Creación del sistema de auditoría de seguridad con IA de MetaMask

Consensys Diligence ha formado parte de la historia de seguridad de MetaMask durante años, con colaboraciones que incluyen MetaMask EIP-7715, MetaMask USD y MetaMask Snaps.

El proyecto Snaps es, en particular, uno de los ejemplos más sólidos de esta colaboración de larga data. Los auditores de Diligence produjeron varios de los recursos de seguridad fundamentales del ecosistema: el MetaMask Trust Module, la Snaps Security Essentials Guide, que clasificó las categorías de vulnerabilidades más comunes en los Snaps, y Snapguardian, una herramienta personalizada para el análisis de seguridad automatizado.

Los proyectos de Snaps también fueron de los primeros entornos donde Diligence aplicó automatización con IA para auditorías, primero mediante flujos de trabajo con ChatGPT y posteriormente con agentes de codificación conectados por MCP. Esa integración temprana es la base de lo que vino después: Chonky.

De las auditorías de seguridad manuales a Chonky

En toda la industria de la seguridad, la IA está transformando la forma en que se realizan las auditorías. El conocimiento acumulado durante décadas por los auditores está siendo codificado en flujos de trabajo de IA, y la transición de las auditorías completamente manuales a las basadas en IA ya está en marcha. La expresión de este cambio por parte de Diligence es Chonky.

Chonky es la metodología de auditoría más reciente del equipo, potenciada por IA: un sistema agéntico personalizado con conjuntos de conocimiento específicos en seguridad, flujos de trabajo calibrados para auditorías y taxonomías de incidencias, construido sobre ocho años de experiencia en seguridad de Ethereum. Chonky es agnóstico en cuanto al lenguaje: no está vinculado a Solidity ni a ninguna superficie de auditoría en particular. La misma metodología se adapta a grandes bases de código de aplicaciones, otros lenguajes y zkVMs.

Concebido con la extensibilidad como principio de diseño central, está construido sobre más de 100 000 hallazgos de vulnerabilidades pasadas del ecosistema más amplio de Ethereum. La clave está en mapear este conocimiento de seguridad al modelo de amenazas del objetivo y generar hipótesis específicas al contexto para la base de código bajo revisión. Chonky sabe qué buscar en una wallet como MetaMask porque años de estrecha colaboración en seguridad están integrados en las herramientas. Los auditores dirigen el proceso, y Chonky presenta candidatos que amplían su alcance y capacidad de investigación.

En los proyectos más recientes, los auditores de Diligence utilizaron Chonky para dos casos de uso distintos en el stack de MetaMask: una integración de smart contracts de gran escala y una auditoría de un Snap.

Amplitud y profundidad en una integración de smart contracts

Las bases de código de gran tamaño requieren una asignación deliberada del esfuerzo y el tiempo de revisión. Los auditores aplicaron Chonky como metodología, eligiendo cada uno su enfoque preferido. Esto produjo dos técnicas complementarias: minería de vulnerabilidades en amplitud y revisión manual en profundidad.

La minería de vulnerabilidades es el principal método de revisión potenciado por IA de Diligence, construido sobre Chonky. El auditor personaliza el agente para cada proyecto: definiendo qué buscar, dónde mirar y qué supuestos poner a prueba. En este proyecto, el auditor enfocado en amplitud cargó materiales de referencia de MetaMask para identificar hallazgos candidatos desde distintos puntos de vista. El agente genera candidatos; el auditor los clasifica, confirmando cuáles son reales, descartando falsos positivos y refinando la siguiente pasada. Dado que la IA aún no puede verificar de forma fiable sus propias conclusiones, la clasificación se convirtió en una de las habilidades clave del auditor y en un paso crucial del proceso.

La minería también amplió la cobertura más allá del alcance original de la auditoría. Los falsos positivos se convirtieron en parte de la revisión del modelo de amenazas. Incluso cuando un problema candidato no se confirma como un hallazgo, sigue poniendo a prueba el límite entre la funcionalidad prevista y el comportamiento explotable. Empuja al auditor hacia las preguntas de seguridad correctas.

El enfoque en profundidad aplicó los flujos de trabajo de Chonky de manera diferente. Se utilizaron desde el inicio para construir una comprensión contextual profunda de la base de código de la integración. A partir de esa base, los auditores profundizaron en los componentes que identificaron como de mayor riesgo. En cada caso, el auditor eligió el enfoque que mejor ampliaría su alcance.

Integrando los hallazgos de auditoría en el flujo de trabajo del desarrollador

En un segundo proyecto, Chonky se aplicó a un nuevo MetaMask Snap: un repositorio institucional en TypeScript. La larga historia de auditorías de Snaps está ahora integrada en las herramientas. Lo que cambió es la velocidad. Chonky ahora opera con materiales de referencia ajustados específicamente para el framework de Snaps, con un alcance calibrado para sus comportamientos recurrentes.

En este caso, la clasificación pasó al lado de MetaMask. Los auditores de Diligence realizaron una auditoría de la base de código del Snap, estructuraron su resultado en una interfaz personalizada e interactiva para desarrolladores, y construyeron un flujo de clasificación integrado en el entorno de GitHub de MetaMask. El equipo de MetaMask podía revisar y responder a los hallazgos dentro de su proceso de desarrollo existente.

El profundo conocimiento de Diligence sobre el ecosistema de Snaps, combinado con el stack extensible de Chonky, permitió que el resultado de la auditoría se integrara directamente en el flujo de revisión de MetaMask. Este mismo enfoque va más allá de los Snaps y se aplica a cualquier equipo con un flujo de desarrollo establecido.

Una metodología que se perfecciona con cada proyecto

Las bases de código son cada vez más grandes. Las superficies de amenaza se están expandiendo. El rol del auditor está cambiando: se ha añadido una nueva capa, la fase de clasificación, donde el criterio del auditor sostiene el trabajo de seguridad.

El resultado es un proceso de revisión que va más allá de apuntar una IA a una base de código. Es un trabajo que alcanza ángulos que una revisión manual no podría cubrir en el tiempo disponible. Cada proyecto perfecciona aún más la metodología: la retroalimentación de la clasificación afina la base de conocimiento de Chonky con el tiempo, reduciendo los falsos positivos y aumentando la precisión de detección.

Para MetaMask, esto significa que la misma metodología puede moverse a través del stack de software: smart contracts, Snaps y otras superficies revisadas por un socio de seguridad ya familiarizado con la arquitectura.

Compartir la responsabilidad de proteger el ecosistema es fundamental y responde al espíritu de los principios de descentralización que web3 valora profundamente. Consensys Diligence se enorgullece de trabajar hacia este objetivo junto al equipo de MetaMask.