Un investigador de seguridad que utiliza Claude Opus 4.8 de Anthropic descubrió una falla crítica en el pool de privacidad Orchard de Zcash en cuestión de días, exponiendo una vulnerabilidad que había sobrevivido a cuatro años de revisión por parte de criptógrafos líderes en conocimiento cero.

La revelación hizo que el ZEC cayera aproximadamente un 38% el jueves y generó una preocupación más amplia para la industria cripto en torno a que los modelos de IA de vanguardia se están volviendo cada vez más proficientes en la búsqueda de vulnerabilidades que la mayoría de los humanos.

"La importancia no es realmente que la IA pueda encontrar errores", dijo Ben Goertzel, fundador y director ejecutivo de SingularityNET, a Decrypt. "Es que el tipo de error que ahora puede encontrar ha cambiado."

En lugar de simplemente señalar errores obvios de codificación, los modelos de vanguardia son cada vez más capaces de razonar si el software se comporta de la manera que sus diseñadores pretendían, dijo.

En mayo, Taylor Hornby, un investigador de seguridad contratado por Shielded Labs, descubrió una falla crítica en el circuito Orchard de Zcash con la ayuda de Claude Opus 4.8 de Anthropic. Escondido en dos líneas de código, el error provenía de una verificación que parecía validar las entradas de las transacciones, pero que en realidad no estaba aplicando las reglas previstas, lo que potencialmente permitiría a un atacante crear ZEC falsificados dentro del pool protegido sin ser detectado. Hornby construyó un exploit funcional para verificar la vulnerabilidad antes de informarla a los desarrolladores. Se implementó una solución de emergencia el 1 de junio.

Aumentando el pánico que afectó a Zcash y al mercado cripto en general el jueves y viernes está el hecho de que la falla había permanecido sin descubrir durante más de cuatro años.

Para Goertzel, el descubrimiento es significativo no solo porque la IA encontró una vulnerabilidad, sino también porque apunta a un nuevo modelo para la investigación de seguridad.

"Creo que es un indicador temprano de un cambio que será difícil de exagerar", dijo. "El modelo de investigación de seguridad como un puñado de especialistas humanos venerados que realizan auditorías lentas, artesanales y profundamente expertas no desaparece, pero deja de ser todo el juego."

Goertzel dijo que la falla de Orchard pertenece a una clase de errores lógicos sutiles que los modelos de IA de vanguardia son cada vez más capaces de encontrar, incluyendo errores de contratos inteligentes, fallas de control de acceso y situaciones en las que el software se comporta de manera diferente a lo que sus diseñadores pretendían. A medida que esas capacidades mejoran, añadió que la investigación de seguridad se está moviendo hacia un modelo en el que los especialistas humanos supervisan una revisión continua impulsada por IA que puede analizar bases de código mucho más extensamente que las auditorías tradicionales.

La propia respuesta de Zcash podría ofrecer un adelanto de ese futuro, dijo Goertzel.

"Que Shielded Labs incorpore a un investigador específicamente para buscar fallas a nivel de protocolo con un modelo de vanguardia antes de que un actor malicioso pueda hacerlo es, sospecho, la plantilla, no la excepción", dijo Goertzel. "La revisión proactiva, aumentada por IA y diseñada adversariamente se convierte en un requisito fundamental, y los protocolos que no la adopten serán cada vez más los que aprendan sobre sus vulnerabilidades del atacante en lugar de un amigo."

Según Sean Ren, CEO de Sahara AI y profesor de ciencias de la computación en la Universidad del Sur de California, los avances en IA también están redefiniendo el equilibrio entre atacantes y defensores, ya que los modelos de vanguardia pueden probar rápidamente estrategias de ataque, aprender de los resultados y descubrir debilidades.

"Para construir una mejor defensa, tenemos que usar estos modelos de IA de vanguardia como posibles atacantes para poner a prueba estos sistemas", dijo Ren a Decrypt.

Ren dijo que las redes blockchain están especialmente expuestas porque su código de código abierto puede ser analizado directamente por modelos de IA de vanguardia, que pueden probar rápidamente estrategias de ataque e identificar vulnerabilidades más rápido que las revisiones de seguridad tradicionales.

"Si uno piensa en laboratorios de modelos de vanguardia como OpenAI, Anthropic y Google DeepMind, ellos tienen acceso temprano a los modelos inéditos más potentes y pueden realizar muchos experimentos en sistemas de redes públicas como las blockchains, por lo que tienen el poder a su disposición", dijo. "Si alguien con intenciones maliciosas tuviera acceso a esas capacidades, podría llevar a cabo ataques y crear vulnerabilidades."

Esa ventana puede cerrarse más rápido de lo que muchos esperan, y según Danny Jenkins, CEO y cofundador de la firma de ciberseguridad ThreatLocker, el descubrimiento de vulnerabilidades asistido por IA está mejorando más rápido de lo que muchas organizaciones pueden asegurar el software en el que ya confían.

"Tenemos esta enorme brecha que va a tardar años y años en superarse", dijo Jenkins a Decrypt. "Todo este software va a tener todas estas vulnerabilidades, no tendremos soluciones o actualizaciones para ello durante mucho tiempo, y la gente podrá encontrar esas vulnerabilidades muy rápidamente."

Jenkins dijo que la IA no está cambiando fundamentalmente la investigación de vulnerabilidades tanto como acelerándola drásticamente. Tareas que antes requerían que los investigadores de seguridad revisaran código e hicieran ingeniería inversa de software manualmente ahora pueden realizarse en segundos por modelos modernos.

"Antes de la IA, las amenazas y exploits de ciberseguridad aumentaban cada año", dijo. "Después de la IA, se ha vuelto aún más rápido, y creo que se ha vuelto más rápido por dos razones. Una es que ahora puedes usar la IA para ayudar a encontrar vulnerabilidades y exploits, y el número de personas que tienen la capacidad de hacer esto ha crecido masivamente. Ya no tienes que ser un script kiddie."

A pesar de esos riesgos, Goertzel argumentó que las cripto también pueden estar mejor posicionadas que otras industrias para adaptarse porque su código es abierto y sus comunidades están altamente enfocadas en la seguridad.

"Las cripto están más cerca de la puerta, pero también son la parte de la habitación que puede ver venir la puerta", dijo.