Ethereum Foundation usa agentes de IA para cazar bugs de red

La Ethereum Foundation confirmó que utiliza grupos coordinados de agentes de inteligencia artificial para atacar su propia infraestructura crítica y así detectar vulnerabilidades antes de que lo hagan actores maliciosos. El anuncio llegó a través de un blog post publicado el jueves 9 de julio de 2026 por el equipo de Protocol Security de la fundación.

Según el reporte, los agentes de IA fueron desplegados contra los sistemas de los que depende la red Ethereum: código de sistemas, criptografía y contratos inteligentes. "Hemos estado corriendo agentes de IA coordinados contra el tipo de sistemas de los que depende la red, como software de sistemas, código criptográfico y contratos que tienen que ser correctos", escribió el equipo. "Los agentes encontraron bugs reales."

Uno de los hallazgos concretos fue una falla de tipo panic remoto en gossipsub, un componente de libp2p que forma parte de la capa peer-to-peer utilizada por los clientes de consenso de Ethereum. El problema fue corregido y divulgado públicamente en GitHub bajo el identificador CVE-2026-34219.

Cómo funciona el red team con IA

La práctica se conoce como red teaming: consiste en que un equipo de seguridad ataque sus propios sistemas para encontrar debilidades antes que un atacante externo, mientras un equipo separado (blue team) se encarga de la defensa. Tradicionalmente, esta tarea recaía en investigadores humanos que revisaban código de forma manual, un proceso lento y limitado por la capacidad de lectura de cada persona.

El esquema que describió la Ethereum Foundation organiza a los agentes en roles especializados: reconocimiento, búsqueda de vulnerabilidades, cierre de brechas y validación. Algunos agentes exploran posibles rutas de ataque, mientras otros intentan reproducir las fallas encontradas y verificar si funcionan contra código de producción real.

Un punto que el equipo destacó como inesperado no fue la capacidad de los agentes para encontrar bugs, sino la proporción de esfuerzo que insumió distinguir los hallazgos reales de los que solo lo parecían. "La sorpresa fue cuánto poco trabajo llevó encontrarlos, y cuánto llevó distinguir los bugs reales de los que solo parecían serlo", señalaron los investigadores.

Para reducir falsos positivos, el proceso exige que cada hallazgo incluya una prueba autocontenida y verificable antes de considerarse válido. "Un candidato no es un hallazgo hasta que hay una prueba autocontenida", remarcó el equipo, explicando que el esquema obliga a los agentes a formular una afirmación testeable en lugar de conformarse con una sospecha genérica de riesgo.

Parte de una tendencia más amplia

Este tipo de auditoría asistida por IA ya había arrojado resultados en otros proyectos de blockchain, incluido Zcash. El fenómeno también se extiende fuera del ecosistema cripto: en abril de 2026, una versión preliminar de Claude Mythos, de Anthropic, descubrió 271 vulnerabilidades en el navegador Firefox de Mozilla.

Los investigadores de la Ethereum Foundation compararon a estos agentes con los fuzzers, herramientas tradicionales que prueban software en busca de fallas mediante entradas automatizadas. La diferencia, señalaron, es que los agentes de IA no solo detectan el problema sino que además pueden generar reportes de vulnerabilidad, evaluar el impacto potencial y crear pruebas de concepto ejecutables, tareas que antes requerían intervención humana adicional.