-
Aráoz: Os agentes de IA são “sobre-humanos” na descoberta de vulnerabilidades em contratos.
-
Marc Zeller, da Ethereum França, contradiz Aráoz: menos de 10% das falhas são de código.
Manuel Aráoz, cofundador da OpenZeppelin, empresa que desenvolve as bibliotecas de contratos inteligentes mais utilizadas na Ethereum e outras cadeias, declarou neste dia 26 de maio em
Aráoz defendeu a sua posição no uso de IA para realizar hacks e ataques cibernéticos:
Os agentes de criptografia (ferramentas de IA) são sobre-humanos na detecção de vulnerabilidades, e a segurança em contratos inteligentes é muito assimétrica: os defensores precisam corrigir todos os bugs, enquanto os invasores precisam apenas de uma exploração para roubar fundos.
Manuel Aráoz, cofundador do OpenZeppelin.
A assimetria que Aráoz descreve não é um aviso técnico abstrato, mas vem de quem desenhou parte dos alicerces sobre os quais estes protocolos são construídos.
O diagnóstico surge após uma onda de ataques e explorações no espaço DeFi desde abril passado. Naquele mês, os protocolos DeFi registraram pelo menos 34 hacks com perdas de aproximadamente US$ 635 milhõesconforme relatado pela CriptoNoticias.
Em maio a tendência continuou. A ponte entre as redes Verus e Ethereum foi drenada em US$ 11,58 milhões e a THORChain registrou perdas estimadas em mais de US$ 10 milhões.
IA como multiplicador de ataque
A aceleração dos hacks tem um denominador comum na opinião de quem os analisa por dentro.
Maximiliano Carjuzaa, cofundador do Money On Chain (protocolo DeFi construído no Rootstock, a cadeia lateral do Bitcoin) afirmou em entrevista ao CriptoNoticias que estima que quase 100% dos ataques registrados nos últimos dois meses envolveram IA até certo ponto, seja para descobrir o vetor de ataque, para desenvolver a exploração, ou ambos.
Além disso, Carjuzaa acredita que o perigo aumentará no futuro, especialmente com o novo modelo de IA da Anthropic, chamado Mythos, que ainda não foi divulgado ao público, está sendo testado por empresas como Google, Microsoft, e que “já encontrou milhares de vulnerabilidades de dia zero”, segundo Carjuzaa.
Penso que nos próximos meses isto vai atingir muito duramente e vamos ver isso em governos de países do terceiro mundo, hospitais, exércitos, esquadras de polícia, PME, vai ser selvagem.
Maximiliano Carjuzaa, cofundador da Money On Chain.
O próprio Carjuzaa experimentou a dualidade do problema. Uma ferramenta de IA detectou uma vulnerabilidade no código Money On Chain em aproximadamente um minuto que passou por cinco auditorias humanas em sete anos de produção e permaneceu exposto desde o lançamento do protocolo. Carjuzaa e sua equipe pausaram a plataforma, resolveram o problema e a reabriram.
Na mesma linha, Charles Guillemet, diretor de tecnologia da Ledger, explicou que pedir a um modelo de linguagem para analisar diferenças de segurança entre duas versões de um programa e gerar uma exploração é atualmente mais rápido, mais barato e mais eficiente do que qualquer método anterior.
O código não é o problema: uma opinião que contradiz Manuel Aráoz
Marc Zeller, cofundador da Ethereum France e um dos principais organizadores da EthCC (a maior conferência Ethereum da Europa), rejeitou o diagnóstico de Aráoz:
Menos de 10% dos problemas de DeFi no ano passado foram devidos ao código. A maioria deles consiste em configurações inadequadas de parâmetros, liquidações de garantias e segurança operacional deficiente.
Marc Zeller, cofundador da Ethereum França.
A distinção é relevante. Um bug de código é um erro na lógica do contrato inteligente que um auditor (ou uma ferramenta de IA) pode encontrar antes da implantação. Por outro lado, uma má configuração de parâmetros é uma decisão de governação, por exemplo, estabelecer um rácio de garantias demasiado permissivo, permitir ativos com baixa liquidez como garantia, ou não atualizar os limiares de risco face às alterações do mercado.
A segurança operacional, mencionada por Zeller, refere-se a como as chaves são gerenciadas com acesso a funções críticas do protocolo. Se Zeller estiver certo, o argumento de Aráoz, de que os agentes de IA tornam o código indefensável, ataca um vetor que na prática não seria o dominante.
O hack da ponte Verus-Ethereum em 17 de maio ilustra o argumento defendido pelo cofundador da Ethereum France, uma vez que o contrato verificava corretamente a integridade criptográfica das mensagens recebidas, mas não verificou se os valores declarados naquela exportação estavam amparados em valor real bloqueado na cadeia de origem.
O invasor dessa ponte construiu uma transação de aproximadamente US$ 10 em taxas com valores de origem vazios. A rede aceitou-o então como válido e o contrato liberou 11,58 milhões de dólares das suas reservas. Portanto, não era apenas um bug que uma ferramenta de IA poderia detectar ao escanear linhas de código, mas era um decisão arquitetônica sobre o que foi verificado e o que não foi.
