Fundación Ethereum Despliega Enjambres de Agentes IA para Detectar Vulnerabilidades en Su Propio Código

Por Jason Nelson

La Fundación Ethereum está usando enjambres de agentes de IA para atacar Ethereum—antes de que alguien más lo haga.

En una publicación de blog del jueves, investigadores de la Fundación Ethereum en el equipo de Seguridad del Protocolo señalaron que han desplegado una serie de agentes de IA contra el software del que depende Ethereum, en busca de vulnerabilidades en sistemas criptográficos, código de protocolo y contratos inteligentes.

"Hemos estado ejecutando agentes de IA coordinados contra el tipo de sistemas de los que depende la red, como software de sistemas, código criptográfico y contratos que deben funcionar correctamente", escribieron los investigadores. "Los agentes encontraron bugs reales".

Uno de los bugs descubiertos fue un pánico activado de forma remota en el gossipsub de libp2p, parte de la capa peer-to-peer utilizada por los clientes de consenso de Ethereum. El problema fue corregido y divulgado en Github como CVE-2026-34219.

Conocida como red teaming, esta práctica consiste en que las empresas despliegan investigadores de seguridad para atacar sus propios sistemas, intentando infiltrarlos o interrumpirlos para descubrir debilidades antes de que los hackers maliciosos las encuentren. Mientras los equipos rojos atacan un sistema, los equipos azules se encargan de defenderlo.

Tradicionalmente, los investigadores humanos han buscado vulnerabilidades revisando el código de forma manual—pero los agentes de IA pueden escanear bases de código completas, probar posibles exploits y generar hallazgos para su revisión.

"Que los agentes encontraran bugs no fue la sorpresa", escribió el equipo. "La sorpresa fue lo poco del trabajo que se dedicó a encontrarlos, y lo mucho que se destinó a distinguir los bugs reales de los que simplemente lo parecían".

Según la Fundación Ethereum, los agentes están organizados en roles especializados como reconocimiento, búsqueda, relleno de vacíos y validación. Algunos buscan posibles rutas de ataque, mientras que otros intentan reproducir fallas y verificar si funcionan contra el código en producción.

"El esquema existe por una razón", afirmaron. "Obliga a formular una afirmación específica y comprobable, con una definición clara de lo que significa estar listo. Un agente que debe escribir una prueba observable no puede recurrir al 'esto parece arriesgado'".

El creciente papel de la IA en la investigación de vulnerabilidades quedó demostrado en abril, cuando una versión preliminar de Claude Mythos de Anthropic descubrió 271 vulnerabilidades en el navegador Firefox de Mozilla.

Los investigadores compararon los agentes de IA con los fuzzers, herramientas que prueban el software en busca de fallas. Sin embargo, a diferencia de los fuzzers, los agentes de IA pueden generar informes de vulnerabilidades, evaluar el impacto y crear pruebas de concepto.

Sin embargo, que sea detallado no siempre significa que sea correcto. Los hallazgos generados por IA pueden parecer convincentes incluso cuando están equivocados, lo que obliga a los investigadores a filtrar duplicados, falsos positivos y vulnerabilidades que en realidad no pueden explotarse.

"Una regla importa más que cualquier otra. Un candidato no es un hallazgo hasta que exista un artefacto autónomo que reproduzca la falla contra el código real y que funcione para alguien que no lo escribió", agregaron los investigadores. "El reproductor no lee el informe y no le importa cuán seguro sonaba el modelo. O funciona o no funciona".

Las herramientas de IA ya han ayudado a investigadores de seguridad a descubrir fallas en redes blockchain.

En mayo, el investigador de seguridad Taylor Hornby utilizó Claude Opus 4.8 de Anthropic durante una auditoría asistida por IA que encontró una vulnerabilidad crítica en el pool de privacidad Orchard de Zcash. La falla existía desde hacía aproximadamente cuatro años y podría haber permitido a un atacante crear ZEC falsificado sin un rastro on-chain obvio. Una actualización de red para restaurar la confianza en el suministro de Zcash aún está en desarrollo.

El experimento de la Fundación Ethereum trae la tecnología al interior de la organización, usando agentes de IA para probar su propio código en busca de vulnerabilidades.

"La IA no reemplazó al investigador de seguridad. Redirigió el trabajo", señaló la Fundación Ethereum. "Los agentes nos permiten cubrir mucho más terreno del que podríamos abarcar manualmente. A cambio, exigen un juicio más cuidadoso, aplicado a una pila mucho más grande de afirmaciones que suenan convincentes".

"Vale la pena ese intercambio", añadieron, "siempre que recuerdes que el juicio es el verdadero producto".

Noticias recomendados