El código siempre tiene errores. Los más profundos solían permanecer ocultos porque encontrarlos requería experiencia humana escasa y costosa; la limpieza del código no tenía nada que ver con ello. Ese costo está colapsando. En EVMbench de OpenAI y Paradigm, hace seis meses los mejores modelos podían explotar menos del 20% de los errores críticos de Code4rena. Ahora, GPT-5.3-Codex supera el 70%. Pero lee el segundo número. Su recall en toda una base de código aún ronda el 45%. La IA es buena en atravesar un agujero una vez que se lo señala. Es débil para decidir cuál agujero, en todo un protocolo, es realmente el que importa. El primero es trabajo mecánico. El segundo es juicio. Esto importa más en cadena porque no hay botón de deshacer. Un banco hackeado puede congelar y revertir transacciones. En cadena, una vez que los fondos se mueven, no hay solución limpia — eso anularía la propia descentralización. Y 2026 mostró dónde realmente se filtraba el dinero. DeFi perdió más de $750 millones a mediados de año. Casi ninguno de esos casos fue un error de código encontrado por IA. Kelp DAO perdió $292 millones — no fue un error de código, sino un verificador configurado como 1-de-1, alimentado con datos falsos mientras cada transacción parecía válida. Los $285 millones de Drift fueron un multisig comprometido por ingeniería social. StablR tenía una clave de emisión demasiado concentrada. Ninguno de esos casos se detecta leyendo el código. Se capturan entendiendo el protocolo: dónde los permisos son demasiado amplios, qué tan frágil es el verificador del puente, si la dependencia del oracle tiene sentido, cuánto gana realmente un atacante por cada vía. La IA señala cientos de líneas sospechosas. Cuál de ellas vale meses de ingeniería social para alcanzarla es una decisión humana. La auditoría se divide en dos niveles bajo este escenario. Auditoría de lista de verificación — escaneo línea por línea contra patrones conocidos — la IA la hace en horas, y ese nivel se deprecia rápidamente. Las personas que entienden la estructura económica de un protocolo, sus supuestos de confianza y sus verdaderas vías de ataque, se vuelven más raras y más caras. Cuando encontrar errores se vuelve barato, ese tipo de juicio es lo que permanece escaso, y la escasez fija el precio. El profesional de seguridad que vale la pena contratar en el próximo ciclo podrá mirar lo que encontró la IA y decirte si realmente puede robar el dinero.
