L'IA ha trovato il buco che gli esperti non vedevano: -50% per una crypto

Eli Ben-Sasson è uno dei creatori di Zcash, la criptovaluta che nel 2016 ha promesso privacy vera nel mondo blockchain. All'epoca, le preoccupazioni ruotavano attorno a nemici umani: hacker, governi, criminali. Una vulnerabilità matematica in una valuta basata su crittografia sofisticata era il genere di cosa che gli esperti del settore avrebbero dovuto catturare, anno dopo anno, review dopo review.

Invece no. Per quasi un decennio, nessuno ha visto il buco. I test automatizzati passavano, gli audit di sicurezza tornavano puliti, i crittografi del team dormivano tranquilli. Poi è arrivata l'IA.

Questa è la parte interessante (e spaventosa): un sistema di machine learning ha analizzato il codice, trovato la falla e l'ha esposta. Non per malice, non per attacco organizzato—semplicemente perché una rete neurale addestrata a riconoscere pattern può vedere connessioni che il cervello umano, anche esperto, fatica a cogliere. I ricercatori di Zcash hanno scoperto il problema attraverso lo stesso mezzo che potrebbe averlo rivelato a cattivi attori.

Il danno è stato immediato e crudo: il valore del token è crollato del 50%, cancellandogli di fatto metà della fiducia di mercato in una sola seduta. Non è stato un hack vero e proprio (per fortuna), ma la scoperta della vulnerabilità è bastata a convincere il mercato che la sicurezza promessa era un'illusione.

Ciò che rende questa storia diversa dalle solite bug stories è la lezione più ampia: il machine learning non è più solo uno strumento che noi umani controlliamo per fare cose utili. In questo caso, l'IA ha fatto quello che dovrebbe essere uno dei lavori più difficili della sicurezza informatica—trovare difetti che evitano scrutini professionali per anni—con un'efficienza che fa passare gli esperti umani per negligenti. Non per superiorità, ma semplicemente perché processa il codice diversamente da noi.

I team di sicurezza globali ora si pongono la domanda vera: quanti altri buchi ci sono là fuori, nascosti in codice che crediamo sicuro, in attesa di una IA abbastanza intelligente per vederli prima che li scopra qualcuno con intenti cattivi?