Una IA rompió una firma post-cuántica en 60 horas. El problema no es la firma

La criptografía siempre funcionó con una sola regla: propone un algoritmo, deja que el mundo lo ataque, confía en lo que sobreviva. Es una buena regla, y es la única que tenemos. Pero esconde un parámetro: el tiempo. «Sobrevivió» significa «sobrevivió tantos años-experto».

El 28 de julio Anthropic publicó un trabajo en el que ese parámetro dejó de ser una constante.

Qué pasó

HAWK es un esquema de firma digital, uno de los candidatos que siguen en la tercera ronda de la convocatoria del NIST para firmas post-cuánticas adicionales. Dos años de revisión experta a sus espaldas. Su seguridad se apoya en el problema del isomorfismo de retículos.

El modelo Claude Mythos Preview encontró un automorfismo no trivial en la estructura del retículo de HAWK: una simetría que a nadie se le había ocurrido aprovechar. A través de ella, los ataques por enumeración se aceleran lo suficiente como para que, en el conjunto de parámetros HAWK-256, el coste esperado de recuperar una clave caiga de 2⁶⁴ a 2³⁸ operaciones. Unos 67 millones de veces menos trabajo.

Eso costó 60 horas y alrededor de 100 000 dólares en llamadas a la API. En el proyecto participó una sola persona, especialista en informática teórica y no en criptografía de retículos, y Anthropic describe su aportación como limitada a la «gestión del proyecto».

El segundo resultado ataca AES reducido a 7 rondas de 10. El modelo trabajó de forma casi totalmente autónoma durante tres días, produjo cerca de mil millones de tokens de salida e inventó una técnica nueva a la que llamó Möbius Bridge, mejorando el ataque conocido entre 200 y 800 veces. Después, los investigadores dedicaron varios cientos de horas a aprender suficiente criptografía para confirmar que el resultado era real.

Por qué sigue siendo una noticia

La tentación de leerlo como «no se rompió nada, sigamos» es fuerte. Algo sí se rompió, solo que no fue un algoritmo, sino un supuesto.

Todo plan de migración a criptografía post-cuántica —en blockchains, en bancos, en tu producto— se apoya implícitamente en una estimación: el criptoanálisis clásico avanza a un ritmo lento y predecible. Por eso las ventanas de migración se miden en años y la tarea se pospone tranquilamente al trimestre siguiente. La estimación era razonable, porque la velocidad del criptoanálisis la fijaba cuánta gente estaba dispuesta a dedicar años de su vida a un esquema concreto.

Ahora esa velocidad tiene un segundo multiplicador, y cuesta cien mil dólares por intento.

Fíjate en la asimetría. Encontrar el ataque requirió una persona sin experiencia en el campo y el presupuesto de un fin de semana. Verificarlo requirió cientos de horas de gente que iba adquiriendo esa experiencia sobre la marcha. La búsqueda se abarata más rápido que la verificación. Para un sector cuya seguridad descansa en que los defensores comprueben más de lo que los atacantes alcanzan a encontrar, es una dirección incómoda.

Qué hacer en las dos semanas previas a una auditoría de contratos

Qué significa para las blockchains

Aquí hace falta precisión, porque alrededor del tema hay mucho ruido vacío.

Ni Bitcoin ni Ethereum se ven afectados: ambas redes firman transacciones con curvas elípticas, y ninguno de los ataques apuntaba ahí. HAWK tampoco está entre los esquemas a los que Bitcoin migraría.

Lo interesante es cómo está construido el propio plan de migración. BIP-360, la propuesta de direcciones resistentes a lo cuántico, especifica tres algoritmos ya estandarizados por el NIST, y lo hace a propósito: para que quede una alternativa si alguno se rompe más adelante, sea por un ordenador cuántico o por avances clásicos. Hace un año esa redundancia parecía prudencia razonable. Después del trabajo de Anthropic parece el mínimo imprescindible.

Aparte está el precio de «arreglar» HAWK. Formalmente tiene solución: duplicar el tamaño de las claves y el nivel de seguridad vuelve. Pero la propia Anthropic escribe que duplicarlo «elimina muchas de las razones que hacían del esquema un candidato atractivo». Para una blockchain esto no es abstracto: el tamaño de la firma es espacio en el bloque, y el espacio en el bloque son comisiones. Claves compactas y firma rápida eran toda la propuesta comercial de HAWK. El ataque no mató el esquema matemáticamente. Lo mató económicamente.

Qué hacer en la arquitectura

La conclusión práctica no es «cambia tu criptografía ya». Es más aburrida y más útil: comprueba si podrías cambiarla siquiera.

• El algoritmo debe ser un parámetro, no una constante. Si el esquema de firma está incrustado en tus formatos de datos, en las direcciones, en contratos inteligentes ya desplegados, no tienes un plan de migración: tienes una intención. Cambiar de algoritmo debería ser una release, no una reescritura.
• Contempla varios esquemas a la vez, como hace BIP-360. Un solo esquema es una apuesta a que precisamente ese sobrevivirá a la próxima década de revisión. Esa apuesta se ha encarecido.
• Versiona todo lo firmado. Los datos que sobrevivan a un cambio de algoritmo tienen que llevar la marca de con qué fueron firmados. Añadirlo a posteriori duele.
• Separa «roto» de «se volvió caro». Lo de HAWK es el segundo caso. Tu modelo de amenazas necesita una respuesta también para ese desenlace: el esquema sigue formalmente vivo, pero sus parámetros crecieron hasta que la economía del producto dejó de cuadrar.
• Revisa tu horizonte de planificación. Si el plan de migración se apoyaba en «tenemos algunos años», conviene recordar de dónde salió esa cifra.

Qué no demuestra esta historia

Conviene decir también la otra cara, porque con una noticia así el pánico se construye solo.

Esto no es «la IA rompió la criptografía». Ambos ataques siguen siendo exponenciales en tiempo. El resultado sobre HAWK, como señala la propia Anthropic, no se traslada ni a los demás candidatos post-cuánticos del NIST ni a la criptografía de retículos en general. El resultado sobre AES no se traslada a otros cifrados de la misma familia.

Tampoco es la historia de un modelo totalmente autónomo. En ambos casos hubo una persona que planteó el problema, construyó el andamiaje y luego dedicó cientos de horas a comprobar la respuesta. Anthropic menciona expresamente tres intervenciones con las que el investigador empujó al modelo hacia un camino novedoso en lugar del evidente.

Y tampoco es un truco aislado para un titular. Junto con los resultados, Anthropic publicó CryptanalysisBench: un benchmark sobre un conjunto de cifrados, construido con grupos académicos de ETH Zurich, la Universidad de Tel Aviv y la TU Berlin, para que la capacidad criptoanalítica de los modelos pueda medirse desde fuera y a lo largo del tiempo. Es la señal de unos autores que consideran el efecto una tendencia y no un incidente.

Anthropic comunicó el hallazgo a los autores de HAWK en junio y coordinó la publicación con la lista de correo del NIST: la divulgación responsable funcionó como debía. Es el detalle más tranquilizador de toda la historia: una herramienta que acelera la búsqueda de debilidades acabó en manos que primero avisan y después publican. Y es exactamente eso lo que conviene incorporar al plan: que la próxima vez podría no ser así.