TL;DR:
- Anthropic publicó el 28 de julio de 2026 dos ataques criptográficos desarrollados con Claude Mythos Preview, su modelo de acceso restringido.
- Contra HAWK, el costo esperado de recuperar una llave del parámetro HAWK-256 cae de 2^64 a 2^38 operaciones; contra AES-128 de siete rondas, el ataque corre entre 200 y 800 veces más rápido.
- Cada resultado costó unos 100,000 dólares de API, y dos investigadores tardaron casi un mes en confirmar que el de AES era correcto.
Anthropic publicó el 28 de julio de 2026 dos resultados de criptoanálisis obtenidos con Claude Mythos Preview, el modelo que la empresa mantiene fuera del acceso público general. El primero mejora el mejor ataque conocido contra HAWK, un esquema de firma digital poscuántica que compite por convertirse en estándar del NIST. El segundo acelera entre 200 y 800 veces un ataque contra una versión recortada de AES, el cifrador simétrico que protege buena parte del tráfico de internet. Ninguno toca sistemas en producción: HAWK no está desplegado en ningún lado y el ataque a AES funciona sobre 7 de las 10 rondas del cifrador real. Lo que sí cambió es quién está encontrando estas fallas.
El trabajo salió del Frontier Red Team de la compañía. Hasta ahora, cuando un modelo rompía criptografía, rompía la implementación: errores de programación en las bibliotecas que usan los algoritmos. Esta vez el blanco fueron las matemáticas del algoritmo mismo.
Dilis Salazar
El ataque a HAWK obliga a duplicar la llave y con eso borra su mejor argumento
HAWK es uno de los nueve candidatos que el NIST dejó vivos en la tercera ronda de su convocatoria de firmas digitales adicionales, la que busca algoritmos que resistan a una futura computadora cuántica. Había sobrevivido dos rondas y dos años de revisión de expertos humanos. Mythos tardó unas 60 horas.
Su seguridad descansa en el Problema de Isomorfismo de Retículos. El modelo encontró ahí una simetría que nadie había explotado, un automorfismo no trivial, y con eso abrió un camino que un trabajo previo de Daniël van Gent y Ludo Pulles ya había descrito en teoría sin poder confirmar que existiera en el retículo concreto de HAWK.
El resultado práctico se mide en operaciones: recuperar por completo una llave HAWK-256 pasa de costar 2^64 a costar 2^38. En el código de demostración que Anthropic liberó, eso se traduce en un tiempo esperado de tres horas y 42 minutos en un servidor de 96 núcleos, según el desglose técnico de The Hacker News.
El ataque sigue siendo exponencial, no polinomial, y Anthropic sostiene que no se extiende a los demás candidatos poscuánticos del NIST ni a la criptografía de retículos en general. La reparación es fácil de enunciar y cara de aceptar: duplicar el tamaño de la llave. Ahí se va justo la razón por la que HAWK resultaba atractivo frente a sus rivales, que era su eficiencia.
En AES el modelo primero se negó, y después inventó el "Möbius Bridge"
El segundo hallazgo incluye una negativa. Un investigador de Anthropic montó un andamiaje que le permitía a Claude proponer hipótesis, correr experimentos y validarlas o descartarlas por su cuenta. Las primeras corridas terminaron con el modelo argumentando que mejorar el criptoanálisis de AES era imposible: es el cifrador por bloques más estudiado que existe y ahí no quedaba nada fácil por encontrar.
Anthropic publicó los prompts reales con los que su investigador insistió, con erratas y todo. El mensaje de fondo era el mismo tres veces: no queremos lo que está al alcance de la mano, queremos investigación seria. Funcionó. Durante tres días el modelo trabajó solo y produjo varios cientos de millones de tokens antes de dar con la idea que la empresa bautizó Möbius Bridge, una huella digital que no cambia frente a una de las conjeturas que el atacante estaba obligado a hacer. Eliminada esa conjetura, se elimina una etapa completa de enumeración.
Calcular esa transformación cuesta más, así que el modelo añadió otras optimizaciones hasta dejar el ataque entre 200 y 800 veces más rápido, según cómo se mida el tiempo de ejecución. Y aun así no sirve para nada real: el modelo de amenaza asume que el atacante puede pedir el cifrado de unos 2^105 textos elegidos bajo una misma llave desconocida. La cuenta total del experimento fue de aproximadamente mil millones de tokens de salida y unos 100,000 dólares de API por cada uno de los dos resultados.
Los parámetros atacados no son los que el NIST evalúa como niveles de seguridad
Los nombres HAWK y AES hacen que el hallazgo suene mucho más grande de lo que la letra chica permite. Vale la pena ordenar qué se rompió exactamente:
- HAWK-256 es un parámetro de desafío, publicado precisamente como blanco de criptoanálisis. Los conjuntos que el NIST evalúa como niveles de seguridad son HAWK-512 y HAWK-1024.
- Para esos dos, en el aviso que Anthropic envió a la lista pública del NIST, la estimación de compuertas baja de 2^150 a 2^108 y de 2^288 a 2^182. Ambos siguen fuera del alcance de cualquier atacante concebible.
- El código liberado recupera material de firma funcionalmente equivalente, de 592 bytes, y no la semilla secreta original de 96 bytes. Solo acepta entradas HAWK-256 y rechaza todo lo demás.
- En AES, el código hace recuperación completa de llave únicamente contra un cifrador tipo AES más pequeño, de 24 bits. Para el AES-128 de siete rondas mide componentes por separado y proyecta el costo total.
- The Hacker News reportó que no localizó una reproducción independiente de la recuperación de HAWK-256 durante su revisión, y que el hilo de la lista pública del NIST no tenía respuestas al momento de consultarlo.
Anthropic compartió el ataque con los autores de HAWK en junio y coordinó la divulgación pública para el mismo día de la publicación. Entre los criptógrafos que ya reaccionaron está Chris Peikert, profesor de la Universidad de Michigan y una de las voces de referencia en criptografía de retículos, que lo celebró en Bluesky:
"Este es un descubrimiento muy interesante y emocionante de Claude Mythos. Encontró un ataque matemático serio contra el esquema de firma poscuántica HAWK, un candidato de 'entrada' para una posible estandarización del NIST."
Descubrirlo tomó una semana; convencerse de que era correcto tomó un mes
Aquí está la parte que la industria va a discutir más. El ataque a HAWK se verifica con relativa comodidad porque corre de punta a punta: se genera una llave, se ejecuta el ataque, se firma un mensaje y se comprueba con la implementación de referencia del NIST. El de AES no. Mythos tardó una semana en descubrirlo de forma autónoma, y dos investigadores de Anthropic, que no son criptógrafos de formación, invirtieron cerca de un mes y varios cientos de horas en ganar confianza en que el método era correcto.
La propia empresa lo plantea sin adornos: en criptografía académica está por repetirse lo que la comunidad de ciberseguridad ya vive desde Project Glasswing, donde los modelos encuentran más fallas de las que los equipos humanos alcanzan a triar y parchar. El cuello de botella se mueve del descubrimiento a la validación.
Un benchmark nuevo y una lista de cifradores en la mira
En paralelo, Anthropic publicó junto con académicos de ETH Zurich, la Universidad de Tel Aviv y la Universidad de Haifa el paper de CryptanalysisBench, subido a arXiv el 20 de julio: 191 tareas repartidas en seis familias de primitivas criptográficas, tomadas sobre todo de cuatro concursos del NIST y ordenadas en tres niveles de dificultad. Cinco modelos de frontera rompieron entre 65% y 86% de los esquemas del primer nivel. Más allá de reproducir resultados conocidos, los modelos produjeron criptoanálisis nuevo, incluido un ataque de recuperación de llave contra el esquema SpoC y un error en la prueba de seguridad publicada de KINDI. Medir con benchmark la capacidad ofensiva de los modelos dejó de ser un ejercicio de laboratorio hace varios meses.
La empresa también adelantó resultados preliminares contra otros cifradores. Sobre LEA, un algoritmo ligero recogido en estándares ISO/IEC, Mythos desarrolló un ataque práctico que recupera la llave de 13 rondas con menos de 2^30 textos cifrados y corre en menos de una hora en una computadora de escritorio; el cifrador completo tiene 24 rondas. Hay además un ataque completo contra 6 de las 32 rondas de Serpent-128 y mejoras menores, por debajo de 10 veces, contra Salsa20, la función hash Poseidon y SHA-1. Anthropic anunció un taller académico en las próximas semanas para discutir el papel de los modelos en investigación de seguridad.
Para quien usa internet hoy no hay nada que revisar ni actualizar. Para quien elige algoritmos sí: el NIST diseñó su concurso de firmas adicionales como un seguro, con familias matemáticas distintas por si alguna cae, y HAWK era la única basada en retículos que llegó a la tercera ronda. Que un modelo de lenguaje le haya recortado el margen en 60 horas, después de dos años de revisión experta, cambia el cálculo de cuánta revisión necesita un algoritmo antes de que millones de personas confíen en él.
