El pasado 28 de julio de 2026, Anthropic reveló que Claude Mythos Preview, la versión no publicada de su modelo más avanzado, había descubierto debilidades matemáticas en dos algoritmos criptográficos que resistieron años de escrutinio por parte de expertos humanos.
Claude Mythos rompe HAWK
El primer ataque reduce a la mitad la seguridad efectiva de HAWK, el último candidato basado en retículos que quedaba en la competición de firmas digitales post-cuánticas del NIST. El segundo acelera entre 200 y 800 veces el mejor ataque conocido contra una versión reducida de AES, el cifrado simétrico más utilizado del mundo. Un tercer resultado, menos difundido, pero igualmente significativo, rompe 13 de las 24 rondas de LEA, un estándar ISO para dispositivos de bajos recursos, en menos de una hora sobre hardware de escritorio.
Ninguno de estos hallazgos compromete sistemas en producción. HAWK era un candidato, no un estándar desplegado. Mientras que el ataque a AES opera sobre 7 de sus 10 rondas y requiere una cantidad astronómica de textos planos elegidos. El de LEA por su parte, deja intactas las 11 rondas restantes del cifrado completo. Y, sin embargo, la comunidad criptográfica ha reaccionado con una mezcla de entusiasmo y vértigo. Porque esto es solo abreboca de lo que está por venir de mano de la IA al entrar al conocido Rubicon Criptográfico.
HAWK: dos años de revisión experta, sesenta horas de modelo
HAWK es (o mejor dicho: era) un esquema de firma digital diseñado para sobrevivir a los ordenadores cuánticos del futuro. Basaba su seguridad en el Problema de Isomorfismo de Retículos (module-LIP) sobre anillos ciclotómicos de potencia de dos. Había sobrevivido dos rondas completas del proceso de estandarización del NIST y en mayo de 2026 avanzó a la tercera ronda como el único candidato basado en retículos que quedaba en la pista de firmas adicionales.
El proceso funcionaba exactamente como está diseñado: exponer candidatos al escrutinio público antes de que nadie los despliegue. Pero nadie esperaba que el ataque definitivo llegara de un modelo de lenguaje trabajando de forma semiautónoma.
Ciberseguridad en la Era de la IA: Cómo los equipos Red, Blue y Green protegen tu empresa
Una IA buscando el Talón de Aquiles
Mythos encontró lo que los criptógrafos llaman un automorfismo no trivial: una simetría oculta en la estructura algebraica del anillo ciclotómico de HAWK. La involución de Galois que envía una raíz de la unidad a su negativa (ζ → −ζ) resultó ser la llave que nadie había probado. Trabajos anteriores de van Gent y Pulles, publicados en 2025, ya habían demostrado que un automorfismo adecuado reduciría el problema a la mitad de la dimensión, pero afirmaron que no se conocía ninguno para HAWK. Pues bien, Mythos encontró esa respuesta.
La consecuencia es una reducción determinista del problema de recuperación de clave a llamadas a un oráculo SVP (Shortest Vector Problem) en dimensión n/2 + 1 en lugar de reducción de retículos sobre la clave completa de rango 2n.
En términos prácticos: para HAWK-256, el coste de recuperación de clave pasó de 2^64 operaciones a 2^38, una reducción de 67 millones de veces. Para HAWK-512, de 2^150 a 2^108 en el modelo de coste por puertas que utiliza la propia especificación del algoritmo. Los investigadores de Anthropic implementaron el ataque de principio a fin y recuperaron claves secretas de HAWK-256 en aproximadamente 3 horas y 42 minutos sobre un único servidor Sapphire Rapids de 96 núcleos.
El ataque sigue siendo exponencial y no rompe las versiones de claves largas en tiempo práctico. Pero el daño no está en la ejecución inmediata sino en los márgenes de seguridad declarados. Para restaurar la seguridad pretendida, HAWK necesitaría duplicar el tamaño de sus claves, lo que elimina las ventajas de eficiencia que lo hacían atractivo frente a alternativas como ML-DSA o FN-DSA.
Por esa razón, el 29 de julio, el desarrollador principal de HAWK retiró el esquema de la competición. Sophie Schmieg, experta en PQC (Criptografía Post-Quantum) de Google, lo resumió en una frase: “Básicamente, con este artículo, HAWK está muerto”.
AES: el ataque que requirió un discurso motivacional para la IA
El segundo resultado es más sutil y, en cierto sentido, más revelador sobre cómo trabajan estos modelos. AES-128 aplica 10 rondas de transformación a los datos, y es muy usado en donde hay datos sensibles. Por ello, los criptoanalistas estudian versiones reducidas, típicamente de 7 rondas, porque atacar el cifrado completo es extremadamente difícil. Antes de Mythos, el mejor ataque conocido contra AES de 7 rondas databa de 2013 y provenía de Derbez, Fouque y Jean. Sin embargo, era poco práctico, ya que tomaba meses romper las 7 rondas.
Pero, Mythos recibió una tarea deliberadamente hostil: se le prohibió usar las cinco familias establecidas de criptoanálisis de AES y se le pidió que inventara una sexta. El modelo se negó inicialmente. Su respuesta, obtenida de los registros liberados por Anthropic fue: “En AES-128 r5/r6/r7 no encontré nada porque no hay nada fácil de encontrar; este es el cifrado de bloques más estudiado que existe”.
Durante tres días, un investigador de Anthropic envió apenas tres mensajes sustantivos. “No, el objetivo es que tengamos un modelo altamente inteligente como un investigador de primer nivel, queremos encontrar nuevos ataques”. El modelo cedió, produjo mil millones de tokens de salida e inventó una técnica que los investigadores bautizaron como “Möbius Bridge”, un método de huella digital más sofisticado para ataques de encuentro a medio camino (meet-in-the-middle).
Por qué las grandes tecnológicas están reescribiendo su código en Rust
Cerca, pero aun con margen de seguridad
La mejora es real pero estrictamente académica. El ataque elimina uno de los nueve bytes de clave que los ataques anteriores tenían que adivinar, lo que representa una aceleración de 200 a 800 veces. Pero el coste computacional sigue siendo de 2^89 operaciones y requiere 2^105 textos planos elegidos, cifras que ningún atacante real puede alcanzar. Matthew Green, criptógrafo de Johns Hopkins, señaló que ni siquiera está claro si la aceleración es real en tiempo de ejecución, ya que el ataque no puede ejecutarse completamente con los recursos actuales. “Esto no hace que el resultado sea malo; de hecho, sigue siendo interesante desde el punto de vista de las técnicas. Pero es un incremento muy pequeño en nuestro conocimiento, no un ataque práctico nuevo”.
El AES de 10, 12 o 14 rondas que protege el tráfico HTTPS, los discos cifrados y los backends de infraestructura crítica permanece intacto. Por ello, si tu modelo de amenazas era sólido ayer, lo sigue siendo hoy.
LEA: el hallazgo con el camino más corto a lo real
El tercer resultado recibió menos atención en la cobertura inicial, pero es posiblemente el más preocupante a largo plazo. LEA (Lightweight Encryption Algorithm) es un cifrado de bloques estándar coreano, incorporado a la norma ISO/IEC 29192-2:2019 y diseñado para entornos de recursos limitados como dispositivos IoT y sistemas embebidos. El cifrado completo tiene 24 rondas y había resistido hasta ahora todo intento de criptoanálisis de ronda completa.
Pero Mythos desarrolló un ataque práctico que recupera una clave de 13 rondas de LEA en menos de 2^30 textos planos cifrados y en menos de una hora sobre un ordenador de escritorio moderno. El mejor ataque previo requería 2^98 pares de texto plano y 2^86 de trabajo. La diferencia aquí no es incremental, Mythos ha hecho que un ataque teórico y poco practico, pase a ser algo que cualquier persona con un computador hogareño puede hacer.
La importancia de LEA no está en el algoritmo en sí, sino en lo que representa. Es un cifrado estandarizado, revisado por pares y publicado. No es un candidato experimental: está viviendo en este momento en productos hogareños e industriales de todo el mundo. Y 13 de sus 24 rondas pasaron de requerir un ataque puramente teórico a ser recuperables en una hora sobre hardware de consumo, en una ejecución preliminar que Anthropic ni siquiera ha documentado completamente.
Como señala Marin Ivezic, experto en PQC: “El riesgo no está en los algoritmos que recibieron este tratamiento, sino en todo lo que nunca lo recibió: cifrados propietarios en productos industriales y de defensa, algoritmos nacionales fuera de los organismos de estándares principales, criptografía ligera en dispositivos embebidos, diseños de protocolos caseros y el legado acumulado de ‘lo implementamos nosotros, pero funciona, está ofuscado».
IBM cede el testigo en blockchain y vende su cartera de patentes a Circle
La economía que cambió en una semana
Lo más sorprendente es que cada uno de estos resultados costó aproximadamente 100.000 dólares en tiempo de cómputo de API y alrededor de una semana de trabajo. Para ponerlo en perspectiva: tres esfuerzos independientes produjeron ataques contra tres familias de cifrados distintas en el mismo período de once días.
Entre el 17 y el 28 de julio de 2026, Mythos atacó HAWK mediante un retículo de cociclos; un preprint anónimo atribuido a GPT-5.6 atacó HAWK mediante reducción adjunta de retículos por una vía matemática distinta; y el modelo HOVER de Saarinen recuperó claves de desafío de McEliece que permanecían sin resolver. Firmas basadas en retículos, cifrados de bloque y esquemas basados en códigos: tres familias, tres modelos, once días.
Esto cambia el marco de análisis. Hace dos semanas, la objeción estándar era que un solo proveedor anunciando resultados espectaculares podía ser ruido comercial. Esa objeción no sobrevivió a la semana. La capacidad está distribuida en la frontera de los modelos de lenguaje, y la dirección de la curva de costes es inequívoca.
El matiz importante es qué tipo de trabajo se aceleró y cuál no. La generación de hipótesis criptoanalíticas se volvió barata: horas de modelo y 100.000 dólares. La verificación no: el ataque a AES tomó días de modelo, pero cientos de horas de dos investigadores humanos para confirmar que el método era correcto.
El paper de AES lo declara explícitamente: “la idea central llevó decenas de horas de tiempo de modelo, mientras que la validación humana consumió cientos de horas entre dos investigadores”. Ese ratio es la variable a observar. Cuando un modelo puede generar cien argumentos criptoanalíticos plausibles en una noche y cada uno requiere un mes de un experto para confirmarlo o refutarlo, el cuello de botella se desplaza completamente al juicio humano. Y el juicio humano no escala por API, no somos computadoras.
¿Qué significa esto para la ciberseguridad?
Lo primero que hay que decir es también lo más importante: nada de esto rompe el cifrado desplegado hoy. AES-128 en 10 rondas está intacto. ML-KEM y ML-DSA, los estándares post-cuánticos ya ratificados por el NIST, no fueron tocados. TLS, SSH, HTTPS, el cifrado de disco, las VPN: todo sigue exactamente igual de seguro que la semana pasada. Si alguien te dice que la IA rompió la criptografía, te está mintiendo dos veces.
Lo segundo es que el proceso de estandarización del NIST está funcionando exactamente como debe. HAWK era un candidato, no un estándar. Existía precisamente para ser atacado en público antes de que nadie construyera infraestructura sobre él. Encontrar una debilidad en una propuesta de tercera ronda no es un fallo del sistema: es el sistema operando. En 2022, SIKE llegó a la cuarta ronda antes de que Castryck y Decru lo rompieran completamente en una hora sobre un portátil. Eso fue peor. Esto es mejor: la comunidad lo encontró antes.
Lo tercero, y aquí es donde el análisis se vuelve prospectivo, es que estamos presenciando la apertura de una brecha entre lo “no roto” y lo “no examinado”. La diferencia siempre existió, pero era invisible porque examinar costaba demasiado. Ahora que el coste de encontrar debilidades en algoritmos criptográficos ronda los 100.000 dólares y una semana, esa brecha va a hacerse visible en un número muy grande de productos.
Hay un universo de cifrados que nunca recibieron el nivel de escrutinio de AES o de los candidatos del NIST. Algoritmos propietarios en sistemas industriales, estándares nacionales fuera del circuito occidental, implementaciones ligeras en dispositivos IoT con décadas de antigüedad, protocolos diseñados internamente por empresas que asumieron que la ofuscación era suficiente. Ese universo ahora tiene un nuevo inquilino. Anthropic ya ha comenzado auditorías de otros esquemas. La dirección del vector es clara incluso si la velocidad exacta es incierta.
En diez años, los ordenadores con IA costarán como un smartphone
El horizonte: verificación, divulgación y el año que cambió todo
Anthropic manejó la divulgación según las normas establecidas: notificó al equipo de HAWK en junio, coordinó la publicación con el NIST y con socios gubernamentales e industriales, y publicó código abierto que permite a cualquiera reproducir la recuperación de claves. También colaboró con ETH Zurich, la Universidad de Tel Aviv y la Universidad de Haifa para lanzar CryptanalysisBench, un benchmark de 191 tareas de ruptura de cifrados extraídas principalmente de competiciones del NIST.
Pero la pregunta que la propia Anthropic dejó abierta en su comunicado es la que define lo que viene: ¿qué hacemos cuando un modelo encuentre una debilidad en un cifrado que sí está protegiendo sistemas en producción? No hay protocolo establecido para esa situación. La divulgación responsable en criptografía asume que el descubridor es un equipo humano trabajando en escalas de tiempo académicas. Si el descubridor es un modelo trabajando en escalas de API, todo el marco necesita repensarse.
A un año vista, los modelos de lenguaje han pasado de ser incapaces de realizar criptoanálisis incluso de los cifrados más básicos a encontrar fallos en diseños criptográficos que escaparon a años de revisión experta. La transición de encontrar bugs de implementación a encontrar debilidades algorítmicas representa un salto cualitativo. Como escribió la compañía: “Muchos cifrados que protegen sistemas modernos han recibido menos escrutinio del que merecen; todavía podrían tener debilidades importantes latentes que los LLM pronto serán capaces de descubrir”.