Google DeepMind anunció esta semana que logró utilizar inteligencia artificial para verificar formalmente propiedades de seguridad críticas del Protocolo Signal — el mismo estándar de cifrado que protege mensajes en miles de millones de dispositivos en todo el mundo. El proyecto, completado en apenas cuatro semanas utilizando el marco AlphaProof Code, representa un hito en la frontera entre inteligencia artificial y seguridad informática, demostrando que los sistemas de IA pueden ahora, por primera vez, generar pruebas matemáticas para validar que el código de un protocolo se comporta exactamente como se pretende.
La verificación formal es ampliamente considerada el santo grial de la seguridad del software. A diferencia de las pruebas convencionales — que verifican un software contra un conjunto finito de escenarios —, la verificación formal utiliza matemáticas rigurosas para demostrar que cierto comportamiento está garantizado bajo todas las circunstancias posibles. Esto significa no solo que el software funciona correctamente en escenarios conocidos, sino que clases enteras de errores son imposibles. Históricamente, sin embargo, producir estas pruebas exigía meses o años de trabajo manual por especialistas en métodos formales.
Lo que DeepMind hizo diferente fue delegar gran parte de este trabajo arduo a un agente de IA. AlphaProof Code, un marco basado en el sistema AlphaProof — que ya había demonstrado un rendimiento equivalente a una medalla de plata en la Olimpiada Internacional de Matemáticas de 2024 —, recibe una descripción de alto nivel de las propiedades de seguridad que deben verificarse y, por cuenta propia, traduce esas intenciones en fórmulas lógicas formales, genera candidatos de prueba, busca contraejemplos y, cuando es necesario, se autocorrige. Según Swarat Chaudhuri, científico de investigación de DeepMind, el sistema aún necesita supervisión humana en etapas clave, pero la capacidad de la IA para sugerir y autocorregir pruebas reduce drásticamente el tiempo necesario.
En el caso específico del Protocolo Signal, utilizado por miles de millones de usuarios en aplicaciones como Signal, Google Messages y WhatsApp, DeepMind centró su esfuerzo en un subconjunto del código criptográfico de la aplicación móvil. Los investigadores no verificaron toda la aplicación Signal — el alcance fue deliberadamente limitado a partes que pueden ser formalizadas de manera significativa. ¿El resultado? No se encontraron nuevas vulnerabilidades en las secciones analizadas. Incluso más impresionante: cuando los investigadores ejecutaron AlphaProof Code en versiones antiguas de Signal que contenían fallos conocidos (ya corregidos en las versiones actuales), la IA identificó correctamente esas vulnerabilidades y demostró que el código más antiguo no podía ser verificado formalmente.
Esto podría parecer un caso de prueba simple, pero en realidad es bastante significativo. Muchos escépticos de la verificación formal automatizada por IA argumentarían que encontrar fallos conocidos no demuestra que el sistema pueda encontrar fallos nuevos. Pero la capacidad de probar que ciertas propiedades de seguridad se mantienen — en lugar de simplemente detectar interrupciones específicas — es un salto cualitativo. Un error en una prueba formal no es un bug que pueda ignorarse; es un fallo fundamental en la lógica, y tener una IA que genere pruebas matemáticamente verificables que no contienen errores es un avance genuino.
El equipo de DeepMind publicó públicamente la especificación formal, los scripts de prueba y un resumen metodológico en un repositorio de acceso libre. El proyecto se benefició de un trabajo previo del Signal Foundation, que había realizado verificaciones formales en componentes menores del código. Según Ehren Kret, chief technology officer de Signal, el enfoque de Google permitió una expansión significativa más allá de los esfuerzos anteriores. "Mientras la verificación formal anterior se centró en porciones más pequeñas del código, el enfoque de Google DeepMind permite una expansión significativa", dijo Kret. "A medida que las amenazas de seguridad impulsadas por IA crecen, verificar rigurosamente la implementación del protocolo Signal nos da aún mayor confianza en las garantías de privacidad de nuestro código."
La pregunta que queda es si este enfoque puede escalar. El proyecto se llevó a cabo como investigación, sin costos divulgados y sin planes comerciales anunciados. Google se negó a compartir el costo del análisis o si tiene planes de lanzar un producto comercial de verificación formal. El propio DeepMind enfatiza que este es solo un hito en un camino largo — verificar formalmente toda una aplicación de mensajería como Signal es infinitamente más complejo que verificar un protocolo criptográfico aislado, e incluso dentro de este alcance limitado, muchas partes del sistema permanecen sin cubrir.
Aún así, los resultados tienen implicaciones directas para la seguridad digital cotidiana. Si la verificación formal asistida por IA puede extenderse a otros protocolos de cifrado, sistemas financieros e infraestructura crítica, podría convertirse en un nuevo estándar para demostrar cumplimiento regulatorio y confianza en la seguridad del software. Para empresas que dependen de comunicación cifrada — bancos, proveedores de salud, periodistas — esta tecnología podría, en un futuro no muy lejano, volverse tan esencial como las pruebas de penetración ya son hoy. La pregunta ya no es si la IA puede ayudar con la seguridad del software, sino cuánto puede llegar antes de encontrar límites fundamentales de verificabilidad.
Fuentes: Wired, DeepMind Research, AI Understanding
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
