Lau, diretor da CertiK, defende que a IA traz um impacto positivo líquido, apesar dos riscos

Kaijern Lau, da CertiK: a IA será positiva para a segurança da Web3, mas também uma “faca de dois gumes”

O mundo da segurança e da auditoria de blockchain está mudando rapidamente, já que exploits e vulnerabilidades agora estão sendo explorados e descobertos com muito mais rapidez devido ao envolvimento da inteligência artificial (IA) nos processos de descoberta de vulnerabilidades.

Preocupações generalizadas sobre os riscos do papel crescente da IA nessas atividades aumentaram com o incidente da Hugging Face, em que uma plataforma de IA sofreu um ataque, que foi a primeira invasão “conduzida, do início ao fim, por um sistema autônomo de agentes de IA”.

O ocorrido, posteriormente atribuído a um modelo da OpenAI que escapou de seu ambiente de testes, confirmou que a guerra de cibersegurança conduzida por agentes é uma realidade e que as instituições precisam estar preparadas para enfrentar esses riscos agora, e não amanhã.

As preocupações também chegaram ao ecossistema Web3, onde a segurança é mais passiva do que ativa, gerenciada por auditorias e considerações de segurança projetadas durante as fases de produção e que, muitas vezes, não podem ser atualizadas em tempo real antes da implantação de novos contratos.

Em uma entrevista exclusiva ao Bitcoin.com News, Kaijern Lau, diretor sênior de engenharia da CertiK, examinou o papel da IA tanto nesses ataques quanto no processo de auditoria de código para preveni-los.

Lau ressalta que a IA pode ser uma ferramenta útil para identificar vulnerabilidades e examinar possíveis vetores de ataque em uma plataforma. No entanto, o envolvimento de um ser humano ainda é necessário “para garantir que a IA tenha analisado o código minuciosamente e para verificar se as vulnerabilidades relatadas são reais, e não falsos positivos”.

Lau declarou que pesquisas recentes sobre superfícies de ataque a carteiras de hardware ilustram as limitações da IA e a importância do envolvimento humano. “A IA pode ajudar a identificar padrões e acelerar a análise, mas ainda são necessários pesquisadores experientes para validar as descobertas e avaliar seu impacto real”, avaliou ele.

Incidente da Hugging Face foi isolado, não é prova de “agentes desonestos”

Lau enfatizou que o incidente da Hugging Face ocorreu durante um cenário específico de avaliação e que uma ocorrência desse tipo não significa que os modelos de IA sejam incontroláveis.

Mesmo assim, ele destacou que o ataque evidenciou as capacidades atuais dos agentes de IA, que estão cada vez mais aptos a executar operações complexas de segurança cibernética, incluindo a identificação e combinação de vulnerabilidades que parecem gerenciáveis isoladamente — como um serviço exposto, uma configuração incorreta, permissões excessivas ou credenciais comprometidas —, transformando-as em um caminho de ataque coordenado na velocidade de uma máquina.

Consequentemente, isso também mostra como o investimento em IA para fins de segurança está se tornando a norma para empresas com produtos baseados em código, como o setor de Web3 e blockchain.

“A IA tornará tanto os atacantes quanto os defensores mais capazes. É por isso que as empresas de blockchain devem investir mais em segurança impulsionada por IA para proteger seu código e sua infraestrutura. Estamos entrando em uma era em que a questão principal não é mais se devemos usar IA, mas quantos recursos de IA (ou tokens) as organizações investem na defesa de seus sistemas em comparação com os recursos que os invasores investem para lançar ataques cada vez mais sofisticados”, declarou o especialista.

IA e segurança de blockchain: onde estamos

Embora Lau tenha certeza de que a IA e a segurança de blockchain inevitavelmente se entrelaçarão, ele reconhece que ainda é muito cedo para que tarefas de detecção de vulnerabilidades e desenvolvimento seguro de software sejam concluídas sem intervenção humana.

A CertiK chega a considerar os agentes defensivos e suas ferramentas como parte da superfície de ataque, já que podem ser sondados em busca de injeção imediata, entradas de ferramentas maliciosas, permissões excessivas, vazamento de dados ou correção automatizada insegura. Na verdade, a empresa desenvolveu uma ferramenta, o AI Skill Scanner, para ajudar a identificar riscos em habilidades de IA antes da implantação, aumentando os controles exercidos sobre os agentes de IA.

Lau revelou que a CertiK continuará a investir fortemente para construir uma segurança avançada impulsionada por IA. “Nossos desenvolvedores internos e pesquisadores de segurança estão trabalhando sem parar para aprimorar a segurança de blockchain impulsionada por IA”, confirmou ele.

A CertiK também desenvolveu o AI Auditor, uma ferramenta que realiza uma análise automática de projetos de blockchain, identificando riscos comuns de segurança. “Essa abordagem multimodelo e multiagente melhora tanto a precisão quanto a confiabilidade das avaliações de segurança”, disse Lau, descrevendo como a empresa estava desenvolvendo suas capacidades defensivas contra agentes assistidos por IA.

O equilíbrio da IA: para onde vamos a partir daqui

Embora a IA reduza as barreiras aos ataques — já que os agentes mal-intencionados já estão utilizando agentes para descobrir vulnerabilidades e escanear contratos inteligentes em busca de falhas —, Lau garante que há vantagens reais no uso da IA para fins defensivos.

“A IA eleva drasticamente nossa eficiência e alcance na detecção de ameaças. A CertiK aprimorou a eficiência da verificação formal ao integrar a IA ao seu mecanismo proprietário CertiK Prover”, especificou Lau.

A contribuição da CertiK para o setor, disse Lau, vai além da detecção de vulnerabilidades e visa garantir que as medidas de segurança defensivas se mantenham à frente dessas ameaças emergentes de IA, treinando e empregando também seus modelos de IA para proteger seus clientes.

“De modo geral, a IA será uma força positiva para a segurança da Web3, mas é inegavelmente uma faca de dois gumes que exige um equilíbrio contínuo”, concluiu Lau.