La Fundación Ethereum utiliza agentes de IA para detectar vulnerabilidades en la red

El equipo de Seguridad de Protocolos de la Fundación Ethereum desplegó agentes de IA para probar infraestructuras críticas de la red, según reveló en una publicación en su blog el jueves. Los agentes descubrieron múltiples vulnerabilidades, incluyendo un pánico activado remotamente en gossipsub de libp2p, divulgado como CVE-2026-34219 en Github. La prueba de seguridad asistida por IA representa la adopción por parte de la Fundación de prácticas de red teaming, donde las organizaciones atacan sus propios sistemas para identificar debilidades antes de que hackers maliciosos puedan explotarlas.

Fundación Ethereum despliega roles especializados de agentes de IA

La Fundación Ethereum organizó a los agentes de IA en roles especializados, incluyendo reconocimiento, caza, llenado de vacíos y validación. Algunos agentes buscan posibles rutas de ataque, mientras que otros intentan reproducir fallos y verificar si funcionan contra el código en producción. Los agentes probaron software del sistema, código criptográfico y contratos inteligentes en los que depende la red de Ethereum.

Los investigadores señalaron que no fue sorprendente que los agentes encontraran fallos, sino la distribución del trabajo. "La sorpresa fue lo poco que se dedicó a encontrarlos y cuánto a distinguir los errores reales de los que solo parecían reales", afirmó el equipo en la publicación.

Agentes de IA descubren vulnerabilidad CVE-2026-34219 en libp2p

Una vulnerabilidad detectada por los agentes de IA fue un pánico activado remotamente en gossipsub de libp2p, parte de la capa peer-to-peer utilizada por los clientes de consenso de Ethereum. La Fundación Ethereum solucionó el problema y lo divulgó en Github como CVE-2026-34219.

La Fundación comparó a los agentes de IA con fuzzers, herramientas que prueban software en busca de fallos. A diferencia de los fuzzers, los agentes de IA pueden generar informes de vulnerabilidades, evaluar el impacto y crear pruebas de concepto. Los investigadores establecieron una regla de validación: "Un candidato no es una vulnerabilidad hasta que exista un artefacto autónomo que reproduzca el fallo contra el código real y que funcione para alguien que no lo escribió."

Los modelos Claude de Anthropic descubren fallos en Firefox y Zcash

Claude Mythos de Anthropic detectó 271 vulnerabilidades en el navegador Firefox de Mozilla en abril. La investigadora de seguridad Taylor Hornby utilizó Claude Opus 4.8 en mayo durante una auditoría asistida por IA que encontró una vulnerabilidad crítica en la piscina de privacidad Orchard de Zcash.

El fallo en Zcash existió durante aproximadamente cuatro años y podría haber permitido a un atacante crear ZEC falsificados sin una huella obvia en la cadena. Según la fuente, se está trabajando en una actualización de red para restaurar la confianza en la oferta de Zcash.

Investigadores humanos validan hallazgos de seguridad generados por IA

Los hallazgos generados por IA pueden parecer convincentes incluso cuando son incorrectos, por lo que los investigadores deben filtrar duplicados, falsos positivos y vulnerabilidades que en realidad no se pueden explotar. Los investigadores de la Fundación Ethereum indicaron que hallazgos detallados no siempre significan que sean correctos.

"IA no reemplazó al investigador de seguridad. Movilizó el trabajo", afirmó la Fundación. "Los agentes nos permitieron cubrir mucho más terreno de lo que podríamos a mano. A cambio, requieren un juicio más cuidadoso, en un conjunto mucho mayor de afirmaciones que parecen confiables." Añadieron que el juicio es el verdadero producto del proceso de seguridad asistido por IA.

Preguntas frecuentes

¿Qué vulnerabilidad descubrieron los agentes de IA de la Fundación Ethereum en libp2p?

Detectaron un pánico activado remotamente en gossipsub de libp2p, parte de la capa peer-to-peer utilizada por los clientes de consenso de Ethereum. La Fundación Ethereum solucionó y divulgó el problema en Github como CVE-2026-34219.

¿Cuántas vulnerabilidades encontró Claude Mythos de Anthropic en Firefox?

Descubrió 271 vulnerabilidades en el navegador Firefox de Mozilla en abril, demostrando el creciente papel de la IA en la investigación de vulnerabilidades.

¿Qué roles desempeñan los agentes de IA en las pruebas de seguridad de Ethereum?

La Fundación Ethereum organizó a los agentes en roles especializados, incluyendo reconocimiento, caza, llenado de vacíos y validación. Algunos buscan rutas de ataque, mientras que otros reproducen fallos y verifican exploits contra el código en producción.