O novo Mythos AI da Anthropic está expondo as rachaduras ocultas na fundação da criptografia

Mythos, o novo modelo de IA da Anthropic que gerou medo e confusão na tecnologia e nas finanças tradicionais, também está impulsionando uma grande mudança na forma como a indústria de criptografia pensa sobre segurança.

Durante anos, as finanças descentralizadas concentraram as suas defesas em contratos inteligentes. O código é auditado, as vulnerabilidades são catalogadas e muitas explorações comuns são bem compreendidas. Mas o Mythos, um modelo concebido para identificar e encadear pontos fracos entre sistemas, está chamando a atenção além do código e na infraestrutura que o suporta.

“Os maiores riscos residem na infraestrutura”, disse Paul Vijender, chefe de segurança da Gauntlet, uma empresa de gestão de risco. “Quando penso em ameaças impulsionadas por IA, estou menos preocupado com explorações de contratos inteligentes e mais focado em ataques assistidos por IA contra as camadas humanas e de infraestrutura.”

Isso inclui sistemas de gerenciamento de chaves, serviços de assinatura, pontes, redes oracle e as camadas criptográficas que os conectam. Esses componentes são menos visíveis que os contratos inteligentes e muitas vezes estão fora do escopo da auditoria tradicional.

Na verdade, este mês, o provedor de infraestrutura web Vercel, que muitas empresas de criptografia usam, divulgou um violação de segurança que pode ter exposto as chaves de API do cliente, fazendo com que os projetos de criptografia alternassem credenciais e revisem seu código. Vercel rastreou a intrusão até uma conexão comprometida do Google Workspace por meio da ferramenta de IA de terceiros Context.ai, usada por um funcionário.

Mythos pertence a uma nova classe de sistemas de IA construídos para simular adversários. Em vez de procurar bugs conhecidos, explora como os protocolos interagemtestando como pequenas fraquezas podem ser combinadas em explorações do mundo real. Essa abordagem chamou a atenção além da criptografia. Bancos como o JP Morgan estão cada vez mais tratando o risco cibernético impulsionado pela IA como sistêmico e estão explorando ferramentas como Mythos para testes de estresse. No início deste mês, Coinbase e Binance ambos supostamente abordaram a Antrópica para testar o Mythos.

As primeiras descobertas de modelos como o Mythos identificaram pontos fracos nos sistemas de bastidores que mantêm as plataformas criptográficas seguras, incluindo a tecnologia que protege as chaves e lida com a comunicação entre os sistemas.

“Acho que há duas áreas onde os modelos de IA são especialmente valiosos”, disse Vijender. “Primeiro, cadeias de exploração em várias etapas que historicamente só são descobertas depois que o dinheiro é perdido. Em segundo lugar, vulnerabilidades na camada de infraestrutura que as auditorias tradicionais nunca abordam.”

Essa mudança é importante em um sistema baseado na capacidade de composição, onde os protocolos DeFi podem se conectar e desenvolver os serviços uns dos outros.

Os protocolos DeFi são projetados para interconectar. Partilham liquidez, dependem de oráculos comuns e interagem através de camadas de integrações que são difíceis de mapear na íntegra. Essa interconectividade impulsionou o crescimento, mas também cria caminhos para a propagação do risco, à medida que visto em explorações recentes de pontes como o ataque Hyperbridge, no qual um invasor cunhou US$ 1 bilhão em tokens Polkadot em ponte no Ethereum, explorando uma falha na forma como as mensagens entre cadeias eram verificadas.

“Composabilidade é o que torna o capital DeFi eficiente e inovador”, disse Vijender. “Mas também significa que uma pequena vulnerabilidade num protocolo pode tornar-se um vetor de exploração crítico com potencial de contágio em todo o ecossistema.”

Sem IA, essas dependências são difíceis de rastrear. Com a IA, eles podem ser mapeados e explorados em grande escala. O resultado é uma mudança de explorações isoladas para falhas sistêmicas que se espalham pelos protocolos.

Evolução dos ataques de IA

Ainda assim, alguns líderes da indústria vêem o Mythos como uma aceleração e não como um ponto de viragem.

No Aave Labs, o fundador Stani Kulechov disse que a IA reflete a dinâmica já em jogo no ambiente adversário do DeFi.

“A Web3 conhece adversários bem financiados e motivados”, disse ele à CoinDesk. “Os modelos de IA representam uma evolução nas ferramentas usadas para realizar explorações.”

Dessa perspectiva, o DeFi já foi desenvolvido para ataques à velocidade da máquina. Os contratos inteligentes são executados automaticamente e as defesas, como mecanismos de liquidação e parâmetros de risco, operam sem intervenção humana.

“O DeFi opera em velocidade computacional, então a IA não introduz uma nova dinâmica”, disse Kulechov. “Isso intensifica um ambiente que sempre exigiu vigilância constante.”

Mesmo assim, a Aave está vendo a IA revelar novas categorias de vulnerabilidades, incluindo questões que os auditores humanos podem ter anteriormente desvalorizado.

“O artigo da Mythos mostra que a IA pode descobrir bugs antigos que antes não eram priorizados”, disse ele.

Essa amplitude ainda é importante num sistema onde vulnerabilidades ainda menores podem minar a confiança ou ser combinadas em explorações maiores.

Se os atacantes puderem se mover mais rápido, a questão será se as defesas conseguirão acompanhar o ritmo.

Tanto para Gauntlet quanto para Aave, a resposta está na mudança do próprio modelo de segurança. As auditorias antes da implantação e o monitoramento posterior foram projetados para ameaças de ritmo humano. A IA comprime essa linha do tempo.

“Para nos defendermos contra a IA ofensiva, precisaremos adotar uma abordagem centrada na IA, onde a velocidade e a adaptação contínua são essenciais”, disse Vijender da Gauntlet. Isso inclui auditoria contínua, simulação em tempo real e sistemas construídos com a suposição de que ocorrerão violações.

Um ‘caminho maior’

Aave já integrou IA em seus fluxos de trabalho, utilizando-a para simulações e revisão de código junto com auditores humanos. “Adotamos uma abordagem que prioriza a IA, onde ela agrega valor claro”, disse Kulechov, da Aave Labs. “Mas complementa, em vez de substituir, a auditoria liderada por humanos.”

Nesse sentido, a IA equipa atacantes e defensores.

Para os construtores, o efeito a longo prazo pode ser menos perturbador do que divergência.

“Ainda não testamos o Mythos, mas estamos genuinamente interessados no que ela e ferramentas semelhantes podem fazer pela segurança do protocolo”, disse Hayden Adams, fundador e CEO da Uniswap Labs. “A IA oferece aos construtores melhores maneiras de testar a resistência e fortalecer os sistemas.”

Com o tempo, Adams espera que a lacuna entre protocolos seguros e inseguros aumente.

“Projetos que priorizam a segurança terão maior capacidade de testar e fortalecer os sistemas antes do lançamento”, disse ele. “Projetos que não o fizerem estarão em maior risco.”

Essa pode ser a verdadeira mudança. A segurança não se trata mais de eliminar vulnerabilidades. Trata-se de uma adaptação contínua a um sistema no qual essas vulnerabilidades são constantemente redescobertas e recombinadas.

Fonte