Ethereum despliega agentes de IA para detectar fallos críticos

La Fundación Ethereum cambia de paradigma y automatiza su ciberdefensa. Su célula « Protocol Security » despliega ahora enjambres de agentes autónomos dotados de IA para atacar su propia red de manera continua. El objetivo es rastrear, violar y corregir las fallas antes que los hackers. Esta iniciativa, revelada por el equipo de seguridad del protocolo, marca una ruptura tecnológica importante en una época donde la más mínima falla en un contrato inteligente puede causar la pérdida de cientos de millones de dólares.

Una primera victoria concreta contra las fallas de la red

La ofensiva preventiva realizada por la Fundación Ethereum demostró inmediatamente su eficacia al descubrir una vulnerabilidad crítica en el mismo núcleo del software del que depende la blockchain, mientras la resistencia cuántica se convierte en una prioridad. Los investigadores confirmaron haber orquestado simulaciones de ataques directos contra sus propias infraestructuras, un método ofensivo conocido como « red teaming ». En su informe oficial, comparten sus primeros resultados destacando los siguientes elementos clave :

• El ataque a las infraestructuras vitales : « lanzamos agentes de IA coordinados contra tipos de sistemas de los que depende la red, tales como el software del sistema, el código criptográfico y los contratos que deben ser impecables » ;
• El descubrimiento de fallas reales: los científicos añaden sin la menor ambigüedad que « los agentes encontraron bugs reales » explotables en el código de producción ;
• La neutralización de un bug mayor : una anomalía fue localizada en el protocolo « gossipsub de libp2p », que representa la capa red peer-to-peer usada por los clientes de consenso de Ethereum. Este bug permitía desencadenar remotamente un error de pánico que amenazaba la estabilidad de los nodos. La falla fue corregida y registrada en GitHub bajo la referencia oficial CVE-2026-34219.

Más allá de la simple detección, esta experiencia reveló una realidad técnica inesperada para los ingenieros humanos. De hecho, el uso de grandes modelos de lenguaje para la seguridad de software modifica la naturaleza misma del trabajo de auditoría, desplazando el esfuerzo de la investigación bruta hacia la clasificación crítica. Los miembros de la Fundación Ethereum expresaron su sorpresa ante esta dinámica: « el hecho de que los agentes encuentren bugs no fue la sorpresa ».

Precisaron que « la sorpresa residía en el poco trabajo necesario para encontrarlos, y en la cantidad de esfuerzos necesarios para distinguir los bugs reales de aquellos que solo parecían reales ». Esta eficacia se integra además en una tendencia sectorial general: en abril pasado, una versión preliminar del modelo Claude Mythos de Anthropic había logrado identificar 271 vulnerabilidades en el navegador Firefox de Mozilla, ilustrando la potencia de cálculo de estas nuevas herramientas.

La organización militar de los enjambres de agentes autónomos de IA

Para alcanzar tal grado de precisión, la Fundación Ethereum estableció una arquitectura metodológica rigurosa distribuyendo sus agentes IA dentro de una estructura de roles hiperespecíficos. La organización de estos enjambres se basa en cuatro funciones distintas y complementarias: el reconocimiento, la cacería de fallas, el llenado de vacíos y finalmente la validación.

Mientras un grupo de agentes cartografía los vectores de ataque potenciales, otro se esfuerza en reproducir las fallas para probar la viabilidad de los exploits directamente frente al código de producción. Los investigadores subrayan la importancia de este marco estricto: « el esquema está ahí por una razón ».

Según ellos, « impone una afirmación específica y verificable así como una definición clara del trabajo realizado. Un agente que debe redactar una prueba observable no puede limitarse a un simple parece riesgoso ». Esta rigurosidad elimina la subjetividad propia de los informes automatizados clásicos.

El desafío de la validación frente a las ilusiones de la máquina

La multiplicación de estos informes detallados plantea un gran desafío a los equipos de seguridad, ya que la elocuencia técnica de una máquina no garantiza en absoluto su veracidad. A diferencia de las herramientas tradicionales de prueba automatizada llamadas « fuzzers », que se limitan a inyectar datos aleatorios para hacer que un programa falle, los agentes IA redactan análisis de impacto complejos y crean escenarios de prueba de concepto.

La contrapartida es la proliferación de falsos positivos convincentes. Para contrarrestar este fenómeno de alucinación, la Fundación instauró un protocolo de validación absoluto. Los investigadores recuerdan una regla de oro inmutable: « una regla importa más que todas las demás. Un candidato no es un hallazgo hasta que existe un artefacto autónomo que reproduce el fallo frente al código real, y que se ejecuta para alguien que no lo escribió ». Concluyen pragmáticamente: « el reproductor no lee el informe, y no le importa el nivel de confianza mostrado por el modelo. O se ejecuta, o no se ejecuta ».

Esta transición hacia auditorías asistidas por IA define los contornos de una nueva era para el Web3. La historia reciente muestra que este enfoque da frutos a escala global. En mayo pasado, el investigador Taylor Hornby utilizó Claude Opus 4.8 para detectar una vulnerabilidad crítica dentro del pool de privacidad Orchard de Zcash. Esta falla, que había estado latente durante aproximadamente cuatro años, podría haber permitido la creación de tokens falsos ZEC sin dejar rastro.

Al internalizar estas tecnologías, la Fundación Ethereum acepta un nuevo paradigma operativo. Como resumen sus expertos: « la IA no ha reemplazado al investigador en seguridad. Ha desplazado el trabajo ». El acceso a estos enjambres ofrece una cobertura de código inédita, pero exige a cambio una agudeza humana reforzada.

Los investigadores concluyen: « los agentes nos permiten cubrir mucho más terreno del que podríamos hacerlo a mano. A cambio, exigen un juicio más minucioso, frente a una pila mucho más grande de afirmaciones con tono confiado. Es un proceso que vale la pena, siempre que recuerdes que el juicio es el verdadero producto ». En el futuro, la resiliencia de las blockchains dependerá de la aptitud humana para arbitrar los diagnósticos de la máquina.