L’intelligenza artificiale sta trasformando il modo in cui il mondo delle criptovalute affronta la sicurezza informatica. Gli strumenti basati sull’AI diventano più accessibili, più veloci e sempre più difficili da ignorare per chiunque operi nel settore blockchain. Secondo esperti e ricercatori, questa evoluzione potrebbe ridefinire gli standard di due diligence prima del rilascio di qualsiasi codice.

Il caso Mythos: quando l’AI scopre vulnerabilità nei contratti intelligenti

Il lancio di Mythos, un sistema di intelligenza artificiale in grado di identificare autonomamente vulnerabilità nel codice, ha segnato un punto di svolta per la sicurezza delle blockchain. Sviluppato da Anthropic, il sistema è in grado di analizzare gli smart contract con un livello di ragionamento che va oltre i tradizionali strumenti automatizzati, detti fuzzer.

Alexander Urbelis, Chief Information Security Officer di ENS Labs, ha commentato l’impatto di questi strumenti: il costo di un audit di base si sta avvicinando a zero. Quello che prima richiedeva settimane di lavoro e budget significativi può oggi essere completato in pochi minuti, aprendo la strada a revisioni di sicurezza anche per progetti che non avrebbero mai potuto permettersele.

La differenza rispetto ai vecchi strumenti non è solo quantitativa. Come ha spiegato Urbelis, si tratta di un cambiamento qualitativo: mentre i fuzzer tradizionali si limitano a identificare bug tecnici, i nuovi sistemi basati sull’AI sono capaci di ragionare sull’intento del codice e confrontarlo con ciò che il codice fa effettivamente.

Dalla revisione periodica al monitoraggio continuo

David Schwed, Chief Operating Officer della società di sicurezza blockchain SVRN e fondatore del master in cybersecurity alla Yeshiva University, ha evidenziato un cambiamento ancora più profondo: il passaggio dall’audit una tantum al monitoraggio continuo del codice.

Per anni, la sicurezza degli smart contract è stata vincolata ai budget disponibili. Un’analisi approfondita aveva un costo elevato, quindi le revisioni venivano effettuate solo in momenti specifici. Con l’AI, il panorama cambia: è possibile ottenere audit continui con suggerimenti di remediation a una frazione del costo precedente.

Questo cambiamento potrebbe avere conseguenze legali e reputazionali. Urbelis ha sottolineato che quando uno strumento di sicurezza AI esiste ed è accessibile, la mancata adozione potrebbe essere considerata una forma di negligenza. Un report AI positivo non sarà più sufficiente come difesa: la controparte potrà sostenere che lo strumento era disponibile, che era economico, e che certe vulnerabilità avrebbero dovuto essere individuate.

I limiti dell’AI: l’ingegneria sociale resta fuori portata

Nonostante i progressi, né Urbelis né Schwed ritengono che l’AI sia destinata a sostituire del tutto gli auditor umani nel breve periodo. I sistemi automatizzati eccellono nell’identificare difetti tecnici nel codice, ma faticano a rilevare le vulnerabilità economiche e quelle legate agli incentivi che stanno alla base di alcune delle perdite più gravi nella storia del crypto.

Schwed ha citato casi emblematici come Ronin e Bybit, dove chiavi compromesse e processi di firma manipolati hanno giocato un ruolo centrale, non bug nel codice stesso. Urbelis ha richiamato l’attacco a Drift, descritto come il risultato di una campagna di ingegneria sociale durata mesi, che ha preso di mira collaboratori fidati del protocollo piuttosto che il codice.

In quei casi, lo smart contract ha funzionato esattamente come previsto: il problema era nell’autorità che stava dietro all’istruzione. Nessun scanner di codice è in grado di fermare un firmatario autorizzato che approva una transazione che non riesce a verificare.

Un nuovo standard di sicurezza per l’industria

La vera trasformazione in atto non è la scomparsa delle vulnerabilità, ma il cambiamento delle aspettative attorno alla loro gestione. Se gli strumenti AI diventano ubiqui e accessibili, gli investitori potrebbero presto aspettarsi una revisione AI certificata prima di finanziare qualsiasi progetto. Non eseguire un audit assistito dall’AI potrebbe essere percepito, in futuro, come una mancanza di professionalità o addirittura come una violazione degli standard di settore.

La sfida per le aziende e i team di sviluppo è dunque duplice: adottare questi strumenti in modo consapevole, ma anche formare personale in grado di valutare criticamente i risultati che l’AI produce. Come ha avvertito Schwed, chiedere a un modello di fare un audit senza saper interpretare i risultati non acquista sicurezza reale, ma solo una falsa sensazione di protezione.

L’intelligenza artificiale sta quindi abbassando le barriere all’ingresso per la sicurezza nel settore crypto, ma non elimina la necessità di competenza umana. Cambia, piuttosto, il profilo di quella competenza: da chi sa scrivere codice sicuro, a chi sa guidare e interpretare i sistemi AI in modo critico e responsabile.

Articolo originale: Binance

Fonte approfondimento: Coindesk