Un investigador de seguridad usó un modelo de inteligencia artificial (IA) para revisar el código de Eclair, una implementación de la red Lightning de Bitcoin. La herramienta señaló un fragmento que permitía saturar un nodo hasta dejarlo sin conexión con un mensaje diminuto. El hallazgo se confirmó, se corrigió en mayo y se divulgó el 24 de septiembre de 2026.

La tesis es directa: la IA sirve para acotar la búsqueda, no para probar que existe una vulnerabilidad. Matt Morehouse divulgó dos fallas de Eclair. La primera la encontró su programa de pruebas, y la segunda, un asistente de IA que revisaba el código.

Publicidad

Eclair es una de las implementaciones de Lightning, la red de pagos que funciona sobre Bitcoin. Las fallas descubiertas permitían un ataque de denegación de servicio (DDoS): saturar el nodo hasta dejarlo fuera de servicio, sin robar fondos de forma directa.

Para entender el aporte de la IA conviene describir dos herramientas. Un fuzzer es un programa que prueba el software con datos extraños hasta que algo falla. Un modelo de lenguaje (LLM) es una IA que lee código y señala patrones sospechosos. El primero explora a ciegas; el segundo lee con una pregunta en mente.

La primera falla la halló smite, el fuzzer de Morehouse, con un mensaje de presentación entre nodos. Eclair lo procesaba de forma tan ineficiente que un solo mensaje consumía cientos de megabytes. Repetido desde decenas de conexiones, el nodo perdía a sus vecinos en un minuto.

Un mensaje diminuto que se volvía enorme

La segunda falla estaba en otro rincón: la difusión del mapa de canales, que sigue reglas escritas en documentos llamados BOLT. En abril de 2022, esas reglas retiraron zlib, un formato de compresión similar al de un archivo comprimido. Eclair dejó de enviarlo, pero siguió aceptándolo.

Publicidad

Ese descuido tenía un costo. Al abrir un mensaje comprimido, Eclair no ponía límite al tamaño resultante, así que 64 KB podían inflarse hasta 64 MB y unos 17 millones de objetos. Según el aviso técnico, una inundación de estos mensajes sacaba al nodo de la red en segundos.

Es una bomba de compresión: un mensaje pequeño que oculta una carga enorme. Al atacante le bastaba conectarse al nodo, sin abrir canales. Al reiniciar, el nodo volvía sin pérdidas, pero el ataque podía repetirse.

Lo que la IA hizo, y lo que no

Tras la primera falla, Morehouse le pidió al modelo buscar otros lugares donde un nodo remoto pudiera imponer mucho más trabajo del que él mismo gasta. El modelo marcó el código de zlib. Los experimentos confirmaron el ataque después.

La lectura menos evidente está en el origen del hallazgo. Según el aviso, Eclair dejó de enviar zlib en 2022 y pensaba eliminar también su recepción, pero esa tarea quedó pendiente cuatro años. La IA señaló deuda técnica olvidada, no un patrón desconocido.

Publicidad

La pregunta que guio la búsqueda también fue humana. Ese criterio ya existía tras la primera falla. El modelo buscó variantes de un error ya entendido, no inventó el criterio.

Hay un límite que conviene reconocer: es un solo caso, relatado por quien dirigió la búsqueda. El aviso y la divulgación no detallan cuántas pistas falsas generó el modelo ni cuánto costó descartarlas. Sin ese dato, el balance queda incompleto.

Verificar es el cuello de botella

La cronología muestra que la parte lenta fue confirmar, corregir y publicar:

6 de marzo: Morehouse reporta la falla en privado a ACINQ, el equipo detrás de Eclair.

11 de marzo: la corrección se integra al código.

21 de mayo: sale la versión 0.14.0 con el arreglo.

24 de septiembre: divulgación pública.

Otras implementaciones enfrentaron el mismo riesgo de distinta forma. LDK nunca usó zlib y Core Lightning la eliminó. LND la mantiene con límites y, según el aviso, planea retirarla. Cada equipo corrige a su propio ritmo, y esa diversidad evita que un error afecte a toda la red.

Publicidad

Auditar infraestructura de Bitcoin con un modelo de lenguaje funciona cuando alguien ya sabe qué clase de falla busca y puede reproducirla. La sospecha se volvió barata; la certeza no. En Lightning, el cuello de botella ya no será encontrar candidatos, sino contar con quien los pruebe, los corrija y los publique con responsabilidad.

Una IA señaló una segunda falla en Lightning: el reto ahora es verificarla