IA en la criptoinvestigación Mythos Preview ajusta los márgenes de seguridad de HAWK-256 y AES-128 sin afectar la producción

Anthropic ha anunciado dos resultados criptanalíticos obtenidos con la ayuda de su modelo de investigación Mythos Preview que, aunque no rompen sistemas en producción, modifican la evaluación del margen de seguridad en escenarios concretos: una recuperación de clave de extremo a extremo contra el parámetro de reto HAWK-256 y una aceleración sustancial de un ataque contra AES-128 reducido a siete rondas. Ambos hallazgos son técnicamente relevantes para la comunidad criptográfica, pero ninguno exige cambios inmediatos en software de producción.

En el caso de HAWK, la aportación clave fue la identificación de una automorfía adicional en la estructura de la red (lattice) que permite reducir la búsqueda criptanalítica a un problema de dimensión sensiblemente menor. Esa reducción, articulada por Anthropic como construcción del llamado τ-cocycle lattice seguida de reducción de red y sieving, dio lugar a una implementación pública que, según la propia empresa, recupera una clave funcional equivalente para HAWK-256 en una estimación de alrededor de tres horas y 42 minutos en un servidor de 96 núcleos. Importa subrayar que HAWK-256 es un parámetro de desafío usado como blanco para análisis, no la configuración que NIST considera para sus niveles de seguridad (HAWK-512 y HAWK-1024); por tanto, las versiones que buscan ofrecer resistencia práctica permanecen, por ahora, fuera de alcance realista del ataque.

Anthropic cuantifica la repercusión: una reducción del trabajo esperado para HAWK-256 de 2^64 a 2^38 y ajustes en las estimaciones de coste cuántico (gate-count) para los parámetros superiores, aunque ambos conjuntos mayores siguen siendo imprácticos de atacar. La técnica no constituye una quiebra en tiempo polinómico ni una debilitación general de la criptografía basada en redes, y los autores advierten que la mejora no se extiende automáticamente a otros candidatos o familias criptográficas.

El trabajo sobre AES-128 es de naturaleza distinta: estudia la seguridad residual frente a ataques sobre versiones reducidas del algoritmo —una práctica estándar para medir margen— y presenta la llamada construcción Möbius Bridge, una invariante que permite eliminar una enumeración de 256 posibilidades en un ataque meet-in-the-middle existente. Aunque esto produce una aceleración estimada de 200 a 800 veces en la etapa afectada, el vector completo para siete rondas sigue exigiendo un número de textos elegidos completamente impráctico (del orden de 2^105), por lo que no hay riesgo operativo sobre AES en implementaciones reales de 10 rondas.

Más allá de los detalles técnicos, la parte institucional de la historia es relevante: Anthropic publicó artículos técnicos y artefactos reproducibles y afirma que Mythos Preview generó la mayor parte de los descubrimientos, con orientación humana, recursos de cálculo y una fase de verificación extensa. La empresa también ha publicado código que ataca exclusivamente HAWK-256 y contiene claves públicas de prueba; sin embargo, al cierre de esta reseña no consta en el registro público una reproducción independiente confirmada del ataque completo sobre HAWK-256. La ausencia de una reproducción independiente es un punto crítico que la comunidad debe abordar.

Para el proceso de estandarización post-cuántica de NIST —en el que HAWK fue el único esquema basado en redes llevado a la tercera ronda adicional en mayo de 2026— estos resultados modifican la evaluación de riesgo sobre parámetros de desafío y recalcan la importancia de análisis continuos. Es probable que NIST y los proponentes de HAWK revisen y discutan estas cifras; no obstante, por el momento no hay indicio público de cambios en el estatus del esquema. Puede seguirse la documentación del proyecto de NIST aquí: https://csrc.nist.gov/projects/post-quantum-cryptography.

Para administradores de sistemas, responsables de producto y equipos de seguridad la recomendación práctica es sencilla: no hay necesidad de medidas de emergencia. Las implementaciones en producción no dependen de HAWK-256, y las variantes con los parámetros dirigidos por NIST mantienen su recomendación operativa. Aun así, conviene monitorizar las declaraciones del equipo de HAWK y de NIST, revisar la reproducibilidad del código publicado y, en escenarios de transición post-cuántica, preferir parámetros con márgenes establecidos y bien auditados.

Para investigadores y equipos de evaluación de riesgos criptográficos, el caso es instructivo en dos frentes: primero, ejemplifica cómo nuevas simetrías algebraicas pueden abrir rutas de ataque que antes parecían cerradas; segundo, demuestra la creciente relevancia de modelos de lenguaje avanzados como asistentes en investigación compleja. Eso implica una doble obligación: explotar las oportunidades creativas que ofrecen estos modelos y, simultáneamente, reforzar prácticas de verificación, revisión por pares e independencia experimental. Anthropic ha divulgado prompts, iteraciones y medidas de coste (junto con un coste estimado de API cercano a los seis dígitos), lo que facilita la auditoría externa; la comunidad debería priorizar la reproducción y el escrutinio.

En términos de política y gobernanza, el episodio sugiere que los organismos de estandarización deberían incorporar mecanismos explícitos para evaluar resultados asistidos por IA, exigir artefactos reproducibles y favorecer la transparencia en los procesos de verificación. La criptografía permanece basada en pruebas y reproducibilidad: los descubrimientos asistidos por IA no cambian ese principio, solo aceleran la necesidad de controles rigurosos.

Puesto que Anthropic ha puesto sus materiales y código a disposición pública, quienes deseen examinar los artefactos y las publicaciones pueden comenzar por las páginas oficiales de la empresa y sus repositorios: https://www.anthropic.com/research y https://github.com/anthropic. La comunidad académica y de ingeniería debería replicar, extender y someter a prueba las afirmaciones; la confirmación independiente es el paso que transformará un hallazgo interesante en un cambio de política o de parámetros.

En resumen, los trabajos reportados por Anthropic representan avances útiles para la evaluación de márgenes de seguridad y muestran la capacidad de modelos de gran tamaño como herramientas de investigación avanzada. Sin embargo, las conclusiones son circunscritas: afectan un parámetro de reto y una versión reducida de AES, no descarrilan los esquemas recomendados ni exigen parches inmediatos en sistemas en producción. La lección práctica es clara: vigilancia, verificación y diálogo entre equipos de estandarización, autores de propuestas y la comunidad de investigadores para traducir hallazgos técnicos en decisiones informadas.