Fundación Ethereum: el cuello de botella de la auditoría de IA ha pasado de detectar vulnerabilidades a verificarlas.

Wu Shuo informa que el equipo de seguridad del protocolo de la Ethereum Foundation publicó un artículo resumiendo métodos y experiencias sobre el uso de agentes de IA para auditar el código del protocolo de Ethereum. El equipo afirma que los agentes de IA ya han descubierto vulnerabilidades de seguridad reales, incluyendo la vulnerabilidad de bloqueo remoto en libp2p Gossipsub (CVE-2026-34219), pero el principal cuello de botella en la auditoría de seguridad ha pasado de detectar vulnerabilidades a verificar la veracidad de estas.

El artículo sostiene que la IA es más adecuada como herramienta de búsqueda de vulnerabilidades que como juez final, destacándose en la combinación de código y especificaciones para detectar posibles vulnerabilidades, verificar invariantes de seguridad y generar código de reproducción de vulnerabilidades. Sin embargo, también tiende a juzgar erróneamente cadenas de llamadas inalcanzables como alcanzables, exagerar la gravedad de las vulnerabilidades y tiene capacidad limitada para identificar vulnerabilidades que requieren múltiples pasos legítimos en un orden específico. Por lo tanto, el equipo exige que todas las vulnerabilidades candidatas puedan ser reproducidas de forma independiente en código real, y que pasen por verificación independiente y deduplicación, para que finalmente un humano confirme si la vulnerabilidad es válida, si es un reporte duplicado y cuándo debe ser divulgada.