Cinco semanas del verano de 2026
La mayoría de nosotros esperamos con ilusión la llegada del verano.
La gente sale del trabajo un poco antes, se va de vacaciones y se desconecta de la rutina diaria y del estrés. Sin embargo, los criptoanalistas —aquellas personas que dedican su tiempo a intentar encontrar vulnerabilidades en los sistemas criptográficos— no son como la mayoría de la gente, y el verano de 2026 es el ejemplo perfecto que lo demuestra.
En las últimas semanas (cinco en el momento de redactar este artículo) se ha producido una oleada de avances (afirmaciones de ataques y resultados confirmados) en aspectos importantes de la criptografía poscuántica.
A partir del 23 de julio,, Woselowski publicó un preimpresión con un algoritmo que mejora la solución más conocida al problema de la isogenia supersingular. Esto supone una reducción del margen de seguridad estimado para esquemas como SQIsign, que actualmente se encuentra en proceso de normalización por parte del NIST. Las consecuencias concretas sobre los parámetros aún están por determinar.
Solo unos días después, el 28 de julio,, apareció un llamativo entrada de blog de Anthropic que contenía dos ataques destacados. Anthropic afirma que los trabajos se realizaron principalmente mediante inteligencia artificial y que posteriormente fueron verificados por personas. Las víctimas fueron HAWK —que también se encontraba en proceso de normalización por parte del NIST— y una versión simplificada del AES-128, con 7 rondas en lugar de 10. Si bien este último resultado no tiene repercusiones inmediatas en el esquema AES completo, el ataque correspondiente a HAWK redujo a la mitad la clave secreta, y el equipo lo retiró del proceso de normalización.
El 31 de julio,, se presentó un borrador preliminar acaparó los titulares en la comunidad criptográfica. Daniel Simon (conocido por sus contribuciones al desarrollo inicial de la computación cuántica) describió un algoritmo cuántico que resolvería resolver el problema de los cosets diédricos (DCP) en tiempo polinomial. Aunque a primera vista este algoritmo pueda no parecer nada alarmante para la mayoría de la gente, en realidad supondría un duro golpe para la criptografía de retículos, ya que pondría en peligro la confianza que tenemos en la seguridad cuántica de ML-KEM (FIPS 203), ML-DSA (FIPS 204), FalconDSA (FIPS 206), etc. Aproximadamente dos semanas después, Gupte, Ragavan y Zhandry demostraron que este argumento no puede conducir a ningún tipo de solución eficiente para el DCP y, por lo tanto, el esquemas que se verían afectados permanecen intactos.
La última novedad lo presentaron Ghoshal, Ishai, Jain y Sun el 10 de agosto en relación con el algoritmo clásico de McEliece. La contribución tiene dos vertientes. La primera es un discriminador clásico de tiempo cuasipolinominal (es decir, cuasi-eficiente) para una clave pública: un algoritmo capaz de distinguir una clave pública del ruido aleatorio. Antes de este artículo no existía ningún discriminador de este tipo; sin embargo, tampoco tiene implicaciones inmediatas para la seguridad del esquema. La segunda contribución es un ataque de descifrado heurístico con la misma complejidad asintótica. Ninguno de los dos algoritmos es viable en la práctica, y la corrección de este último aún no se ha confirmado. No obstante, si se confirma la validez del ataque de descifrado, podría suponer una reevaluación completa de la seguridad y los parámetros del esquema. Un trabajo posterior de Vedenev propuso una forma de convertir el discriminador en un ataque de recuperación de clave, pero esta estrategia resultó posteriormente resultó ser notablemente ineficaz por Daniel Apon.
Este verano ha sido, sin duda, uno para el recuerdo.
«Broken» no es un valor booleano
La criptografía es objeto de constantes ataques.
La seguridad de los sistemas criptográficos de clave pública depende de que ciertos problemas matemáticos sean difíciles de resolver. Estos problemas se van simplificando con el tiempo, gracias a nuevos avances en el campo de las matemáticas, nuevos trucos algorítmicos y una mayor capacidad computacional. La comunidad criptográfica trabaja constantemente en la mejora de los algoritmos que resuelven estos problemas difíciles, intentando descifrarlos o, al menos, resolverlos más rápido. Estos ataques no siempre dan lugar a un descifrado completo; al contrario, la gran mayoría de ellos suponen mejoras incrementales, pero lo más importante es que contribuyen a comprender mejor qué es lo que hace que el problema sea difícil.
Dicho esto, cada uno de los ataques presentados en las últimas semanas ha tenido implicaciones diferentes para el sistema en cuestión, así como para los usuarios y las personas que lo utilizan.
| Trabajo | Objetivo | Fase del ciclo de vida | Qué significa esto para un CISO o un equipo de seguridad |
| Wesolowski (ePrint 2026/1486, 23 de julio) Algoritmo genérico más rápido para el problema de la isogenia supersingular | SQIsign (y otros esquemas de isogenia relacionados) | Atrapado en fase de preestandarización. SQIsign se encuentra actualmente en proceso de estandarización. No está implantado en ningún sitio. | No hay nada que hacer. Los equipos no están ejecutando SQIsign. Presta atención a las posibles actualizaciones de los parámetros si lo estás siguiendo como una posible opción compacta para las firmas. |
| Anthropic (28 de julio), además de otros artículos independientes relacionados | HAWK | Pillado preestandarización.
HAWK se encontraba en proceso de normalización, pero se retiró tras el ataque. |
No hay nada que hacer. El HAWK ya no está en la lucha. Un dato a destacar es cómo se descubrió (gracias a un esfuerzo impulsado por la IA). Cabe esperar que aumente el ritmo del criptoanálisis de los candidatos. |
| Anthropic (28 de julio) | AES-128 (7 de 10 rondas) | Se ha aplicado el estándar, pero el resultado se basa en una variante debilitada y, aun así, no resulta práctico (~2^105 textos en claro seleccionados) | No hay nada que hacer. El AES completo no se ve afectado; se trata solo de un avance académico incremental. Vale la pena saberlo para poder responder con claridad a la pregunta «¿La IA ha descifrado el AES?» no. |
| Simon (ePrint 2026/1591, 31 de julio); refutado por Gupte, Ragavan y Zhandry (2026/1693, 15 de agosto) | Problema de los cosets diedrales → habría habría socavado ML-KEM, ML-DSA y otros esquemas de retícula frente a los ordenadores cuánticos | Normas aplicadas y construcciones seleccionadas. Sin embargo, la reclamación fue refutada con una prueba verificada automáticamente en un plazo aproximado de dos semanas. | No hay nada que hacer. Continuar con la migración a PQC según lo previsto. Conclusión: incluso la reclamación de un investigador serio contra los estándares básicos fue analizada minuciosamente y resuelta con rapidez. Si en el futuro se mantiene alguna reclamación, cabe esperar directrices del NIST y la CISA. No reaccionéis ante los preprints. |
Los trabajos sobre criptoanálisis tienen distintos tipos y niveles de repercusión. A continuación, presentamos una lista informal de categorías ordenadas según su importancia.
- No se ha encontrado ninguna deficiencia. Estos pueden ser, por ejemplo, intentos fallidos de resolver problemas fundamentales (el trabajo reciente de Simon, el artículo de Chen de artículo de 2024, el artículo de Eldar y Shor de 2016) o resultados que refuerzan las hipótesis de dificultad (el resultado de OpenAI sobre el CVP).
- Se ha detectado una vulnerabilidad en una estructura muy similar. Se trata de iniciativas destinadas a comprender la seguridad de una construcción importante mediante el ataque a una variante estrechamente relacionada (el reciente análisis del AES realizado por Anthropic).
- Erosión asintótica de la seguridad y pequeñas mejoras algorítmicas. Pueden tratarse de ataques marginales pero directos a la construcción principal, o de resultados que refinan la estimación de los recursos necesarios para un ataque determinado. Las aportaciones de los trabajos de esta categoría son lo suficientemente pequeñas como para no ser noticia, y su impacto suele ser difícil de cuantificar (el trabajo de Woselowski sobre isogenias).
- Un deterioro significativo de la seguridad y estimaciones de recursos inesperadas. Pueden tratarse de ataques directos (a menudo procedentes de vectores poco explorados) que tienen implicaciones significativas para la seguridad del sistema (el reciente ataque de Anthropic contra HAWK); o también pueden ser una nueva estimación de recursos que cambie el paradigma sobre cómo se modelan los ataques reales (la estimación de Google sobre la resolución de DLP a principios de este año, lo que ha cambiado las reglas del juego y ha dado lugar a plazos más ajustados para la migración a la PQC).
- Ruptura total. Se trata de ataques que invalidan por completo la hipótesis de seguridad de un esquema concreto (Castryck y Decru ataque contra SIKE en 2022).
- Colapso de los supuestos fundamentales. Esto ocurre cuando surge una amenaza inminente para los fundamentos de uno o varios esquemas (el algoritmo cuántico de Shor para resolver la factorización y DLog), lo que provoca el abandono de todos los esquemas afectados.
Erosión progresiva y fallo repentino: aquello para lo que es difícil prepararse.
La erosión pasa desapercibida de un día para otro, pero resulta sorprendentemente evidente al cabo de unos años.
De las categorías (no oficiales) anteriores, la I y la II tienen pocas o ninguna consecuencia práctica inmediata en materia de seguridad; por otro lado, la IV, la V y la VI son bastante infrecuentes, pero también lo suficientemente importantes como para llamar la atención de personas tanto dentro como fuera del ámbito. El único tipo de resultado trascendental que nunca aparece en los titulares es el de la categoría III y esto, en cierto sentido, lo convierte en el más peligroso. Cuando aparece un trabajo de la categoría III, en realidad no se rompe nada; todo sigue funcionando, no hay ningún CVE, ni aviso oficial, ni plazo concreto para la migración. Lo único que ha ocurrido es que el coste de resolver el problema central más difícil ha cambiado: ahora resulta más fácil. En muchos de estos casos, la traducción del resultado teórico a parámetros concretos queda como una cuestión abierta, lo que dificulta que todo el mundo sepa cuáles son las consecuencias reales.
Mantenerse al día de los constantes avances en criptoanálisis resulta agotador, y más aún cuando es necesario evaluar las implicaciones concretas de cada resultado. Por lo tanto, no es razonable esperar que los equipos de seguridad estén pendientes de la progresiva erosión de la seguridad de su infraestructura criptográfica. Tampoco es razonable esperar que nadie pueda predecir el futuro.
HAWK se propuso como esquema en 2022. Finalmente, se retiró del proceso de normalización del NIST en 2026 —tras tres rondas del proceso— después de haber sufrido una reducción significativa (e inesperada) de su seguridad. Pero la historia más extraordinaria es la de SIKE. El esquema en sí se propuso inicialmente en 2011, y no fue hasta 2022 —en la cuarta y última ronda del proceso de normalización del NIST para los KEM— cuando se descubrió una ruptura clásica completa. No se necesitaron ordenadores cuánticos. Aunque para algunos criptógrafos esto no fue una sorpresa total, sin duda resultó inesperado para la mayoría de las personas que trabajaban en las normas. De lo contrario, no habría llegado a la última ronda. Esto constituye un ejemplo notable de cómo se pueden descubrir vulnerabilidades de forma inesperada, incluso tras más de una década de análisis.
La velocidad del reloj ha cambiado, el margen de tiempo se está reduciendo
La IA está cambiando las reglas del juego.
Todos hemos notado cómo se ha acelerado el ritmo del desarrollo —en todos los ámbitos— desde la aparición de la IA generativa. Las cargas de trabajo «agenticas», los «harnesses» y los modelos de vanguardia, cada vez más potentes, han ampliado aún más las posibilidades de la IA. Lo que antes llevaba años, ahora puede hacerse en tan solo unas semanas. Lo que antes requería a varios expertos ahora puede llevarlo a cabo un pequeño grupo de personas con conocimientos y acceso a modelos de vanguardia. Esto también es válido para el criptoanálisis. Ya estamos en camino de alcanzar cerca de 400 trabajos sobre criptoanálisis (en eprint.iacr.org) para este año, frente a un total de 325 para 2025 y 318 para 2024. Además, estos nuevos ataques asistidos o dirigidos por la IA suelen ser también de mejor calidad. Los agentes con acceso a herramientas de verificación formal como Lean o Tamarin pueden utilizarlas para detectar vulnerabilidades en protocolos y primitivas criptográficas. Y podemos observar esta aceleración si echamos un vistazo a la cronología de HAWK: la construcción resistió dos rondas completas y cuatro años de revisión por parte de expertos humanos, pero solo hicieron falta 60 horas de trabajo de la IA (y 100 000 dólares en uso de la API) para encontrar una vulnerabilidad significativa.
Los criptoanalistas no dejarán pasar la oportunidad de utilizar estas herramientas. Además —y esto resulta algo más preocupante— muchas estructuras que se utilizan actualmente han recibido menos atención y escrutinio de lo que merecen, y es muy probable que muchas de ellas encierren vulnerabilidades que hasta ahora han permanecido latentes. En el caso de los estándares del NIST y otras estructuras que llevan décadas en uso, esto es poco probable. Pero en el caso de los protocolos a medida, las soluciones poco conocidas y propietarias de los proveedores, las bibliotecas de desarrollo propio y los estándares que solo se han revisado superficialmente, lo mejor es que te prepares para que se descubran vulnerabilidades a un ritmo sin precedentes. Las herramientas de criptoanálisis nunca han sido tan potentes y accesibles, y las barreras de entrada al criptoanálisis nunca han sido tan bajas.
Y no se trata solo de la IA.
En los últimos meses también ha mejorado considerablemente la comprensión de cómo implementar algoritmos en ordenadores cuánticos reales. Los trabajos del grupo de IA cuántica de Google, Iceberg Quantum, y Oratomic han acercado aún más la meta cuántica, demostrando que un ordenador cuántico «lo suficientemente grande» como para descifrar algoritmos criptográficos es, en realidad, mucho más pequeño de lo que pensábamos. Como respuesta, varias empresas, como Google, Microsoft y Cloudflare, así como el Gobierno de EE. UU., han reevaluado y endurecido sus planes de migración cuántica. El objetivo ahora es 2029.
La agilidad, lo que te permite dormir tranquilo por las noches
No puedes preocuparte por todo. Aún tienes que dormir.
Si eres director de seguridad de la información (CISO), director de riesgos, responsable de seguridad o cualquier persona encargada de la seguridad en tu empresa, no puedes perder el sueño por cada posible ataque. Lo que realmente debería quitarte el sueño no es la pregunta «¿Es seguro ML-KEM?». Esa pregunta no es para ti, ni tampoco para nadie más de tu organización. Probablemente, todos los expertos del mundo cualificados para analizar el ataque de Simon a la criptografía de retícula cabrían en una sola habitación. Tú estás a cargo de la seguridad de tu empresa, y la idea de que debería mantenerte despierto es
«Si ML-KEM no es seguro, ¿qué pasará el lunes?»
Si te encuentras en esa situación, tu forma de actuar y lo que puedas hacer dependerán de la infraestructura de la que dispongas. Lo ideal sería que tuvieras acceso a un botón que dijera «Sustituir ML-KEM por un KEM seguro». Ese concepto se denomina agilidad criptográfica. No pretende prevenir ataques ni hacer que ningún esquema criptográfico sea más seguro. La agilidad tiene como objetivo proporcionar a cualquier responsable de seguridad un plan concreto y viable sobre qué hacer en caso de que algún componente criptográfico deje de ser seguro, ya sea porque la seguridad se ha ido erosionando progresivamente o porque se ha detectado una vulnerabilidad grave e inesperada.
Por suerte, ML-KEM sigue siendo seguro, así que aún tienes tiempo de hacerte con ese botón mágico para intercambiar.
La agilidad no es suficiente
No hay ninguna solución milagrosa.
La agilidad criptográfica es una herramienta con visión de futuro, y eso se nota especialmente en lo que respecta a la confidencialidad. Si se ve comprometida la generación de una clave o un esquema de cifrado, todos los textos cifrados que dependan de ese esquema ya son legibles —se han perdido— por muy rápido que se cambie el esquema una vez que se ha producido la brecha de seguridad. La agilidad protegerá las sesiones futuras, así como las firmas y los certificados, pero no recuperará la confidencialidad perdida. Recoger ahora, descifrar después no son exclusivos de los adversarios cuánticos, y solo las opciones conservadoras —como los esquemas híbridos— pueden ayudar de forma realista en este sentido.
La agilidad sin visibilidad es como un cuerpo de bomberos sin mapa de la ciudad. Puede que seas capaz de cambiar rápidamente cualquier esquema con solo pulsar un botón, pero ese botón solo puede cambiar el esquema allí donde sabe que se está utilizando. La detección y el inventario es, por lo tanto, el primer paso y el más fundamental para llevar a cabo cualquier acción dentro de tu infraestructura criptográfica. Un CBOM no es suficiente. Para que sea eficaz, necesitas un inventario actualizado que te ofrezca visibilidad sobre los elementos criptográficos más importantes de la organización.
Un último aspecto que hay que tener en cuenta es que la agilidad, si no se implementa correctamente, puede causar más daño que beneficio. Una agilidad mal aplicada es un punto potencial de fallo; puede ser objeto de ataques de degradación, manipulación de parámetros, sustitución de algoritmos, etc. La propia agilidad se convierte en un objetivo de los ataques, por lo que es necesario implementarla correctamente, probarla y mantenerla de forma adecuada.
Tu plan para el lunes por la mañana
Prepárate una buena taza de café. Va a ser un día largo, pero que merecerá la pena.
La agilidad criptográfica es el resultado de contar con un sistema completo estructurado adecuadamente en torno a tu infraestructura criptográfica. El lunes por la mañana es el momento perfecto para empezar a ponerlo en marcha. Puedes plantearte a ti mismo y a tu equipo las siguientes preguntas para orientaros en el proceso.
- ¿Tienes suficiente visibilidad? ¿Dispones de un proceso para evaluar y priorizar los riesgos? Establecer identificar los elementos criptográficos y crear un inventario centralizado, exhaustivo y actualizado es el primer paso, y el más fundamental, para seguir adelante.
- ¿Está realmente protegido todo lo que debe protegerse? Detecta las cargas de trabajo y los agentes de IA que carecen de una identificación adecuada y expide los certificados; identifica los dispositivos y los flujos de trabajo que utilizan criptografía obsoleta y actualízala; identifica los límites de confianza que requieren firmado.
- ¿Dispones de un control centralizado y suficiente sobre tu infraestructura criptográfica? ¿Está debidamente automatizado el ciclo de vida de las claves y los certificados? La criptografía está presente en todas partes, y la gestión manual y descentralizada no es escalable. ¿Qué sí es escalable? El control centralizado y automatizado.
Así es como se consigue la agilidad.
Tus planes para el fin de semana
Descansa tranquilo, ML-KEM está a salvo.
El ataque de Simon a los sistemas de celosía ha quedado desmentido tan solo un par de semanas después de hacerse público. No es la primera vez que un investigador destacado realiza un intento sincero de romper los fundamentos de la criptografía ampliamente utilizada: en 2022, Yilei Chen propuso un algoritmo cuántico para romper los sistemas de celosía; Claus P. Schnorr intentó romper el RSA de forma clásica en 2021; Lior Eldar y Peter Schorr también propusieron un método cuántico diferente para romper las redes en 2016. En todos estos casos, la comunidad en general detectó un fallo en cuestión de semanas. El sistema funciona. Pero, en este caso, «el sistema funciona» se refiere a la parte del criptoanálisis relacionada con el descubrimiento —eso se lo puedes dejar a los criptógrafos—; no se refiere a la parte de la corrección, y la parte de la corrección es responsabilidad tuya.
Una vez que se haya implementado la agilidad criptográfica, podrás disfrutar del fin de semana a tu aire.
