Ledger alerta para o uso de IA na caça a bugs: responsabilidade ou corrida à atenção?

A inteligência artificial está agora a infiltrar-se na caça a falhas de segurança em wallets hardware. Uma tendência que preocupa fabricantes como a Ledger e a Trezor.

O diretor técnico da Ledger está a dar o alarme: alguns investigadores utilizam ferramentas de IA para detetar vulnerabilidades e, de seguida, tornam-nas públicas sem qualquer coordenação prévia com as equipas responsáveis.

Entre responsabilidade ética e busca de visibilidade, o debate sobre a divulgação responsável de falhas em cripto ganha uma nova dimensão na era da IA.

A IA como ferramenta de bug hunting: uma arma de dois gumes

Os modelos de inteligência artificial tornaram-se aceleradores formidáveis para a análise de código. Investigadores de segurança utilizam-nos agora para analisar firmwares de wallets hardware em busca de vulnerabilidades, com uma eficácia sem precedentes. Mas este poder levanta uma questão fundamental: o que fazer com uma falha descoberta em poucas horas graças a um LLM?

Charles Guillemet, CTO da Ledger, tomou uma posição pública sobre o assunto. Segundo ele, alguns investigadores cedem ao que designa de «attention farming» — uma prática que consiste em publicar descobertas de vulnerabilidades diretamente nas redes sociais ou em relatórios públicos, sem ter previamente contactado o fabricante em causa. O objetivo: maximizar a visibilidade pessoal em detrimento da segurança dos utilizadores.

A Trezor partilha desta preocupação. Os dois fabricantes de wallets hardware mais utilizados no mundo concordam num ponto: a corrida à notoriedade não pode sobrepor-se à proteção dos detentores de criptoativos. Uma falha tornada pública antes de ser corrigida expõe diretamente os fundos dos utilizadores a agentes maliciosos.

Divulgação responsável: as regras do jogo que a IA perturba

O princípio da divulgação coordenada — ou «responsible disclosure» — é um padrão estabelecido no setor da cibersegurança. Impõe ao investigador que notifique primeiro o fabricante, que lhe conceda um prazo razoável para corrigir a falha (geralmente 90 dias) e que só então torne as suas conclusões públicas, caso nenhuma ação seja tomada. Este enquadramento protege tanto os utilizadores como a reputação do próprio investigador.

A Ledger e a Trezor recordam que este protocolo continua válido mesmo quando a descoberta é assistida por IA. Guillemet esclarece que, se um fabricante não corrigir uma vulnerabilidade dentro do prazo acordado, os investigadores têm então a legitimidade — e mesmo a responsabilidade — de publicar as suas conclusões. A transparência forçada torna-se assim uma alavanca de pressão ética, e não uma ferramenta de personal branding.

O problema é que a IA comprime o tempo de descoberta de forma espetacular. Uma auditoria que levava semanas a um especialista humano pode agora ser realizada em poucas horas. Esta aceleração cria uma pressão inédita sobre as equipas de segurança dos fabricantes, que têm de absorver um volume crescente de comunicações — cuja qualidade e pertinência variam consideravelmente consoante o investigador domine verdadeiramente o tema ou se apoie cegamente nos resultados de um modelo.

Quando a segurança das wallets se torna uma questão de reputação

Para a Ledger, a questão é tanto mais sensível quanto a empresa já atravessou crises de confiança significativas — nomeadamente a fuga de dados de clientes em 2020 e as controvérsias em torno do Ledger Recover em 2023. Cada nova divulgação pública de uma falha, mesmo que menor, alimenta uma narrativa negativa que pode afetar a confiança dos utilizadores na segurança das cold wallets.

O mercado das wallets hardware continua, ainda assim, a ser um pilar da soberania financeira em cripto. Com milhares de milhões de dólares em ativos em autocustódia, a menor vulnerabilidade não corrigida representa uma superfície de ataque real. O que está em jogo vai muito além da reputação dos fabricantes: é a segurança dos fundos de milhões de utilizadores que está em causa.

A posição da Ledger e da Trezor envia um sinal claro à comunidade de investigadores de segurança: a IA pode ser um aliado poderoso na deteção de falhas, mas não dispensa uma abordagem ética rigorosa. A velocidade de descoberta não justifica a precipitação na publicação. Num setor onde a confiança é a primeira linha de defesa, a responsabilidade continua a ser humana — mesmo quando a ferramenta é artificial.