No mês passado, por um impulso da cabeça, fui testar um agente de DCA on-chain de IA que estava bem em alta — segui tutoriais ruins da internet e fui clicando em confirmar sem pensar. De madrugada, de repente bateu a dúvida: levantei e fui ver no explorador as autorizações na blockchain. Na hora, um suor frio desceu.

Aquilo anunciava “DCA com stablecoins”, mas na prática tomou do seu wallet toda a permissão máxima de transferência. Assustado, corri para enviar uma transação de revogação, gás no talo, com medo de que em um segundo a mais o dinheiro já tivesse sumido. Esse episódio me fez entender uma realidade bem dura: quando a gente conversa sobre segurança normalmente, fica falando de “vulnerabilidades de smart contract” e “alucinações de modelos grandes”. Mas quando chega a hora de colocar a vida no jogo, o mais assustador é a falta total de bloqueio entre uma recomendação absurda dada pela IA e o pagamento real na blockchain. Você acha que está pedindo pra IA sugerir uma transação; na verdade, você está entregando até o controle absoluto dos seus ativos.@NewtonProtocol

Agora a lógica de ataque mudou de vez. Roubar chave privada é coisa de hacker clássico; hoje em dia o que está em alta é explorar bypass de permissões. Pegue aquele caso ruim do começo do ano envolvendo Grok e Bankrbot: os hackers nem tocaram a superfície do contrato; apenas mandaram uma sequência de “código Morse” para o modelo, enganando-o a traduzir isso em instruções de transferência. Só que o agente na ponta não fez nem validação secundária; mais de 400 mil dólares foram direto para a mão do atacante. O relatório de segurança da Mslow Fog chamou isso de “cross-component trust penetration”, e foi bem certeiro. Auditoria tradicional de código aqui é inútil: você pode até verificar se o código do smart contract está limpo, mas você nunca vai adivinhar o que um modelo grande “inventou” em frações de segundo. Ao apertar aquele botão de autorizar, você basicamente está apostando patrimônio e vida numa linha de produção cheia de black boxes. Isso não é “abraçar tecnologia”; é andar de corda bamba em uma zona minada.

É por isso que eu tenho ficado martelando recentemente @NewtonProtocol ($NEWT). O projeto conseguiu alguns milhões de dólares daquelas principais rodadas do PayPal Ventures, mas não foi desenhar o tipo de fantasia de “ganhar dinheiro automático deitado”. Em vez disso, eles estão fazendo um controle de permissões extremamente anti-humano. Eles criaram um mecanismo de restrições em três camadas: a primeira é um zkPermissions bem “hardcore”. Isso fica bem preso junto a contas inteligentes estilo ERC-4337; não é aquele tipo de autorização às pressas que sai por impulso. Se você usar o engine de políticas Rego, dá até para traçar as linhas vermelhas com um nível de detalhe que beira o inacreditável. Por exemplo: limitar quanto cada transação pode mexer de dinheiro, restringir quais moedas da whitelist pode comprar e até cortar a rede fisicamente se a volatilidade do pool ultrapassar um limite. Todas essas regras são enfiadas em circuitos de conhecimento zero e vinculadas à chave de sessão; antes da liquidação da transação, elas são obrigatoriamente validadas. Por mais que a IA se estapeie, chegando na parte de liquidação on-chain, se os comandos não baterem com as regras, eles não passam.

Só regras não bastam; ainda é preciso alguém fiscalizando a execução. Absolutamente não pode ser um servidor centralizado decidindo tudo. A rota que eles usam na segunda camada é uma rede híbrida: TEE executando operações do dia a dia, com ZKP como “seguro de última instância”. Para cada transação, primeiro deixam a rede de operadores distribuídos rodar a validação da intenção; usam o protocolo NATS para comunicação em fluxo em nível de nanossegundo. Só depois de reunirem um quorum e fazerem a agregação de assinaturas BLS é que liberam como evidência de conformidade. Isso garante que as transações do dia a dia não fiquem travadas. Mas se algum nó ficar “apagado” ou fizer assinaturas erradas, eles imediatamente desviam para o SP1 zkVM para forçar uma prova de inocência. É um compromisso bem esperto: afinal, hoje as soluções puras de ZK são lentas de dar raiva. Se você realmente usasse ZK para provar um modelo de 7B, cada transação provavelmente demoraria algumas horas para chegar na blockchain — e aí nem dá tempo de postar o resultado.

Claro, quando envolve nós descentralizados, tem que haver responsabilização com “dinheiro de verdade”, que muita gente ignora. Como serviço AVS construído em cima do EigenLayer, todo operador que quiser pegar serviço precisa primeiro fazer staking $NEWT . Se você assinar errado ou entrar em conluio malicioso, o sistema responde com Slashing: uma punição que corta o dinheiro na hora. Em comparação com aqueles “cascarões” que ficam só gritando slogans em whitepapers todos os dias, esse tipo de mecanismo que usa dinheiro como garantia pelo menos dá um mínimo de segurança na cabeça das pessoas.

Mas também não vamos endeusar isso como algum “invencível”. Misturei-me no mundo cripto por tempo demais para saber que essas três camadas têm suas fraquezas. Primeiro, a linguagem Rego é extremamente pouco amigável para investidores de varejo. Dá para esperar que nós, que fazemos trade de cripto, saiamos “na mão” montando estratégias de circuito ZK? No fim, só dá para reaproveitar templates mortos feitos por desenvolvedores; se você quiser mexer em parâmetros mais complexos, trava tudo — ainda está a dezenas de milhares de milhas de distância de uma fronteira de segurança verdadeiramente customizável. Além disso, o isolamento de hardware: TEE já falhou algumas vezes na história por ataques de canal lateral como o Spectre. Em outras palavras, ainda é aposta de que o fabricante do hardware não vá fazer mal. $BTC

O mais realista é a lógica econômica daquele nó AVS. O mecanismo de Slashing só consegue dissuadir nós na condição de que o total de capital em staking seja muito, muito maior do que os ganhos de fazer maldade. Agora a rede ainda está no começo e o TVL ainda nem cresceu o suficiente; se um hacker mirar uma grande ordem que consiga esvaziar a liquidez, aquela quantia em tokens apostados não vale de nada. Os nós podem simplesmente se combinar e te dar um golpe. A fronteira de segurança sempre é “alimentada” por volumes enormes de capital; esse degrau é algo pelo qual todos os sistemas PoS têm que passar. $ETH

Eu mesmo coloquei uma posição pequena em $NEWT, sem esperar que suba explosivamente logo. Usei principalmente como marcador de observação do setor. Muitos “haters” reclamam que a latência da prova é alta e que não dá para fazer quantização de alta frequência; eu acho que esse comparativo estava errado desde o início. O capital de alta frequência ganha dinheiro na raça, em modo “sem proteção”, correndo rápido. Já Newton, como infraestrutura com coleiras, mira o tesouro de DAO ou aquelas grandes instituições que têm medo de risco. Eu pessoalmente usei um DCA bottom layer dele para travar 2% do capital numa whitelist; na hora de configurar eu xinguei um monte por ser chato, mas pelo menos à noite eu consegui dormir em paz. Nesta partida do xadrez de IA on-chain, mais do que quem ganha mais, eu me preocupo com quem consegue, em caso de problema, desligar e puxar o cabo da rede. #Newt