Al ver que el equipo rojo de $BTC usó el modelo de IA chino Kimi K3 para consultar vulnerabilidades de software de código abierto, mi primera reacción no fue emoción, sino cierta complejidad. Las ventajas están claras: la auditoría automatizada puede ampliar la cobertura; problemas de dependencias poco comunes, código antiguo y errores tontos dentro de plantillas repetidas se detectan más fácilmente y de forma continua; para sistemas como BTC, que viven de la revisión pública, tener un par de ojos más no necesariamente es algo malo. Pero a mí me preocupa más el límite. Cuando una herramienta de seguridad entra en el flujo central, el origen del modelo, los datos con los que se entrenó, el canal de actualizaciones, el entorno de ejecución e incluso quién puede modificar los prompts se convierten en una nueva puerta de entrada a la cadena de suministro. Que algo sea de código abierto no significa que sea naturalmente confiable, y que una IA produzca una salida no equivale a una conclusión, especialmente cuando empieza a influir en la prioridad de las vulnerabilidades y el ritmo de los parches. Entonces la controversia deja de ser solo un problema técnico y se amplifica con la geopolítica. No me gustan los extremos: ni idealizar la auditoría con IA como si con pasarla una vez pudiera sustituir años de verificación, ni presumir que el modelo, por venir de China, ya tiene problemas de forma inherente. Lo que de verdad hay que vigilar es dónde cae el poder: quién puede reproducir los resultados, quién puede refutar las conclusiones y quién asume el costo de los falsos positivos. Mientras estos eslabones sean públicos, estén distribuidos y sean trazables, el lugar de fabricación de la herramienta no debería imponerse por encima de la evidencia; al revés, si cualquier eslabón se vuelve una caja negra, ni el modelo más fuerte merece tocar la ruta crítica. Mi juicio es sencillo: úsalo como radar de apoyo, no como árbitro final. Los hallazgos de alto riesgo deben requerir revisión humana obligatoria; los parches deben ser reproducibles, rastreables y cuestionables, y el proceso de divulgación no debe quedar secuestrado por una sola herramienta. Para BTC, lo verdaderamente valioso nunca ha sido “quién encontró la vulnerabilidad”, sino si toda la comunidad todavía puede verificar cada una de las reparaciones.