Una herramienta de auditoría basada en inteligencia artificial, llamada zkao, descubrió una vulnerabilidad de solidez crítica en la biblioteca openvm-pairing del zkVM OpenVM. El fallo, registrado como CVE-2026-46669 y corregido en OpenVM 1.6.0, reside en la comprobación de pairings de las curvas BN254 y BLS12-381: el circuito carecía de una verificación adecuada sobre el factor de escalado que debe pertenecer a un subcuerpo concreto. En la práctica, un probador malicioso podía hacer pasar cualquier comprobación de pairing, lo que permitía falsificar pruebas de apertura KZG en BLS12-381 y verificadores Groth16 y firmas BLS en BN254, comprometiendo sistemas de disponibilidad de datos, verificación de blobs, rollups y puentes que dependen de emparejamientos. Los autores subrayan que el hallazgo no afecta al sistema de pruebas del zkVM, sino únicamente a código que utiliza la biblioteca vulnerable, y que los socios de OpenVM ya migraron a la versión parchada.
El experimento forma parte de una serie en la que el equipo somete proyectos criptográficos a escaneos con modelos de IA. Una primera ronda con LLMs sin flujos especializados (Opus 4.6, Codex 5.3 y sus sucesores) produjo observaciones válidas pero no exploitables, porque un zkVM presenta dependencias cruzadas entre módulos que el enfoque de subagentes aislados no resuelve. Ante esa hipótesis, decidieron ejecutar zkao, su auditor con flujos codificados a partir del trabajo de criptógrafos humanos. Tras más de nueve horas y media de análisis, el sistema devolvió múltiples hallazgos y uno de ellos, crítico, condujo a la vulnerabilidad ahora publicada. Como en el caso anterior, la IA generó un candidato y un prueba de concepto mínima; el equipo humano validó la explotabilidad, cuantificó el impacto y gestionó la divulgación coordinada con los mantenedores.