Código sempre tem bugs. Os mais profundos costumavam permanecer ocultos porque encontrá-los exigia expertise humana escassa e cara — a limpeza do código não tinha relação com isso. Esse custo está desmoronando. No EVMbench da OpenAI e da Paradigm, os melhores modelos conseguiam explorar menos de 20% dos bugs críticos da Code4rena há seis meses. O GPT-5.3-Codex agora detecta 70%. Mas leia o segundo número. Sua taxa de recall em toda uma base de código ainda está em torno de 45%. A IA é boa em explorar uma falha assim que ela é sinalizada. É fraca em decidir qual falha, em todo um protocolo, é realmente a que importa. O primeiro é trabalho braçal. O segundo é julgamento. Isso é mais importante on-chain, porque não há botão de desfazer. Um banco hackeado pode congelar e reverter transações. On-chain, assim que os fundos se movem, não há correção limpa — isso anularia a própria descentralização. E 2026 mostrou onde o dinheiro realmente vaza. O DeFi perdeu mais de US$ 750 milhões até meados do ano. Quase nenhum deles foi um bug de código encontrado por IA. O Kelp DAO perdeu US$ 292 milhões — não foi um bug de código, mas um verificador configurado como 1-de-1, alimentado com dados falsos enquanto todas as transações pareciam válidas. Os US$ 285 milhões do Drift foram resultado de um multisig comprometido por engenharia social. O StablR teve sua chave de emissão excessivamente concentrada. Nenhum desses casos é algo que você descobre lendo o código. Você os identifica entendendo o protocolo: onde as permissões são muito amplas, quão frágil é o verificador da ponte, se a dependência do oracle faz sentido, quanto realmente ganha um atacante por cada caminho. A IA revela centenas de linhas suspeitas. Qual delas vale meses de engenharia social para acessar é uma decisão humana. A auditoria se divide em dois níveis sob essa perspectiva. Auditoria de checklist — varredura linha a linha contra padrões conhecidos — a IA faz em horas, e esse nível se desvaloriza rapidamente. As pessoas que entendem a estrutura econômica de um protocolo, suas suposições de confiança e seus verdadeiros caminhos de ataque tornam-se mais raras e mais caras. Quando encontrar bugs fica barato, esse tipo de julgamento permanece escasso — e a escassez define o preço. O profissional de segurança que vale a pena contratar no próximo ciclo será capaz de olhar o que a IA encontrou e dizer se realmente é possível roubar o dinheiro.
