Mythos tumba a HAWK: la IA de Anthropic no ha roto el cifrado, ha matado a un candidato post-cuántico

Lo que ha pasado de verdad (sin el tráiler de Hollywood)

Anthropic ha sacado a pasear Mythos, su modelo orientado a seguridad, y el resultado no es una película de hackers ni el fin del cifrado. Es algo más concreto e incómodo: un candidato de criptografía post-cuántica de tercera ronda del proceso de estandarización del NIST, llamado HAWK, acaba de ser retirado por su propio desarrollador después de que Mythos encontrara un fallo que reduce a la mitad la fuerza efectiva de sus claves.

La historia la contó Ars Technica el 29 de julio de 2026. Conviene leerla con el freno de mano puesto, porque el titular fácil (“la IA rompe la cripto post-cuántica”) es basura. HAWK no era un estándar oficial. Era un candidato. Había sobrevivido dos rondas de evaluación del NIST y estaba en la tercera, la fase diseñada para pillar este tipo de problemas antes de que nadie lo meta en un producto de verdad.

Eso no le quita gravedad. Le cambia el marco. No estamos ante un algoritmo desplegado en bancos y VPNs que se ha caído en producción. Estamos ante un proceso de estandarización que se supone lento, pedante y lleno de doctorados, al que un modelo de IA con guía humana le ha metido un golpe en tiempo de laboratorio y con un presupuesto que, para una Big Tech, es calderilla.

Qué es HAWK y por qué importaba (hasta ayer)

HAWK es (era) un esquema de firma digital post-cuántica. Traducción de bar: las firmas digitales demuestran que un mensaje, un software o un certificado viene de quien dice venir y no lo ha tocado un indeseable por el camino. “Post-cuántica” significa que está pensado para aguantar no solo a ordenadores clásicos, sino a los cuánticos del futuro, que en teoría podrían destrozar RSA y las curvas elípticas de toda la vida.

El NIST lleva años con un proceso abierto para elegir algoritmos post-cuánticos (PQC). No es un concurso de belleza: es una criba brutal donde la comunidad ataca, mide y descarta. HAWK había pasado dos rondas. Eso no lo convertía en oro puro; lo convertía en “todavía no le hemos encontrado el agujero obvio”. La tercera ronda existe para pillar fallos más sutiles.

El fallo que encontró Mythos no es un “oops, dejamos una puerta abierta”. Ataca la base matemática en la que HAWK apuesta su resistencia cuántica: el Lattice Isomorphism Problem (problema del isomorfismo de retículos). Los retículos, en cripto, son estructuras matemáticas que se usan como terreno hostil: fáciles de describir, jodidas de invertir si no tienes la llave. HAWK dependía de que ciertas simetrías de esos retículos fueran difíciles de encontrar. Mythos dio con un método nuevo para localizar automorfismos (simetrías internas de la estructura) y con eso rebajó la seguridad efectiva de las claves a la mitad.

Mitad de fuerza de clave no suena a apocalipsis hasta que recuerdas cómo funciona la seguridad en bits. En cripto, “te he bajado la fortaleza a la mitad” suele significar que el trabajo del atacante cae de forma brutal en la escala logarítmica que usamos para medir estas cosas. Sophie Schmieg, experta en PQC de Google, lo resumió sin anestesia: “HAWK is dead”. Su argumento, recogido en la pieza de Ars, no es misticismo: con ese fallo, HAWK deja de ser competitivo frente a alternativas que ya están en el tablero, como ML-DSA y FN-DSA. No hace falta enterrar un ataúd sellado; basta con que deje de merecer el esfuerzo frente a lo que ya hay.

El desarrollador lo retiró. Fin de la candidatura. Eso, en términos de proceso NIST, es el sistema funcionando… con un asterisco del tamaño de un rack de GPUs.

Cómo lo hizo Mythos: no magia, sino currar barato y rápido

Aquí viene el dato que debería quitar el sueño a más de un comité de estándares, y no porque la IA “piense” como un criptoanalista genio.

Según el relato de Anthropic recogido por Ars Technica:

• El ataque a HAWK requirió del orden de 60 horas de trabajo.
• El coste de cómputo rondó los 100.000 dólares.
• Lo guió un investigador de Anthropic sin expertise en criptografía.
• Mythos operó de forma semi-autónoma: revisión de literatura, experimentos computacionales, y colaboración entre dos agentes que al principio no estaban de acuerdo.

Lee eso otra vez. No es “la IA inventó matemáticas nuevas en una noche de lluvia”. Matthew Green, catedrático de criptografía en Johns Hopkins, lo subrayó con precisión de cirujano: el ataque combinó herramientas que ya existían en lugar de inventar matemática nueva. La gracia de Mythos no es que sea Ramanujan en silicio. Es que puede repescar técnicas conocidas, encadenarlas, pelearse internamente entre agentes y empujar el trabajo sucio (buscar simetrías, probar hipótesis, revisar papers) a una velocidad y con un perfil de operador que antes no entraba en la ecuación.

Un investigador sin background en cripto, con un modelo semi-autónomo y un presupuesto de seis cifras modestas (para el sector), deja fuera de juego a un candidato que había aguantado dos rondas del NIST. Eso no demuestra que “la IA sustituye a los criptógrafos”. Demuestra que el coste de entrada para hacer criptoanálisis exploratorio serio se está moviendo. Y cuando se mueve el coste de entrada, se mueve quién puede permitirse mirar debajo de las piedras.

Anthropic presenta a Mythos como un sistema que no está tirado en la calle para todo el mundo: disponible para un grupo selecto. No constan en la cobertura detalles de API pública ni de self-host. Quien quiera montar la película de “cualquiera con ChatGPT tira algoritmos del NIST” que se busque otra guionista.

El otro golpe: AES de 7 rondas y el truco del Möbius Bridge

Para que no digan que solo fue un candidato oscuro, Anthropic también enseña trabajo sobre AES… pero hay que leer la letra pequeña antes de soltar el tuit.

El ataque no es contra AES tal como lo usas tú al abrir el banco. Es contra una versión debilitada de 7 rondas, una “challenge instance” montada para probar técnicas. El AES real que corre en el mundo usa más rondas (típicamente 10, 12 o 14 según el tamaño de clave). Atacar 7 rondas es un ejercicio clásico de criptoanálisis académico: se corta el perro para ver cómo muerde, no se suelta en la perrera municipal.

En ese tablero artificial, Mythos mejoró un ataque meet-in-the-middle usando un Möbius Bridge, bajando los textos en claro necesarios de 2^105 a 2^89. En cristiano: el meet-in-the-middle es la técnica de atacar un cifrado por los dos extremos y buscar el cruce en el medio, como dos equipos cavando un túnel desde lados opuestos. El Möbius Bridge es la pieza técnica con la que reorganizaron parte de esa búsqueda para necesitar menos material conocido. Reducir el exponente en ese orden es un resultado legítimo en el mundo de los challenges… y no equivale a decir que AES-128 o AES-256 en producción estén tocados.

Ars Technica y el propio marco del anuncio dejan claro el perímetro:

• Todos los ataques fueron sobre instancias de desafío debilitadas, especificadas para test.
• Los primitivos subyacentes, en su forma real, siguen considerándose seguros por ahora.
• Los métodos, fuera de laboratorio, parecen poco factibles con recursos normales.

Si alguien te vende “Mythos rompió AES”, te está mintiendo o no se ha leído más allá del titular. Punto.

La tesis que importa: no es el fin del cifrado, es el fin del ritmo humano de triaje

Aquí es donde hay que dejar de hacer de portavoz de Anthropic y poner el criterio encima de la mesa.

El proceso clásico de criptoanálisis y estandarización es deliberadamente lento. Papers, revisiones, implementaciones de referencia, ataques teóricos, ataques prácticos, idas y venidas durante años. Esa lentitud no es incompetencia: es el precio de no estandarizar basura. El NIST monta rondas para que la comunidad tenga tiempo de destrozar candidatos antes de que Cisco, Cloudflare o tu banco los traguen.

Anthropic sostiene (y esto es argumento de empresa, no ley natural) que el criptoanálisis impulsado por IA puede disrumpir el proceso humano de triaje y verificación de vulnerabilidades en ciberseguridad. Traducido: si el ritmo al que aparecen debilidades crece y el ritmo al que humanos senior las validan no, tienes un embudo. O un atasco. O, peor, un mercado donde quien tiene modelos y cómputo mira más piedras que quien solo tiene doctorandos y café malo.

Eso conecta con un debate más amplio que ya hemos tocado en esta casa: cuando la IA de ciberseguridad se convierte en arma de marketing, hay que separar el hito del truco. Lo vimos al hablar de si el modelo de Microsoft realmente “tumbaba” a Mythos en CyberGym o había trampa en el banco de pruebas. Misma familia de preguntas: ¿qué se midió, en qué instancia, con qué ayuda humana, y qué se puede extrapolar fuera del laboratorio?

También choca de frente con la manía de poner guardrails que, en la práctica, frenan a quien investiga en ofensiva mientras el atacante con recursos no pide permiso. Si te interesa ese ángulo, está desarrollado en por qué los guardrails te dejan sin defensores. Mythos, en la narración de Anthropic, es justo el reverso: un modelo empujado hacia el análisis ofensivo controlado, con humano en el bucle, no un chatbot castrado que se niega a explicar un padding oracle.

Y sobre ese humano en el bucle: aquí no es un adorno ético de PowerPoint. El investigador sin expertise en cripto guió el proceso. Los agentes se pelearon y colaboraron. Eso no convierte el human-in-the-loop en superhéroe ni en placebo automático; lo convierte en lo que siempre debió ser: dirección de búsqueda, no rubber stamp. Quien quiera la tesis larga de por qué el HITL se está vaciando de significado en otros productos la tiene en el human-in-the-loop como placebo. En este caso concreto, el humano importó porque acotó el problema y el modelo empujó el trabajo experimental.

Lo que NO puedes deducir aunque te apetezca

Hay que ser bordes con las extrapolaciones, porque es donde el humo se cuela.

No consta que Mythos se haya medido en serio contra RSA o ECC de producción en este anuncio. Lo que está sobre la mesa es HAWK y un AES de 7 rondas en modo challenge. Punto.

No consta la velocidad ni el coste de un ataque equivalente sobre AES completo de 10–14 rondas. Quien diga que “es cuestión de escalar el cómputo” está haciendo ciencia ficción barata sin dato.

No constan fechas exactas del hallazgo interno más allá del marco temporal relativo de la cobertura (“lunes”, “martes” respecto a la publicación de Ars). No inventamos calendario.

El coste de 100.000 dólares y 60 horas es el del caso HAWK según la fuente. No es automáticamente el coste de tumbar el siguiente candidato ni de atacar un sistema en producción. Puede ser representativo de un tipo de exploración… o puede ser el número bonito del anuncio. Anthropic tiene incentivos a lucir músculo; el lector tiene la obligación de no tragar marketing con forma de paper.

La viabilidad fuera de laboratorio es dudosa y el propio encuadre periodístico lo reconoce. Instancias de desafío no son VPN corporativas ni firmas de actualizaciones de tu móvil.

Y una lectura editorial, marcada como tal: incluso si los números son exactos, “investigador sin expertise + modelo semi-autónomo + seis cifras de cómputo” es un perfil de amenaza asimétrico para candidatos en evaluación, no una sentencia de muerte para ML-DSA, FN-DSA ni para el AES que cifró esta página. Mezclar ambos es el truco favorito del hype.

Por qué el NIST debería estar más nervioso que tu CISO

Tu CISO, hoy, no tiene que arrancar HAWK de ningún firewall: HAWK no estaba estandarizado como norma final de uso general en el sentido en que la gente entiende “el algoritmo oficial”. El proceso de tercera ronda hizo su trabajo de forma torcida pero efectiva: el candidato cae antes de clavar el sello.

Quien debería tener el café más amargo es quien diseña el ritmo de evaluación. Si un modelo puede hacer revisión de literatura, proponer líneas de ataque basadas en herramientas existentes y correr experimentos que un humano sin PhD en retículos solo tendría que pilotar, entonces:

1. El tiempo entre “candidato prometedor” y “candidato muerto” se comprime. Eso es bueno para la seguridad final y jodido para los equipos que compiten con papers bonitos y poca artillería de ataque.
2. La ventaja se va a quien tiene cómputo y modelos ofensivos, no solo a quien tiene la mejor intuición matemática en una pizarra. Green lo dijo sin dramatismo: no hace falta matemática nueva si puedes recombinar la vieja a escala.
3. El triaje humano se convierte en cuello de botella. Alguien tiene que verificar que el “hallazgo” del modelo no es una alucinación con pinta de paper. Eso cuesta senior time, no tokens.

Seamos justos: el proceso del NIST no está ciego. Lleva años incorporando criptoanálisis automatizado y la tercera ronda está diseñada para absorber hallazgos como este. Que un modelo de Anthropic encuentre un fallo no significa que el NIST no tuviera herramientas para encontrarlo por otras vías; significa que el hallazgo llegó más rápido y desde un perfil de atacante que antes no existía. La pregunta no es si el NIST es incompetente (no lo es), sino si el ritmo de las rondas actuales puede digerir un goteo de hallazgos acelerado por modelos que trabajan en horas, no en semestres. Hasta ahora, el sistema ha funcionado: HAWK cayó en la tercera ronda, no en producción. El riesgo no está en el diseño del proceso, sino en la velocidad a la que se acumulan los cadáveres de candidatos y el cuello de botella humano que los tiene que certificar.

Hay un matiz que los fans del apocalipsis cuántico se saltan: el hecho de que la tercera ronda pillara el fallo (vía Mythos + retiro del desarrollador) es argumento a favor del proceso abierto, no en contra. El escenario de mierda de verdad sería HAWK estandarizado, desplegado y roto cinco años después en silencio. Aquí ha muerto en el laboratorio de candidatos. Doloroso para quien lo diseñó; barato para el sector.

Criptografía post-cuántica sin romance

La PQC no es un hechizo. Es ingeniería bajo amenaza futura. Los algoritmos basados en retículos, códigos, hash y multivariate poly han sido peinados durante años porque sabemos que la amenaza cuántica no se negocia con notas de prensa. Que un candidato caiga no invalida la familia entera; invalida ese diseño con ese parámetro y esa reducción de seguridad.

Schmieg no dijo “los retículos han muerto”. Dijo que HAWK, con el fallo encima, no compite con ML-DSA y FN-DSA. Esa es la conversación adulta: comparación con alternativas reales, no pánico de salón. ML-DSA (Dilithium en la práctica de muchos despliegues) y las firmas de la familia Falcon/FN-DSA son justo el tipo de referencias que usa la gente que estandariza de verdad. Si tu esquema necesita que nadie encuentre automorfismos molestos y un modelo los encuentra en un fin de semana largo de cómputo, no eres “el futuro”: eres un candidate survivor que se acabó el crédito.

Para el lector que no vive en foros de IACR: esto no te pide cambiar la contraseña del WiFi esta noche. Te pide entender que la tubería de estándares de la próxima década se va a tensionar con herramientas que no existían cuando se diseñaron las reglas del juego del NIST.

Anthropic, el incentivo y la sombra del hype

Hay que decir lo que la fuente no va a poner en negrita: Anthropic sale beneficiada del relato. Tiene un modelo de seguridad que mostrar, un caso de uso ofensivo “responsable”, un número de dólares y horas fácil de citar, y el cadáver de un candidato PQC de tercera ronda encima de la mesa. Eso vende cara de seriedad ante gobiernos y equipos de red team.

¿Significa que se lo han inventado? No. El retiro de HAWK y las citas de Green y Schmieg anclan el asunto fuera del departamento de marketing. ¿Significa que hay que multiplicar por diez cada claim de “semi-autónomo”? Tampoco. Significa que el análisis adulto separa:

• Hecho: fallo en HAWK vía Lattice Isomorphism / automorfismos; retiro del candidato; cifras de ~60 h y ~100 k$; AES-7R con mejora 2^105 → 2^89 en plaintexts.
• Marco: challenges debilitados; primitivos reales aún seguros; métodos poco factibles fuera de lab.
• Narrativa de empresa: la IA va a reventar el triaje humano clásico de vulnerabilidades.

La narrativa puede ser parcialmente cierta y aun así estar inflada. Las dos cosas a la vez. Quien no tolere esa tensión debería dedicarse al merchandising de pegatinas, no a la seguridad.

Qué cambia para quien construye producto (y qué no)

Si montas sistemas y te tiembla el pulso:

• No hay acción de emergencia tipo “migra todo el fleet fuera de HAWK” para el 99,9 % de la industria, porque HAWK no era el cimiento de tu stack. Era un candidato.
• Sí hay señal de que las evaluaciones de algoritmos y de implementaciones van a necesitar más automatización ofensiva seria, no solo fuzzing cosmético y scanners de CVE.
• Sí hay motivo para mirar con lupa cualquier dependencia de esquemas “nuevos” que aún no han comido años de ataques reales. La moda de adoptar pronto por postureo post-cuántico tiene un reverso: adoptar pronto es adoptar con menos cicatrices.
• No conviertas a Mythos en mito. No es público general según la cobertura; no es un oráculo; no ha demostrado tumbar los estándares que de verdad corren hoy en tus TLS y tus discos cifrados.

La lección operativa es aburrida y por eso nadie la pone en LinkedIn: la seguridad de los primitivos sigue anclada en revisión humana brutal y tiempo. La IA, de momento, acorta el camino del atacante exploratorio y del red team con presupuesto. Eso mueve el reloj. No mueve, todavía, el suelo bajo AES real ni bajo los PQC que ya van camino de despliegue serio con más recorrido de análisis.

El remate sin moraleja

Mythos no ha “ganado la guerra de la cripto”. Ha contribuido a matar un candidato de tercera ronda del NIST explotando el Lattice Isomorphism Problem con un enfoque que, según Green, recombina herramientas existentes; lo ha hecho en unas 60 horas y unos 100.000 dólares de cómputo, con guía de alguien que no venía del gremio; y de propina ha enseñado un músculo legítimo sobre AES de 7 rondas que no se extiende al AES que importa en producción.

HAWK sale del ring porque Schmieg y los números tienen razón: con la fuerza de clave mermada, no compite con ML-DSA ni FN-DSA. El proceso NIST, en sentido amplio, hace su trabajo si los candidatos mueren antes del sello. La pregunta fea que queda encima de la mesa no es si tus chats de hoy están en la calle. Es quién podrá permitirse el próximo pase de criptoanálisis exhaustivo cuando el coste de peinar un esquema deje de medirse solo en años-hombre y empiece a medirse en horas-modelo y factura de cluster.

Eso no es el apocalipsis. Es un cambio de precio. Y en seguridad, cuando cambia el precio de atacar, cambia el mapa.