Qué ocurrió
Criptografía · Modelos de lenguaje · Capacidad de la IA · Verificación de fuentes · Informe de investigaciónAnuncio de Anthropic del 28 jul 2026 · registro a 28 ago 2026
Resumen ejecutivo · informe de una página
Lee los artículos, no solo la entrada
Anthropic afirma que su modelo aún sin publicar, Claude Mythos Preview, produjo dos resultados criptoanalíticos genuinos: un ataque mejorado de recuperación de clave contra el esquema de firma poscuántico HAWK, y un ataque más rápido sobre AES-128 de 7 rondas. Ambos se han publicado como artículos completos, y ambos son reales. Pero cada artículo también recoge una segunda cifra, menos favorable, para el mismo resultado, que la propia entrada de blog de Anthropic no menciona — una brecha que un revisor independiente de ambos documentos ya ha señalado públicamente.
Los dos resultados, y un banco de pruebas Ninguno amenaza a un sistema desplegado
- 200–800×Aceleración de AES-128 (7 rondas) que cita la entrada de Anthropic — a un coste de datos aún inviable
- 2.7bits — la mejora real que el propio artículo da bajo la métrica de complejidad equilibrada, frente a la base de 2013
- 2^108 / 2^182Coste de recuperación de clave de HAWK-512 / HAWK-1024 en puertas, desde 2^150 / 2^288 bajo el propio modelo de la especificación
- 85.7%Puntuación de Nivel 1 en CryptanalysisBench del modelo detrás de ambos ataques — la más alta de los cinco modelos evaluados
Fiabilidad Ordenado por el respaldo de cada afirmación
| Fiabilidad | Qué ocurrió | Cuándo |
|---|---|---|
| Confirmado | Anthropic publica una entrada de blog y dos artículos técnicos completos que describen resultados de un modelo aún sin publicar, Claude Mythos Preview: un ataque mejorado de recuperación de clave contra HAWK, y un ataque más rápido sobre AES-128 de 7 rondas. | 28 jul 2026 |
| Confirmado | El artículo sobre HAWK (Straznickas y Weis) reduce la recuperación de clave a llamadas de tiempo polinómico a un oráculo SVP en dimensión n/2+1, mediante un automorfismo del retículo hasta ahora sin usar, y recorta el coste en puertas de HAWK-512 / HAWK-1024 de 2^150 / 2^288 a, como máximo, 2^108 / 2^182 bajo el propio modelo de la especificación, además de recuperar de extremo a extremo dos claves de prueba HAWK-256. | 25 jul 2026 |
| Confirmado | El artículo sobre AES (Nasr y Carlini) elimina uno de los nueve bytes de clave adivinados en un ataque de 2013 sobre AES-128 de 7 rondas, reduciendo el tiempo, con el mismo presupuesto de datos de 2^105 textos claros, a entre 2^89.3 y 2^91.4 — aunque el propio artículo, bajo su métrica de complejidad equilibrada, sitúa la mejora real en solo 2.7 bits. | 28 jul 2026 |
| Confirmado | CryptanalysisBench, un banco de pruebas complementario elaborado con académicos de ETH Zúrich, la Universidad de Tel Aviv, la Universidad de Haifa y la TU de Berlín, otorga a Mythos 5 un 85.7% en 49 esquemas ya rotos y un 8.9% en 142 esquemas de plena fortaleza sin ruptura conocida — el más alto de los cinco modelos evaluados en ambos. | 20/29 jul 2026 |
| Confirmado pero no verificable aquí | El criptógrafo del NIST Daniel Apon responde en el foro de correo pqc-forum del NIST en cuestión de horas, diciendo que el resultado de HAWK se sostiene de forma independiente para él — según relata un revisor independiente del anuncio. | 28 jul 2026 |
Cronología
De una base de 2013 al registro de este mes Solo eventos con fecha
- 2013Derbez, Fouque y Jean publican el mejor ataque conocido hasta entonces sobre AES-128 de 7 rondas: 2^105 textos claros elegidos, 2^99 de tiempo.
- 2022Se propone por primera vez HAWK, que más tarde entra en el proceso de estandarización de firmas digitales poscuánticas del NIST.
- may 2026El NIST hace avanzar a HAWK — uno de nueve candidatos, y el único basado en retículos — a la tercera ronda de ese proceso.
- jun 2026Anthropic notifica a los autores de HAWK el resultado de Mythos Preview antes de su publicación.
- 20 jul 2026CryptanalysisBench se publica por primera vez en arXiv.
- 28 jul 2026Anthropic publica su entrada de blog y ambos artículos técnicos; el coautor de HAWK Stephen Weis publica el anuncio en el foro de correo pqc-forum del NIST el mismo día, y el criptógrafo del NIST Daniel Apon responde, según se informa, en cuestión de horas confirmando el resultado de HAWK de forma independiente.
- 29 jul 2026Anthropic edita su entrada de blog (“actualiza una afiliación académica”); se publica una versión revisada de CryptanalysisBench (v2); se publica en PostQuantum.com un análisis independiente de ambos artículos.
- 28 ago 2026A esta fecha, el registro público no muestra si el NIST o los proponentes de HAWK han cambiado los parámetros del esquema o su posición en el proceso de estandarización.
La propia entrada de Anthropic no da ni un mes para el avance de HAWK a la tercera ronda ni quién respondió en el foro de correo del NIST; ambos detalles proceden de una cobertura independiente del anuncio — The Hacker News y el análisis de Marin Ivezic, respectivamente.
- 9candidatos que el NIST hizo avanzar a la tercera ronda; HAWK es el único basado en retículos
- 2/2Claves públicas HAWK-256 generadas por referencia que el código publicado recuperó de extremo a extremo
El argumento
Lo que dice la entrada de Anthropic El encuadre destacado
La entrada de Anthropic presenta ambos resultados en sus términos más llamativos. Sobre HAWK, dice que el ataque “reduce efectivamente a la mitad su fortaleza de clave”, y sitúa el factor de trabajo esperado para el conjunto de parámetros más pequeño, HAWK-256, cayendo de 2^64 a 2^38. Sobre AES, dice que Mythos “mejoró la velocidad de los mejores ataques anteriores entre 200 y 800 veces”. Ambas cifras son reales y ambas remiten a los artículos subyacentes — el 2^38 y la cifra de 200-800× coinciden cada una con un número que los propios artículos calculan.
Lo que dicen las propias tablas de los artículos Una segunda cifra, menos favorable
Ninguno de los dos artículos se queda solo en su cifra destacada. La propia Tabla 1 del artículo sobre HAWK —usando el modelo de recuento de puertas en el que se apoya la propia especificación de HAWK— da la cifra de la especificación para HAWK-256 como 2^74, no 2^64; el 2^62 que el artículo da bajo otro modelo (Core-SVP) es la cifra más próxima, y el emparejamiento “2^64” de la entrada de Anthropic no aparece en absoluto en esa tabla. El artículo sobre AES es explícito en que su cifra de 200-800× solo se sostiene con el requisito de datos fijado en 2^105 —a su vez todavía inviable—, y que bajo la métrica estándar equilibrada max(D,T,M), que pondera datos, tiempo y memoria a la vez, la mejora real sobre la base de 2013 es de 2.7 bits (o de 2.1 bits, sin una de las propias suposiciones de huella dactilar del artículo). El propio artículo dice de su resultado: “la complejidad global de nuestro ataque no ha mejorado” bajo el planteamiento de datos fijos por sí solo.
El titular frente a la tabla, lado a lado Mismo resultado, dos cifras
| Afirmación | La entrada de Anthropic | La propia tabla del artículo |
|---|---|---|
| Factor de trabajo de HAWK-256 | 2^64 → 2^38 | 2^74 → 2^52 (modelo de puertas) / 2^62 → 2^38 (Core-SVP) |
| Aceleración de AES-128 (7 rondas) | 200–800× | 2.7 bits (2.1 sin una de las suposiciones de huella dactilar), métrica equilibrada max(D,T,M) |
| Fortaleza de clave de HAWK-512 / HAWK-1024 | “reducida a la mitad” | 2^150 → 2^108 (42 bits) / 2^288 → 2^182 (106 bits) |
Nada de esto hace que la entrada de Anthropic sea falsa. Marin Ivezic, un consultor de seguridad independiente que revisó ambos artículos, llega a la misma lectura: “el blog es un resumen; el artículo es la fuente citable, y la cobertura secundaria ha estado copiando el blog”. Los dos ataques son reales, publicados y revisables; la cifra que un lector recuerda depende de qué documento haya leído.
Lo que añaden otros
Tres lecturas externas Prensa de seguridad, un analista independiente y los agradecimientos del propio artículo
The Hacker News
Un candidato cumpliendo su función
- HAWK es el único esquema basado en retículos entre los nueve que el NIST hizo avanzar a la tercera ronda en mayo de 2026.
- El código publicado por Anthropic recupera una clave decodificada de 592 bytes, no la semilla secreta original de 96 bytes, y solo funciona contra HAWK-256.
- Un artículo de 2025 de van Gent y Pulles ya había mostrado que un automorfismo hipotético abriría esta vía de ataque, pero sus propios autores dijeron que entonces no amenazaba a HAWK; Mythos encontró el automorfismo que faltaba.
PostQuantum.com
El proceso funcionó
- Marin Ivezic señala que Anthropic notificó al equipo de HAWK en junio, publicó en el foro del NIST el mismo día de la publicación, y obtuvo una verificación independiente el mismo día por parte de un criptógrafo del NIST — se siguieron las normas de divulgación, como con la ruptura de SIKE en 2022, otro candidato distinto.
- Su recomendación para los equipos de seguridad: no tocar las hojas de ruta de algoritmos estandarizados (ML-KEM, ML-DSA, SLH-DSA, Falcon) — ninguno se ve afectado — y en su lugar inventariar cualquier criptografía propietaria o específica de proveedor, que es la población a la que realmente afectan estos resultados.
- Considera que el cuello de botella de la verificación — no una u otra ruptura concreta — es lo que merece atención, y cita la propuesta del criptógrafo Markku-Juhani Saarinen en el foro: que el criptoanálisis asistido por IA vaya siempre acompañado de pruebas comprobables por máquina o demostraciones a escala reducida.
Los agradecimientos del artículo sobre AES
Seis nombres, solo comentarios
- Nasr y Carlini agradecen a Orr Dunkelman, Patrick Derbez, Jérémy Jean, Eyal Ronen, Nathan Keller y Adi Shamir — y dicen únicamente que dieron “comentarios sobre un borrador inicial”.
- Tres de los seis — Shamir, Dunkelman y Keller — son coautores nombrados de los artículos de 2010 y 2020 que este ataque extiende directamente; otros dos, Derbez y Jean, coescribieron la base de 2013 que mejora.
- El agradecimiento no habla de respaldo, ni de revisión, ni de verificación — solo de comentarios sobre un borrador, y no se les atribuye nada más.
El cuello de botella de la verificación Los propios autores de los artículos lo plantean
Nasr y Carlini describen que la idea central del AES tomó “decenas de horas” de tiempo de modelo frente a “cientos de horas” de su propia validación, y llaman a la situación resultante —humanos comprobando principalmente la salida de un modelo en vez de producirla— algo que “resulta incómodo”. Ivezic considera esa proporción, y no una u otra ruptura concreta, “lo que yo pondría en una lista de vigilancia”, describiendo un campo que ya puede “descubrir” más rápido de lo que puede revisar.
Lo que sigue siendo cierto en cualquier caso Los límites en que ambas partes coinciden
HAWK es un candidato, no un estándar desplegado; la construcción no se traslada a Falcon y no afecta a ML-KEM, ML-DSA ni SLH-DSA. El AES-128 completo de 10 rondas queda intacto — el ataque se dirige a 7 rondas y todavía necesita 2^105 textos claros elegidos, algo inviable. Y los propios autores de CryptanalysisBench advierten que, como todos los esquemas de Nivel 1 ya tienen una ruptura publicada, una victoria de aspecto “genuino” de un modelo “no establece por sí sola una redescubierta independiente” frente al mero recuerdo de un ataque conocido — alrededor del 78% de las victorias de los cinco modelos evaluados se consideraron genuinas según el propio análisis de trazas del artículo, una proporción casi idéntica entre modelos y no una cifra exclusiva de Mythos.
Conclusión
¿Y qué? Avances reales, leídos a la resolución correcta
Lo que es sólido
Dos avances criptoanalíticos publicados y revisables contra un candidato poscuántico aún no desplegado y un cifrado de rondas reducidas ya inviable a plena fortaleza, además de un banco de pruebas en el que el mismo modelo aventaja a otros cuatro rivales. Ningún sistema en producción necesita cambiar.
Lo que está exagerado
Las dos cifras que un lector recordará con más probabilidad — el “2^64 a 2^38” de HAWK-256 y el “200-800×” de AES — son, cada una, el encuadre más favorable disponible, y cada artículo da una segunda cifra, más pequeña, para el mismo resultado que su propio anuncio no recoge.
Lo que sigue abierto
Si un modelo que descubre tan rápido puede verificarse igual de rápido es una pregunta que los propios autores de los artículos plantean sobre sí mismos y no responden. Si el NIST o los proponentes de HAWK responden cambiando el esquema es algo que, a 28 ago 2026, el registro público todavía no muestra en ningún sentido.
- Atentos a si el NIST o los proponentes de HAWK responden — un cambio de parámetros, una retirada o el silencio hasta la próxima actualización de la estandarización dirían cada uno algo distinto.
- Atentos a si el liderazgo de Nivel 1 de CryptanalysisBench para modelos de tipo Mythos se mantiene con presupuestos de tiempo más largos — la propia prueba de 16 horas del artículo ya encontró que la mayor parte de esa ganancia venía de terminar ataques ya encontrados, no de una capacidad nueva.
- Atentos a si las pruebas comprobables por máquina o las demostraciones a escala reducida — la propuesta de Saarinen — se convierten en práctica estándar para las afirmaciones criptoanalíticas asistidas por IA en general.
- Atentos a si alguno de los seis criptógrafos agradecidos en el artículo sobre AES publica su propia valoración del resultado, más allá de los “comentarios” sin cita que el propio artículo relata.