Um pesquisador de segurança usando o Claude Opus 4.8 da Anthropic descobriu uma falha crítica no pool de privacidade Orchard da Zcash em questão de dias, expondo uma vulnerabilidade que havia sobrevivido a quatro anos de revisão por criptógrafos de conhecimento zero líderes.

A divulgação fez o ZEC despencar cerca de 38% na quinta-feira e levantou uma preocupação mais ampla para a indústria de cripto em relação aos modelos de IA de ponta que se tornam cada vez mais proficientes em encontrar vulnerabilidades do que a maioria dos humanos.

"A significância não é realmente que a IA pode encontrar bugs," disse Ben Goertzel, fundador e CEO da SingularityNET, ao Decrypt. "É que o tipo de bug que ela agora pode encontrar mudou."

Em vez de simplesmente sinalizar erros óbvios de codificação, os modelos de ponta são cada vez mais capazes de raciocinar sobre se o software se comporta da maneira que seus designers pretendiam, disse ele.

Em maio, Taylor Hornby, pesquisador de segurança contratado pela Shielded Labs, descobriu uma falha crítica no circuito Orchard da Zcash com a assistência do Claude Opus 4.8 da Anthropic. Escondido em duas linhas de código, o bug resultou de uma verificação que parecia validar as entradas de transação, mas na verdade não estava aplicando as regras pretendidas, potencialmente permitindo que um invasor criasse ZEC falsificado dentro do pool blindado sem detecção. Hornby construiu um exploit funcional para verificar a vulnerabilidade antes de relatá-lo aos desenvolvedores. Uma correção de emergência foi implementada em 1º de junho.

Somando-se ao pânico que atingiu a Zcash e o mercado cripto mais amplo na quinta e sexta-feira, está o fato de que a falha permaneceu sem ser descoberta por mais de quatro anos.

Para Goertzel, a descoberta é significativa não apenas porque a IA encontrou uma vulnerabilidade, mas também porque aponta para um novo modelo para pesquisa de segurança.

"Acho que é um marcador precoce de uma mudança que será difícil de superestimar," disse ele. "O modelo de pesquisa de segurança como um punhado de especialistas humanos reverenciados fazendo auditorias lentas, artesanais e profundamente especializadas não desaparece, mas deixa de ser o jogo inteiro."

Goertzel disse que a falha do Orchard pertence a uma classe de bugs lógicos sutis que os modelos de IA de ponta são cada vez mais capazes de encontrar, incluindo erros de contratos inteligentes, falhas de controle de acesso e situações em que o software se comporta de maneira diferente do que seus designers pretendiam. À medida que essas capacidades melhoram, ele acrescentou que a pesquisa de segurança está mudando para um modelo no qual especialistas humanos supervisionam a revisão contínua impulsionada por IA que pode analisar bases de código muito mais extensivamente do que as auditorias tradicionais.

A própria resposta da Zcash pode oferecer uma prévia desse futuro, disse Goertzel.

"A Shielded Labs contratar um pesquisador especificamente para caçar falhas em nível de protocolo com um modelo de ponta antes que um ator malicioso pudesse é, eu suspeito, o modelo, não a exceção," disse Goertzel. "A revisão proativa, aumentada por IA e adversarial por design torna-se essencial, e os protocolos que não a adotarem serão cada vez mais aqueles que aprenderão sobre suas vulnerabilidades com o invasor, em vez de um amigo."

De acordo com Sean Ren, CEO da Sahara AI e professor de ciência da computação na Universidade do Sul da Califórnia, os avanços na IA também estão remodelando o equilíbrio entre atacantes e defensores, já que os modelos de ponta podem testar rapidamente estratégias de ataque, aprender com os resultados e descobrir fraquezas.

"Para construir uma defesa melhor, temos que usar esses modelos de IA de ponta como potenciais atacantes para testar esses sistemas sob estresse," disse Ren ao Decrypt.

Ren disse que as redes blockchain estão especialmente expostas porque seu código de código aberto pode ser analisado diretamente por modelos de IA de ponta, que podem testar rapidamente estratégias de ataque e identificar vulnerabilidades mais rápido do que as revisões de segurança tradicionais.

"Se você pensar em laboratórios de modelos de ponta como OpenAI, Anthropic e Google DeepMind, eles têm acesso antecipado aos modelos não publicados mais fortes e podem realizar muitos experimentos em sistemas de rede pública como blockchains, então eles têm o poder em suas mãos," disse ele. "Se alguém com intenção maliciosa tivesse acesso a essas capacidades, poderia realizar ataques e criar vulnerabilidades."

Essa janela pode fechar mais rápido do que muitos esperam, e de acordo com Danny Jenkins, CEO e cofundador da empresa de cibersegurança ThreatLocker, a descoberta de vulnerabilidades assistida por IA está melhorando mais rápido do que muitas organizações podem proteger o software em que já confiam.

"Temos essa enorme lacuna que levará anos e anos para ser superada," disse Jenkins ao Decrypt. "Todo esse software terá todas essas vulnerabilidades, não teremos correções ou atualizações para ele por muito tempo, e as pessoas conseguirão encontrar essas vulnerabilidades muito rapidamente."

Jenkins disse que a IA não está fundamentalmente mudando a pesquisa de vulnerabilidades tanto quanto a acelerando dramaticamente. Tarefas que antes exigiam que pesquisadores de segurança revisassem código e fizessem engenharia reversa de software manualmente agora podem ser realizadas em segundos por modelos modernos.

"Pré-IA, as ameaças e exploits de cibersegurança estavam aumentando a cada ano," disse ele. "Pós-IA, tornou-se ainda mais rápido, e acho que se tornou mais rápido por duas razões. Uma é que agora você pode usar IA para ajudar a encontrar vulnerabilidades e exploits, e o número de pessoas que têm a capacidade de fazer isso cresceu massivamente. Você não precisa ser um script kiddie agora."

Apesar desses riscos, Goertzel argumentou que as criptomoedas também podem estar em melhor posição do que outras indústrias para se adaptar porque seu código é aberto e suas comunidades são altamente focadas em segurança.

"As criptomoedas estão mais próximas da porta, mas também são a parte da sala que pode ver a porta chegando," disse ele.