La auditoría de IA ha encontrado una vulnerabilidad real, pero no te alegres demasiado pronto; la reproducción y verificación son el verdadero desafío, y la revisión manual final no se puede evitar.

El artículo concluye que los agentes de IA pueden ayudar en la auditoría de código de Ethereum, y ya se ha descubierto una vulnerabilidad real, CVE-2026-34219, en libp2p Gossipsub. El cuello de botella principal ha pasado del descubrimiento a la verificación. La IA es buena combinando código y especificaciones para buscar vulnerabilidades y generar reproducciones, pero puede clasificar erróneamente rutas inalcanzables como alcanzables, exagerar la gravedad, y tener dificultades para identificar vulnerabilidades que requieren múltiples pasos. Por lo tanto, se exige que todas las vulnerabilidades candidatas sean reproducidas de forma independiente en código real, verificadas y deduplicadas, y que el momento de divulgación sea confirmado finalmente por humanos.