El mes pasado, por un impulso, fui a probar un prometedor agente de inversión DCA en cadena para IA, y seguí, paso a paso, los malditos tutoriales que había por ahí. De madrugada de pronto me dio mala espina: me levanté y fui a revisar en la cadena los detalles de autorizaciones. En ese instante me cayó el sudor frío.

Eso se presenta como si fuera un DCA con stablecoins, pero en realidad se lleva el permiso máximo de transferencia de tu monedero. Me dio tanto miedo que enseguida envié una transacción para revocar; subí el Gas al máximo, con miedo de que un segundo más tarde el dinero ya no estuviera. Este asunto me dejó claro una realidad dura: cuando hablamos de seguridad normalmente, discutimos cosas como fallos de contratos inteligentes y alucinaciones de modelos grandes, pero cuando llega el momento de jugarte la vida en serio, lo más aterrador es pasar de que una IA te guíe a ciegas a que en la cadena se haga un pago real, y simplemente no existe una red de contención. Tú crees que el hecho de que la IA te sugiera una transacción es suficiente, pero en realidad ni siquiera mantienes el control absoluto de tus activos; se lo entregas por completo. @NewtonProtocol

Ahora la lógica del ataque ya cambió por completo. Robar claves privadas es cosa de hackers clásicos; lo que se lleva es jugar con la escalada por “penetración de permisos”. Por ejemplo, el asqueroso asunto de Grok con Bankrbot a inicios de año: el hacker ni tocó la interfaz del contrato; solo envió una cadena de Morse al modelo, haciéndole “traducirlo” en una instrucción de transferencia. Y el agente aguas abajo ni siquiera hizo una segunda validación: se llevaron directamente unos 400.000 dólares. El informe de seguridad de SlowMist lo llamó “travesía de confianza entre componentes”, y fue realmente al grano. La auditoría tradicional de código aquí no sirve para nada: tú puedes revisar si el código del contrato inteligente está limpio, pero nunca adivinarás qué cosas sucias “imaginó” el modelo grande en unas fracciones de segundo. Al hacer clic en el botón de autorizar, estás apostando tu patrimonio y tu vida a una línea de producción llena de cajas negras. Esto ni siquiera es “abrazar la tecnología”; es caminar sobre una cuerda floja en una zona minada.

Por eso es que últimamente me he estado obsesionando con @NewtonProtocol ($NEWT). Este proyecto consiguió decenas de millones de dólares de PayPal Ventures, de los principales fondos, pero no se puso a vender el cuento de “beneficios automáticos por yacer”. En cambio, están creando un control de permisos extremadamente poco amable. Montaron un mecanismo de restricciones en tres capas: la primera es zkPermissions, durísima. Esto está muy ligado a cuentas inteligentes tipo ERC-4337, no es esa autorización chapucera de “todo en un solo golpe”. Si usas su motor de políticas Rego, puedes trazar líneas rojas con un nivel de detalle escalofriante. Por ejemplo: cuánto dinero se puede mover en una sola operación, qué monedas de una lista blanca se pueden comprar, e incluso cortar la red físicamente si la volatilidad del pool supera un umbral. Todas esas reglas se incorporan a circuitos de conocimiento cero, se atan a claves de sesión y obligan a validar antes de que el asentamiento de la transacción ocurra. Aunque la “mente” de la IA se ponga creativa, cuando llegue a la etapa de liquidación en la cadena, si las instrucciones no coinciden, todo se rechaza de inmediato.

Tener reglas no basta; también hace falta que alguien se encargue de supervisar la ejecución. Absolutamente no puede decidir un único servidor centralizado. La segunda capa de ellos usa una red híbrida: TEE para correr operaciones diarias, con ZKP como respaldo. En cada transacción, primero se deja que la red de operadores distribuidos ejecute la validación de intenciones. Usan el protocolo NATS para comunicaciones en streaming a nivel de subsegundos. Cuando se reúne el quórum necesario, se permite la operación únicamente después de obtener una firma agregada BLS como comprobante de cumplimiento. Así se garantiza que las transacciones del día a día no se atoren demasiado. Pero si algún nodo hace la vista gorda o firma maliciosamente, se cambia de inmediato a SP1 zkVM para que demuestre a la fuerza su inocencia. Es un compromiso bastante astuto, porque hoy en día las soluciones puramente ZK van lentísimas. Si de verdad usaras ZK para probar un modelo de 7B, una transacción probablemente tardaría horas en subirse a la cadena; para cuando termine, ya sería demasiado tarde, las cosas habrían perdido toda la actualidad.

Claro, cuando se trata de nodos descentralizados, hay que imponer restricciones con dinero real. Esa es la capa de “responsabilidad económica” que mucha gente pasa por alto. Como servicio AVS montado sobre EigenLayer, cualquier operador que quiera entrar a trabajar debe hacer $NEWT de stake primero. Si te atreves a firmar mal o a coludirte con mala fe, el sistema te castiga de inmediato con Slashing y te quita dinero. En comparación con esos cascarones vacíos que todos los días gritan consignas en los whitepapers, este mecanismo que pone dinero como respaldo al menos le da a la gente un poco de tranquilidad en el fondo del corazón.

Pero tampoco vamos a venderlo como una armadura invencible. Después de tanto tiempo en el mundo cripto, sé que las tres capas tienen puntos débiles. Primero, el lenguaje Rego es muy poco amigable para el público minorista: ¿esperas que gente como nosotros, que comerciamos cripto, estemos armando a mano estrategias de circuitos ZK? Al final, solo puedes aplicar plantillas rígidas escritas por desarrolladores; si intentas modificar un parámetro complejo, te bloqueas. Aún faltan cien mil leguas para lograr un verdadero límite de seguridad personalizable. Además, el aislamiento de hardware: TEE, en la historia, también ha fallado varias veces con ataques de canal lateral como Spectre. En resumen, sigues confiando en que el fabricante del hardware no haga cosas maliciosas.$BTC

Lo más realista es la lógica económica de su propio nodo AVS. Para que el mecanismo de Slashing intimide, el total de fondos en stake debe ser muchísimo mayor que la ganancia por hacer el mal. Ahora la red todavía está en etapas tempranas y el TVL aún no se ha inflado. Si un hacker se fija en una gran orden que pueda vaciar liquidez, esos tokens en stake son como nada. Los nodos podrían incluso coludirse y traicionarte. El límite de seguridad siempre depende de que grandes volúmenes de dinero lo “alimenten”. Todos los sistemas PoS tienen que pasar ese umbral. $ETH

Yo mismo metí algo con una posición pequeña: $NEWT, sin esperar que suba en vertical de inmediato. Principalmente lo uso como un indicador para observar el sector. Muchos detractores dicen que su prueba tiene una latencia alta y que no puede hacer cuantificación de alta frecuencia. Pero yo creo que justamente se está comparando con el objetivo equivocado. El capital de alta frecuencia ya gana rápido a cielo abierto. Newton, en cambio, es infraestructura con estribos y cadenas: apunta a la tesorería de un DAO o a instituciones que tienen miedo a morir. Yo, por mi cuenta, usé un agente de DCA en la capa base y bloqueé un 2% en un portafolio de lista blanca. Al configurarlo, me quejé un poco de lo engorroso, pero por la noche por fin pude dormir tranquilo. En esta partida del AI on-chain, más que quién gana más, a mí me importa quién puede aguantar el botón de desconexión cuando algo sale mal. #Newt