La IA acaba de encontrar debilidades criptográficas que los expertos pasaron por alto: esto es lo que significa para tu empresa

El 28 de julio de 2026, Anthropic publicó algo que hace un año habría sonado a ciencia ficción: un modelo de IA, trabajando en gran medida por su cuenta, descubrió dos debilidades totalmente nuevas en algoritmos criptográficos, entre ellas un fallo en un esquema poscuántico que expertos humanos habían revisado durante dos años sin detectarlo. Si diriges una empresa, la conclusión práctica es tranquilizadora pero importante: nada de lo que usas hoy está roto y ningún software del que dependes necesita cambiar. Lo que ha cambiado es la dirección del rumbo: la IA es ahora una herramienta seria tanto para atacar como para defender el cifrado, y eso hace que valga la pena incluir la "criptoagilidad" y la planificación poscuántica en tu hoja de ruta.

Lo que Anthropic anunció realmente

Usando un modelo llamado Claude Mythos Preview, los investigadores de Anthropic llevaron a cabo dos proyectos de criptoanálisis. En el primero, el modelo encontró un fallo estructural en HAWK, un candidato a los futuros estándares de firma digital poscuántica del NIST. En el segundo, inventó una nueva técnica de ataque, a la que llamó "Möbius Bridge", que acelera un ataque existente contra una versión deliberadamente debilitada del cifrado AES. Cada resultado le llevó al modelo cuestión de días y costó aproximadamente 100.000 $ en uso de la API. Fundamentalmente, Anthropic siguió una divulgación responsable: consultó a académicos, compartió el ataque a HAWK con los autores de ese esquema en junio y se coordinó con el NIST y con socios gubernamentales y de la industria antes de hacerlo público.

El fallo poscuántico de HAWK, en términos sencillos

HAWK es un algoritmo propuesto para firmas digitales diseñado para seguir siendo seguro incluso frente a los futuros ordenadores cuánticos. Su seguridad se basa en un problema matemático difícil (el problema de isomorfismo de retículos). El modelo descubrió una simetría oculta en ese retículo, un "automorfismo no trivial", cuya existencia los investigadores anteriores sospechaban pero que nunca habían encontrado. Esa simetría permite un ataque más rápido y reduce aproximadamente a la mitad la fortaleza efectiva de la clave. Para el pequeño parámetro de investigación HAWK-256, el coste estimado del ataque bajó de 2^64 a 2^38. Los conjuntos de parámetros más grandes y de uso real (HAWK-512 y HAWK-1024) siguen siendo impracticables de romper. Y como HAWK sigue siendo un candidato en revisión por el NIST, sin desplegar en ningún sitio, el descubrimiento es exactamente el tipo de prueba de estrés que el proceso de estandarización pretende detectar.

El ataque Möbius Bridge contra AES y por qué importan las "7 rondas"

AES es el estándar de cifrado que protege la mayoría de los datos que circulan por navegadores, aplicaciones bancarias y discos cifrados. El AES-128 completo ejecuta diez "rondas" internas. La técnica Möbius Bridge del modelo ataca una variante de investigación reducida de siete rondas y hace que un ataque existente sea entre 200 y 800 veces más rápido. Suena espectacular, pero lee la letra pequeña: no rompe el AES real. El cifrado completo de diez rondas que usas a diario está intacto, e incluso el ataque de siete rondas sigue siendo, en palabras de Anthropic, "completamente impracticable". Atacar variantes de rondas reducidas es una forma habitual de que los criptógrafos midan el margen de seguridad de un cifrado, y aquí ese margen se mantuvo.

Por qué nada de lo que usas hoy está roto

Esta es la frase que hay que recordar, directamente de Anthropic: "ninguno de estos resultados tiene un impacto práctico en los sistemas informáticos actuales; ningún software en producción tendrá que cambiar como consecuencia". HAWK no está en producción. El resultado sobre AES apunta a una variante debilitada, no al cifrado que protege tu tráfico. Así que no hay ningún parche que aplicar con prisas ni ningún sistema que reemplazar. Lo que estás viendo es un anticipo de cómo funcionará la investigación en seguridad a partir de ahora.

Lo que esto significa realmente para tu empresa

El titular no es "el cifrado está roto". Es "el ritmo de los descubrimientos acaba de cambiar". La propia Anthropic predice que la IA pronto generará hallazgos criptográficos más rápido de lo que los investigadores humanos pueden validarlos. Para una empresa, eso tiene tres consecuencias prácticas. Primero, el intervalo entre que se encuentra una debilidad y se explota seguirá reduciéndose, así que tu capacidad de aplicar parches y rotar claves con rapidez importa más que nunca. Segundo, las mismas herramientas que encuentran fallos pueden reforzar tus sistemas: es de esperar que las auditorías de seguridad asistidas por IA se conviertan en algo estándar. Tercero, la migración a la criptografía poscuántica, planificada desde hace tiempo, ya no es un ejercicio académico lejano; el terreno se está moviendo, y las organizaciones que saben dónde usan el cifrado se adaptarán mucho más rápido que las que no lo saben.

Una lista práctica de preparación

  • Haz un inventario de tu criptografía. Conoce dónde dependes del cifrado y de las firmas: TLS en tus sitios web y API, datos en reposo, VPN, firma de documentos y flujos de pago.
  • Diseña pensando en la criptoagilidad. Construye los sistemas de modo que un algoritmo pueda sustituirse sin rediseñar la arquitectura de todo el producto. Este es el hábito más valioso en este momento.
  • Planifica la ruta poscuántica. Sigue los estándares poscuánticos del NIST e inicia pilotos para los datos de alto valor y larga vida: todo lo que un atacante podría "almacenar ahora y descifrar después".
  • Mantén la disciplina con los parches. Un descubrimiento más rápido exige una respuesta más rápida; convierte la rotación de claves y la actualización de dependencias en una rutina, no en emergencias.
  • Vincúlalo al cumplimiento normativo. Un cifrado sólido y actualizado es un control fundamental según la Ley de Protección de Datos Personales (PDPL) de Arabia Saudí y las expectativas de protección de datos: trátalo como un programa continuo, no como una configuración única.

Cómo lo aborda Origami

En Origami construimos software con la seguridad como requisito de diseño, no como algo secundario. Eso significa arquitecturas criptoágiles, una gestión de claves sensata, supervisión de dependencias y sistemas lo bastante bien documentados como para que un futuro cambio de algoritmo sea un cambio de configuración y no una reescritura. Mientras la IA transforma tanto el ataque como la defensa en seguridad, nuestro trabajo es mantener tus sistemas en el lado defensivo de esa línea: actualizados, auditables y listos para adaptarse. Si quieres una imagen clara de dónde usa tu empresa la criptografía y de lo preparada que está para lo que viene, ese es exactamente el tipo de revisión que ayudamos a llevar a cabo a las organizaciones saudíes.

Fuentes

  • Anthropic — "Discovering cryptographic weaknesses with Claude": anthropic.com
  • NIST — Proyecto de criptografía poscuántica: csrc.nist.gov