pero solo se nombró públicamente un ejemplo. La mayoría de los candidatos generados resultaron ser falsos positivos, duplicados o problemas fuera del alcance de la verificación. La EF calificó esto como una parte normal del método, no como un fracaso del sistema. El objetivo es descartar rápidamente los candidatos incorrectos y respaldar los reales con una prueba difícil de refutar.
Es notable que los agentes de IA se desempeñan peor con vulnerabilidades que solo se manifiestan a través de una larga cadena de acciones correctas. Esta lógica requiere no solo encontrar un fragmento de código sospechoso, sino también demostrar que toda la secuencia de estados es realmente alcanzable. Este es un problema clásico de explosión combinatoria al que se enfrentan todos los analizadores automatizados.
Mi opinión profesional: El experimento de la EF es un paso importante en la evolución de la seguridad de las blockchains, pero demuestra claramente que la IA hoy en día es una herramienta poderosa para la generación de hipótesis, no para su verificación. Mientras el factor humano siga siendo un eslabón crítico en el triaje, la automatización completa de la auditoría de seguridad es cosa de un futuro lejano. La inversión en herramientas para la validación rápida de candidatos será el siguiente paso lógico en el desarrollo de esta tecnología.