Una cita de Simon Willison sobre Anthropic revela la verdadera prueba del criptoanálisis con IA

La cobertura de Anthropic y Simon Willison contiene ahora una advertencia más clara: Claude logró dos avances criptográficos, pero ninguno de los ataques compromete sistemas en funcionamiento hoy. El conflicto está en otra parte. El criptoanálisis con IA está mejorando mientras gobiernos e ingenieros eligen los fundamentos matemáticos que deberán proteger los sistemas digitales durante décadas.

El 28 de julio de 2026, Anthropic afirmó que Claude Mythos Preview había mejorado ataques contra HAWK y una versión de AES-128 con rondas reducidas. HAWK es un esquema de firma poscuántica propuesto. AES es el cifrado simétrico establecido detrás de innumerables aplicaciones seguras, aunque Anthropic solo probó una variante deliberadamente debilitada.

Simon Willison destacó el trabajo antes de citar al criptógrafo de Johns Hopkins Matthew Green el 29 de julio. Green sostuvo que el criptoanálisis con IA llega en un momento especialmente útil. La industria está migrando de RSA y las firmas de curva elíptica hacia problemas más recientes diseñados para resistir computadoras cuánticas.

Ese momento crea la tensión central. Los resultados de Claude pueden reforzar la revisión pública antes de que los estándares lleguen a producción. Sin embargo, un criptoanálisis automatizado más rápido también puede desbordar a las instituciones humanas responsables de validar descubrimientos, coordinar divulgaciones y sustituir diseños dañados.

La investigación de Anthropic y Simon cambió la referencia del criptoanálisis

El cambio importante no es que Claude haya vulnerado cifrado desplegado, porque no lo hizo. Claude produjo mejoras de nivel investigativo contra dos objetivos cuidadosamente acotados.

El primer resultado de Anthropic se refería a HAWK, un esquema de firma digital basado en retículas que se está considerando en el proceso adicional de firmas poscuánticas de NIST. Una firma digital permite que el software verifique la identidad y detecte cambios no autorizados sin exponer una clave de firma privada.

HAWK ya había superado dos rondas de evaluación pública durante aproximadamente dos años. Según la investigación criptográfica de Anthropic, Mythos mejoró el mejor ataque conocido tras unas 60 horas de trabajo.

El modelo identificó un automorfismo no trivial, es decir, una simetría matemática dentro de la estructura de retícula subyacente de HAWK. Investigaciones previas habían establecido que encontrar tal simetría permitiría un ataque. No habían demostrado que la simetría relevante fuera accesible en HAWK.

Anthropic afirma que el ataque de enumeración resultante redujo la seguridad efectiva del parámetro de desafío HAWK-256 más pequeño. El coste esperado de recuperación de claves cayó de aproximadamente 2^64 operaciones a 2^38 operaciones.

La diferencia es considerable. Un factor de 2^26 separa esas estimaciones, lo que representa alrededor de 67 millones de veces menos trabajo según el modelo indicado. Aun así, HAWK-256 es un parámetro de desafío pequeño, no una configuración de producción.

El ataque sigue siendo exponencial, por lo que su coste aumenta rápidamente con claves más grandes. Anthropic afirma que los parámetros HAWK más grandes siguen siendo poco prácticos de atacar. La debilidad también es específica de HAWK, en lugar de afectar a la criptografía basada en retículas en su conjunto.

El segundo resultado se dirigió a AES-128 de siete rondas. AES-128 en producción aplica diez rondas de transformaciones repetidas, mientras los investigadores eliminan rondas intencionadamente para estudiar cómo se comporta su margen de seguridad.

Mythos desarrolló un método de huellas llamado Möbius Bridge. Anthropic afirma que eliminó un paso de adivinación de 256 posibilidades de un ataque existente de encuentro en el medio, que intercambia almacenamiento adicional por menos computación.

Otras optimizaciones generaron un aumento de velocidad estimado de entre 200 y 800 veces frente a ataques anteriores. Sin embargo, el experimento seguía suponiendo acceso a 2^105 textos planos elegidos, un volumen imposible para cualquier operación práctica.

Por tanto, el modelo no descifró AES tal como se despliega. Hizo avanzar una línea de investigación especializada que implica una versión de laboratorio más débil. Esa distinción separa un resultado científico significativo de una emergencia inmediata de ciberseguridad.

Ambas líneas de investigación fueron costosas. Anthropic estimó aproximadamente 100.000 dólares en uso de API para cada resultado principal. La investigación sobre AES generó alrededor de mil millones de tokens de salida antes de alcanzar el método publicado.

El debate sobre Anthropic y Simon importa porque Willison se centró en cuánta poca orientación experta parecía necesaria. Los operadores humanos indicaron repetidamente al modelo que buscara resultados más difíciles en lugar de aceptar su conclusión inicial de que la tarea era inviable.

Esas intervenciones fueron importantes, pero no contenían la idea matemática final. El modelo propuso transformaciones candidatas, descartó enfoques fallidos, probó alternativas y desarrolló la huella central mediante un proceso de investigación agéntico.

Esto lleva el debate más allá de si una IA puede reformular literatura criptográfica conocida. La pregunta más difícil es si una inferencia sostenida del modelo, herramientas computacionales y una dirección básica de investigación pueden producir nuevos ataques útiles.

Por qué Matthew Green considera que el momento es casi ideal

El criptoanálisis con IA está surgiendo mientras la comunidad de seguridad sustituye sus fundamentos de clave pública más importantes, lo que da a la revisión defensiva un valor inusualmente alto.

El argumento de Green comienza con la transición poscuántica. Los sistemas actuales de clave pública suelen depender de RSA o de la criptografía de curva elíptica, cuya seguridad descansa en problemas matemáticos que computadoras cuánticas con capacidad suficiente podrían resolver eficientemente.

Esa amenaza no significa que exista hoy una computadora cuántica criptográficamente relevante. Significa que los sistemas de larga duración necesitan algoritmos de reemplazo antes de que una máquina así esté disponible.

La migración lleva años porque la criptografía aparece profundamente integrada en sistemas operativos, navegadores, servicios de identidad, dispositivos integrados, certificados, infraestructura de pagos y software empresarial. La información cifrada almacenada también puede enfrentarse a ataques de “recopilar ahora, descifrar después”.

NIST comenzó la estandarización formal poscuántica en 2016. Finalizó sus tres primeros estándares poscuánticos principales en agosto de 2024, que cubren cifrado general y firmas digitales.

La agencia ha seguido evaluando enfoques de firma adicionales. La diversidad importa porque las organizaciones tienen distintas restricciones de rendimiento, mientras que depender de una sola familia matemática puede concentrar el riesgo sistémico.

HAWK entró en esa búsqueda más amplia como un diseño compacto de firma basado en isomorfismo de retículas. Tenía características que podían hacerlo atractivo donde importan el tamaño de la firma, el tamaño de la clave o las compensaciones de implementación.

El resultado de Claude cuestiona ese equilibrio. Anthropic sostiene que restaurar el margen de seguridad previsto requeriría claves HAWK más grandes, eliminando varias cualidades que hacían atractiva la propuesta.

Este resultado no demuestra que la estandarización pública haya fallado. Las competiciones abiertas exponen deliberadamente los algoritmos candidatos al análisis adversarial antes de que proveedores de software y gobiernos dependan de ellos.

El historial muestra por qué. SIKE, otro candidato poscuántico, sobrevivió años de estudio antes de que los investigadores encontraran un devastador ataque clásico en 2022. Según informes, la vulneración se ejecutó en un portátil común.

Green ve la IA como una forma de ampliar esa capacidad adversarial durante el período en que ofrece el mayor retorno defensivo. La cita de Matthew Green de Simon Willison describe este momento como un “momento perfecto” para el criptoanálisis público con IA.

El beneficio va más allá de eliminar candidatos débiles. Los ataques repetidos y creíbles pueden ayudar a los investigadores a identificar qué supuestos merecen confianza y qué patrones de diseño crean exposición oculta.

La criptografía no gana confianza porque nadie haya encontrado todavía un ataque. La confianza crece a través de años de intentos públicos, fallos publicados, ataques mejorados, pruebas corregidas y reproducción independiente.

La IA puede aumentar el número de hipótesis exploradas durante ese proceso. Puede buscar artículos poco conocidos, traducir condiciones matemáticas en experimentos, escribir código de verificación y mantener activas múltiples ramas de investigación.

Esa capacidad importa porque la atención experta es escasa. Muchos algoritmos reciben mucho menos análisis que AES, cuyo diseño ha enfrentado un examen sostenido desde que NIST lo seleccionó en 2001.

El mejor caso defensivo se parece a las pruebas automatizadas continuas para las matemáticas. Los modelos proponen ataques, las herramientas computacionales descartan ideas débiles, los expertos validan las supervivientes y los diseñadores revisan sus esquemas.

Los desarrolladores que sigan este trabajo no deberían interpretar cada resultado de rondas reducidas como una razón para abandonar primitivas aprobadas. En su lugar, deberían distinguir el impacto en producción de la evidencia sobre la futura capacidad de investigación.

La gestión del conocimiento se vuelve relevante aquí porque la verificación requiere preservar prompts, artículos fuente, hipótesis fallidas, código, comentarios de revisores y decisiones de divulgación. Una base de conocimiento de ingeniería con capacidad de búsqueda puede mantener esas evidencias conectadas durante revisiones prolongadas.

La transición poscuántica ofrece al criptoanálisis con IA un objetivo defensivo claro. Los sistemas candidatos son públicos, su despliegue sigue siendo limitado y las instituciones ya tienen procesos para recibir análisis críticos.

Esa alineación favorable no durará para siempre. Una vez que una primitiva vulnerable se despliegue ampliamente, identificar su debilidad creará costes urgentes de sustitución y un problema de divulgación potencialmente peligroso.

El verdadero desafío es el descubrimiento con IA frente a la verificación humana

El principal oponente no es Claude frente a criptógrafos humanos. Es la velocidad del descubrimiento automatizado frente a la limitada capacidad humana necesaria para establecer la verdad.

Anthropic describe a Mythos como mayormente autónomo durante ambas investigaciones. Sin embargo, el descubrimiento y la aceptación siguieron siendo etapas separadas, y la segunda avanzó mucho más lentamente.

El ataque contra HAWK fue comparativamente sencillo de validar porque los investigadores podían implementar de extremo a extremo el proceso de recuperación de claves. Un verificador podía generar una clave, ejecutar el ataque y confirmar si recuperaba el secreto.

El resultado de AES planteó un desafío distinto. Sus requisitos siguen estando mucho más allá de la ejecución práctica, por lo que los revisores no podían simplemente ejecutar el ataque completo a la escala afirmada.

En su lugar, tuvieron que inspeccionar las matemáticas, probar instancias más pequeñas, analizar la complejidad y confirmar que cada reducción se comportaba como se describía. Anthropic afirma que dos investigadores dedicaron varios cientos de horas a ese trabajo.

El modelo desarrolló la idea de AES en aproximadamente una semana. Los investigadores humanos necesitaron después casi un mes para alcanzar confianza, pese a concentrarse intensamente en la afirmación.

Anthropic también reconoció que sus investigadores no eran especialistas en criptografía. Tuvieron que aprender lo suficiente del campo para validar el método y preparar un artículo.

Esa divulgación admite dos interpretaciones. Muestra que un modelo puede ayudar a no especialistas a alcanzar resultados avanzados. También muestra por qué la revisión independiente de expertos sigue siendo necesaria antes de que el campo acepte esos resultados.

Un modelo puede generar prosa matemática convincente junto a errores sutiles. Una derivación larga puede depender de un supuesto injustificado, un artículo previo pasado por alto o una estimación de complejidad que falla bajo costes de memoria realistas.

La novedad plantea otro problema. Redescubrir un resultado poco conocido puede parecer nuevo cuando la búsqueda bibliográfica es incompleta. Este riesgo aumenta en criptografía, donde el trabajo relevante puede abarcar décadas, idiomas, talleres, prepublicaciones y notación especializada.

El estudio independiente CryptanalysisBench aporta un contexto más amplio. Sus autores reunieron 191 tareas de seis familias criptográficas y tres niveles de dificultad.

Según se informa, cinco modelos de frontera vulneraron entre el 65 % y el 86 % de los esquemas con ataques prácticos conocidos. También resolvieron entre seis y doce tareas de máxima solidez de un segundo nivel más difícil.

Esas cifras no demuestran una capacidad experta sin restricciones. Los benchmarks simplifican el entorno, los problemas seleccionados pueden diferir de la investigación abierta y el rendimiento depende de la infraestructura de apoyo, los presupuestos de inferencia y las reglas de evaluación.

Sin embargo, los resultados respaldan la afirmación más limitada de Anthropic: los modelos modernos pueden realizar trabajo criptanalítico genuino. La pregunta relevante ya no es si la capacidad existe en absoluto.

El cuello de botella ahora se desplaza hacia la revisión de un volumen creciente de resultados plausibles. Anthropic prevé que la criptografía académica podría afrontar la misma presión de triaje que ya surge en la investigación de vulnerabilidades de software.

No se trata solo de una preocupación administrativa. Una afirmación falsa puede desperdiciar semanas de tiempo experto, dañar la confianza en un estándar sólido o generar pánico público en torno a sistemas que siguen siendo seguros.

Una afirmación válida puede ser aún más difícil de gestionar. Los revisores deben reproducirla, localizar los sistemas afectados, contactar a los diseñadores, coordinarse con organismos de estándares y decidir cuándo los detalles técnicos deben hacerse públicos.

Los grandes presupuestos de inferencia profundizan el desequilibrio. El trabajo sobre AES consumió mil millones de tokens de salida, mientras que los humanos no pueden leer ni auditar directamente ese volumen.

Los investigadores necesitan evidencia estructurada, no transcripciones en bruto del modelo. Los sistemas útiles deben registrar qué afirmaciones superaron las pruebas, qué código las respalda y dónde el criterio humano cambió la investigación.

Los laboratorios de IA también necesitan incentivos que recompensen los hallazgos negativos cuidadosos. Publicar titulares llamativos como “la IA rompió el cifrado” puede atraer atención incluso cuando el objetivo no está desplegado o ha sido debilitado deliberadamente.

Simon Willison evitó esa trampa al subrayar la limitación explícita de Anthropic: ninguno de los resultados afecta a sistemas de producción actuales. Su enfoque mantuvo la atención en el método de investigación y sus consecuencias futuras.

Por tanto, la competencia se decidirá por la infraestructura de verificación. Los modelos más rápidos por sí solos no pueden hacer que la criptografía sea más segura si las colas de revisión crecen más rápido de lo que los expertos de confianza pueden resolverlas.

Lo que la narrativa de Anthropic y Simon no debe exagerar

Los ataques de Claude merecen atención, pero no demuestran que el cifrado de internet se esté derrumbando ni que la IA haya derrotado a la criptografía moderna.

El resultado de HAWK afecta a un esquema de firma propuesto. No debilita los algoritmos poscuánticos estandarizados ya seleccionados por NIST, otros candidatos de firma ni todas las construcciones basadas en retículas.

HAWK tampoco tiene una presencia establecida en producción. Eliminarlo o revisarlo durante la evaluación representaría que el proceso de estándares funciona antes de un despliegue generalizado.

El resultado sobre AES es aún más fácil de tergiversar. AES-128 completo utiliza diez rondas, mientras que Mythos atacó siete. Eliminar tres rondas cambia el objeto analizado.

Los investigadores estudian cifrados de rondas reducidas porque las mejoras pueden revelar conocimientos estructurales. Sin embargo, un ataque contra siete rondas no se extiende automáticamente a ocho, nueve o diez.

Su requisito de datos también importa. El ataque anterior asumía 2^105 textos planos elegidos, y la mejora de Anthropic no hizo que ese requisito resultara operativamente plausible.

Como referencia, 2^105 equivale aproximadamente a 40 undecillones de entradas. Ningún atacante puede recopilar, transmitir, almacenar o procesar tantas cifrados elegidos contra un servicio real.

La propia nota al pie de Anthropic indica que implementar el ataque de rondas reducidas seguiría costando cientos de millones de dólares. Incluso esa estimación se refiere a un cifrado debilitado, no a AES-128 desplegado.

La empresa merece reconocimiento por exponer esos límites de forma destacada. La cobertura secundaria y las publicaciones en redes sociales aún pueden borrarlos, transformando “ataque académico mejorado” en “la IA descifró AES”.

También hay preguntas sin responder sobre la atribución. Anthropic publicó materiales que muestran actividad del modelo, pero cualquier flujo de trabajo agéntico complejo combina la salida del modelo con el diseño de la infraestructura, el acceso a herramientas, la selección de objetivos y la retroalimentación humana.

Las indicaciones humanas fueron breves, y a veces consistían principalmente en estímulos. Sin embargo, los humanos eligieron el objetivo de investigación, construyeron el entorno, revisaron las salidas y decidieron qué ramas merecían seguir consumiendo cómputo.

Por tanto, calificar el trabajo como completamente autónomo exageraría la evidencia. Una descripción más precisa es una investigación agéntica sostenida con orientación sustantiva limitada y amplia validación humana.

El coste también limita la generalización. Unos 100.000 dólares por resultado son manejables para un laboratorio de frontera o un programa gubernamental. No es un gasto habitual para la mayoría de los grupos universitarios o equipos de estándares.

Los modelos futuros podrían reducir ese coste. Por ahora, el resultado demuestra lo que puede lograr un gran presupuesto de inferencia concentrado, no lo que cada desarrollador puede reproducir mediante una breve sesión de chat.

La evidencia de los benchmarks merece una cautela similar. El éxito en vulnerabilidades conocidas confirma capacidad de búsqueda y razonamiento, pero no prueba que los modelos identifiquen de forma fiable fallos desconocidos en criptografía de producción.

La selección de investigación puede crear un sesgo de visibilidad. Las investigaciones exitosas se convierten en artículos, mientras que las ejecuciones fallidas, los resultados duplicados y las afirmaciones no verificables reciben menos atención pública.

Anthropic señaló que muchas sesiones no produjeron descubrimientos. Ese detalle debe seguir siendo central al evaluar la eficiencia y fiabilidad del enfoque.

La confirmación independiente ofrecerá la prueba más sólida. Los autores de HAWK, los participantes de NIST y criptógrafos externos deben examinar las estimaciones de seguridad y las implicaciones del ataque.

El informe técnico de CyberScoop indicó que Anthropic se coordinó con académicos y divulgó el hallazgo sobre HAWK antes de la publicación. Ese proceso mejora la confianza, pero la publicación inicia, en lugar de terminar, la revisión pública.

La mayor incertidumbre se refiere a lo que ocurre cuando cambia el objetivo. Los esquemas propuestos y los cifrados de rondas reducidas son sujetos de investigación más seguros que los algoritmos desplegados que protegen las comunicaciones actuales.

Un fallo generado por IA en un protocolo común crearía obligaciones contrapuestas. Los investigadores necesitarían suficiente apertura para una verificación independiente, pero una publicación prematura podría proporcionar a los atacantes un método operativo.

Los proveedores de modelos también podrían disponer de capacidades materiales antes de que las instituciones externas tengan un acceso comparable. Esa asimetría plantearía preguntas sobre supervisión, plazos de divulgación y quién decide qué investigación se publica.

Esos problemas de gobernanza no invalidan el argumento defensivo. Muestran por qué la capacidad de investigación y la capacidad institucional deben crecer juntas.

Tres señales mostrarán si la IA hace que la criptografía sea más segura

La próxima fase depende de la reproducibilidad, la adopción por parte de los estándares y de si los sistemas de verificación escalan junto con los descubrimientos generados por modelos.

La primera señal es la reproducción independiente del ataque a HAWK. Investigadores externos deberían confirmar el automorfismo no trivial, la estimación de 2^38 para HAWK-256 y el efecto sobre parámetros mayores.

La reproducción reforzaría la afirmación de que un modelo agéntico encontró una debilidad significativa que pasó inadvertida durante una extensa revisión pública. Correcciones importantes debilitarían las afirmaciones sobre la fiabilidad investigadora de Claude.

La segunda señal es el tratamiento de HAWK y candidatos similares por parte de NIST. Los revisores podrían rechazar HAWK, revisar sus parámetros, solicitar más análisis o decidir que otras ventajas justifican mantenerlo en consideración.

El resultado exacto importa menos que el proceso. Los organismos de estándares necesitan una forma repetible de aceptar presentaciones asistidas por IA sin rebajar los requisitos probatorios.

El criptoanálisis generado por IA debe enfrentar el mismo escrutinio matemático que el trabajo humano. También puede requerir registros adicionales que cubran ajustes de inferencia, infraestructuras de apoyo, acceso a herramientas, rutas fallidas e intervenciones humanas.

La tercera señal es la prometida ampliación de la evaluación pública por parte de Anthropic. La empresa afirmó que planeaba un taller académico y más publicaciones sobre ataques contra otros cifrados de rondas reducidas.

Anthropic informó de un ataque preliminar contra LEA de 13 rondas que se ejecuta en menos de una hora en un ordenador de escritorio moderno. LEA completo utiliza 24 rondas, por lo que ese resultado tampoco tiene un impacto inmediato en producción.

También describió un ataque contra seis rondas de Serpent-128, cuyo diseño completo utiliza 32 rondas. Otras mejoras limitadas, según se informa, involucraron Salsa20, Poseidon y SHA-1.

Estas afirmaciones posteriores necesitan artículos, código, revisión externa y modelos de amenaza precisos. Un flujo constante de resultados confirmados de forma independiente respaldaría la interpretación optimista de Green.

En cambio, una avalancha de afirmaciones poco claras o duplicadas apuntaría al cuello de botella de la verificación. Entonces el campo necesitaría mejores filtros antes de ampliar el volumen bruto de descubrimientos.

A más largo plazo, los investigadores deberían observar si los modelos pasan de atacar variantes reducidas a evaluar diseños candidatos completos. Las primitivas de producción con todas las rondas establecen un listón mucho más alto.

También deberían medir con qué frecuencia la IA encuentra fallos antes que los revisores humanos. Las historias individuales de éxito son informativas, pero las comparaciones sistemáticas revelarían si los modelos amplían la cobertura o simplemente duplican el trabajo experto.

La especificación de HAWK y los materiales públicos asociados ofrecen el entorno adecuado para esa prueba. Las especificaciones abiertas permiten a equipos independientes cuestionar tanto el diseño como el análisis de Anthropic.

Las organizaciones no necesitan modificar el AES desplegado debido a esta investigación. Deben seguir las directrices criptográficas aprobadas, inventariar las dependencias heredadas de criptografía de clave pública y preparar planes de migración poscuántica.

Los responsables de seguridad también deberían establecer procedimientos para recibir hallazgos asistidos por IA. Esos procedimientos necesitan triaje técnico, requisitos de reproducibilidad, canales de divulgación y una propiedad clara de las decisiones de remediación.

Los investigadores deberían preservar los resultados negativos. Los enfoques fallidos pueden evitar trabajo duplicado, revelar limitaciones de los modelos y mostrar si un éxito declarado surgió de una búsqueda sistemática o de una suerte excepcional.

El intercambio entre Anthropic y Simon capta, en última instancia, una rara alineación entre capacidad y necesidad. La IA está mejorando en matemáticas adversariales precisamente cuando el mundo necesita un escrutinio más amplio de supuestos de seguridad desconocidos.

El optimismo de Green sigue siendo condicional. El criptoanálisis con IA fortalece la seguridad solo cuando los humanos pueden validar su salida, revisar diseños débiles y coordinar divulgaciones antes de que los atacantes obtengan una ventaja.

¿Construirán las organizaciones de estándares esa capacidad mientras los objetivos siguen sin desplegarse? Desarrolladores, investigadores y equipos de seguridad deberían seguir de cerca las tres señales: reproducción independiente, la respuesta de NIST y la calidad de las próximas divulgaciones de Anthropic.

Esas señales revelarán si el trabajo de Claude inaugura una era más segura de revisión criptográfica continua o simplemente crea una cola más rápida de afirmaciones a la espera del juicio humano.