Sesenta horas frente a dos años de revisión

El 27 de julio Anthropic publicó los resultados de un trabajo de investigación en el que dirigió su modelo Claude Mythos Preview contra HAWK, un esquema de firma digital poscuántica que está en la tercera ronda de la búsqueda del NIST de algoritmos de firma adicionales. HAWK llevaba dos años siendo público y había superado dos rondas completas de criptoanálisis experto sin que nadie encontrara un ataque mejor. Claude encontró uno en unas 60 horas.

Las cifras son concretas. Para HAWK-256 el coste esperado de un ataque de recuperación de clave cae de 2^64 a 2^38 operaciones, porque Claude identificó una simetría en la estructura reticular que ningún revisor había aprovechado. Anthropic cifra la factura en unos 100.000 dólares, alrededor de 85.000 euros en cargos de API, y explica que uno de sus investigadores trabajó junto al modelo durante una semana.

Un segundo investigador construyó un andamio que dejó a Claude correr sin supervisión durante tres días contra AES. Produjo un ataque de encuentro a medio camino sobre la versión de siete rondas de AES-128 que corre entre 200 y 800 veces más rápido que el mejor anterior, con una técnica de huella que el modelo bautizó como Möbius Bridge. Anthropic afirma con claridad que ninguno de los dos resultados afecta a los sistemas actuales.

Qué se rompió realmente y qué no

Nada de lo que usted ejecuta hoy es más débil que la semana pasada. HAWK es un candidato, no un estándar, y no está desplegado en ningún sitio. El resultado sobre AES ataca una variante deliberadamente reducida de siete rondas, mientras que el AES-128 completo tiene diez rondas y queda intacto. La propia nota de Anthropic dice que ningún software en producción tendrá que cambiar, y que escalar el ataque seguiría costando cientos de millones de dólares.

El resto del botín muestra el alcance. Mythos también produjo un ataque práctico contra LEA de 13 rondas que necesita menos de 2^30 textos claros conocidos y se ejecuta en menos de una hora, una recuperación completa de clave contra Serpent-128 de seis rondas, y mejoras menores por debajo de diez veces contra Salsa20, Poseidon y SHA-1. Los criptógrafos humanos dedicaron varios cientos de horas a confirmar que el trabajo sobre AES era correcto.

Un detalle merece quedarse. Claude rechazó primero la tarea de AES y dijo a los investigadores que los ataques contra AES no eran posibles; el enfoque nuevo apareció solo después de que le insistieran en continuar. Lo que volvió no fue una recitación de criptoanálisis publicado, sino una técnica que nadie había visto. Justo por eso hubo que comprobarla a mano.

La reparación elimina el motivo de la elección

Esta es la parte que no aparece en el anuncio. El NIST pasó HAWK a la tercera ronda en mayo por dos razones declaradas: firmas compactas y diversidad algorítmica, ya que descansa sobre supuestos distintos a los de ML-DSA y FN-DSA. El remedio que señala Anthropic ante el nuevo ataque es que HAWK tendría que duplicar los tamaños de clave propuestos para sostener su nivel de seguridad previsto.

Duplicar los tamaños de clave consume precisamente esa compacidad. Un esquema que avanzó por ser pequeño y que luego se hace el doble de grande acaba compitiendo justo en el terreno del que su selección quería apartarlo. El calendario también aprieta: la tercera ronda dura unos dos años y los paquetes actualizados vencen el 14 de agosto de 2026, diecisiete días después de publicarse este resultado.

El punto de fondo sobrevive a HAWK. Su garantía descansaba en el tiempo de revisión transcurrido, dos años y dos rondas sin un ataque mejor, y esa prueba se derrumbó por aproximadamente el precio de una auditoría de intrusión mediana. Dos años de revisión contra sesenta horas de trabajo de máquina. El tiempo de revisión siempre fue un sustituto del escrutinio, y ha dejado de ser uno fiable.

Qué debería asumir ya un plan de migración de 2026

Mantenga las migraciones productivas dentro del conjunto estandarizado. ML-KEM, ML-DSA y SLH-DSA son estándares publicados; los candidatos de firma adicional, HAWK incluido, no lo son, y el propio calendario del NIST sitúa sus estándares definitivos entre 2028 y 2030. Nada que siga en liza cabe en un plan que usted ejecuta este año.

Presupueste la sustitución en lugar de la selección. El entregable que importa es un inventario de dónde vive realmente cada algoritmo en su parque, más la capacidad de reemplazar uno sin reconstruir, porque lo que cambió esta semana es la velocidad a la que puede moverse la estimación de seguridad de un candidato. El Centro Criptológico Nacional ya orienta a los organismos españoles hacia los esquemas estandarizados.

Pregunte a sus proveedores a qué esquema se han comprometido en el firmware y en los módulos de seguridad hardware, porque ahí el cambio es más lento. En software, un algoritmo degradado es un cambio de configuración. Grabado en un equipo comprado con un ciclo de reemplazo de siete años, esa misma degradación se convierte en un problema de compras que le acompañará mucho tiempo.

Leer a continuación: Bloquear al rastreador publicó sus conversaciones  |  Un solo mensaje alcanzó las claves SSH