Mythos debilitó un cifrado post-cuántico por 100,000 dólares.

En resumen, la criptografía funciona así: un grupo de personas muy inteligentes propone un esquema matemático, otro grupo de personas muy inteligentes dedica varios años a intentar descifrarlo, y si fracasan, todos acordamos que nuestro dinero pase por él. Eso es todo. Ese es el mecanismo. No hay pruebas de que AES sea seguro. Solo existe el hecho de que veinticinco años de los mejores criptoanalistas del mundo lo han intentado, sin éxito en su mayoría, y hemos decidido colectivamente considerar el fracaso reiterado como prueba de seguridad, que, para ser justos, es también como evalúo la ingeniería estructural de mi edificio.

La economía de este sistema siempre ha sido un tanto peculiar. Atacar un cifrado es toda una carrera. Obtienes un doctorado, haces un posdoctorado, dedicas tres años a un problema y, con suerte, logras reducir en un factor de cuatro el ataque de otra persona a una versión del cifrado que nadie usa. La oferta de ataques está limitada por la oferta de criptoanalistas, que a su vez está limitada por el número de personas dispuestas a hacer esto en lugar de ganar mucho más dinero haciendo casi cualquier otra cosa.

El 28 de julio, Anthropic publicó una entrada en su blog informando que su modelo Claude Mythos Preview había generado dos resultados criptoanalíticos novedosos, y que cada uno costó alrededor de 100 000 dólares en créditos de API. Quiero reflexionar sobre esa cifra un momento, porque los resultados técnicos son interesantes, pero lo realmente relevante es el número.

Los resultados, en resumen

Hay dos, y ninguno de los dos daña nada de lo que uses.

HAWK es un sistema de firma digital presentado al concurso de criptografía postcuántica del NIST, el proyecto en curso para reemplazar los algoritmos de firma que una computadora cuántica operativa acabaría por superar. HAWK es un candidato de tercera ronda. Había superado dos rondas de revisión por expertos a lo largo de dos años, que es precisamente el objetivo del proceso: publicarlo, someterlo a pruebas exhaustivas y ver qué queda en pie.

Mythos descubrió una simetría en la estructura matemática específica que utiliza HAWK: un «automorfismo no trivial», una expresión que reproduzco fielmente y que no intentaré analizar en detalle. Trabajos anteriores habían demostrado que, si existiera tal simetría y se pudiera encontrar de forma eficiente, HAWK se vería debilitado. Nadie sabía si realmente existía. Y sí existía. El modelo la encontró en aproximadamente sesenta horas.

El efecto es reducir a la mitad el tamaño efectivo de la clave de HAWK. Se creía que recuperar una clave HAWK-256 costaba alrededor de 2⁶⁴ operaciones; Anthropic demuestra 2³⁸. Sigue siendo exponencial, sigue siendo específico de HAWK y no afecta a otros esquemas de retículos. Se puede solucionar duplicando el tamaño de la clave, pero duplicar el tamaño de la clave elimina la mayoría de las razones por las que alguien apreciaba HAWK, lo que equivale criptográficamente a decir: «Podemos salvar al paciente, pero ya no será el paciente».

Dos. AES-128 tiene diez rondas. Mythos mejoró un ataque a una versión con siete, bajo un modelo de amenaza que supone que el atacante puede obtener 2¹⁰⁵ textos planos elegidos cifrados, una cantidad de datos que yo describiría como "no disponible". Inventó una técnica que denominó Puente de Möbius, que elimina un paso de adivinación de 2⁵⁶ en un ataque de encuentro en el medio y hace que todo el proceso sea entre 200 y 800 veces más rápido. El AES real es bueno. Los ataques de rondas reducidas son la forma en que los criptógrafos estiman el margen de seguridad del cifrado completo, y este reduce ligeramente el margen.

Anthropic informó a los autores de HAWK en junio, coordinó con la lista de correo pública del NIST, informó al gobierno y a la industria, y envió ambos artículos junto con el código de demostración. Esto demuestra una conducta ejemplar, y quiero dejarlo claro antes de continuar.

La parte en la que el modelo no quería

Cuando el investigador le presentó a Mythos el AES, este lo rechazó. No por motivos de seguridad. Pensó que el proyecto era una tontería. Escribió cosas como que el AES-128 r5/r6 es realmente difícil y no hay nada fácil de encontrar; este es el cifrado de bloques más estudiado que existe , lo cual, y no puedo enfatizarlo lo suficiente, es la opinión correcta . Eso es lo que diría un criptógrafo bien calibrado. Es lo que yo diría. Es lo que el modelo aprendió al leer todo lo que los humanos han escrito sobre el AES, que es que atacar el AES es una excelente manera de pasar tres años y no publicar nada.

Entonces el investigador le envió una nota, que Anthropic publicó con las erratas intactas:

“Los modelos tienden a pensar que es imposible resolverlo, así que no lo intentan; necesitan bastante ayuda.”

Y luego tres mensajes más en tres días, todos en el registro de un entrenador de hockey entre periodos. Queremos encontrar nuevos ataques. Necesitamos encontrar algo que valga la pena publicar. No buscamos lo fácil. Mientras tanto, el modelo produjo varios cientos de millones de tokens de trabajo autónomo —mil millones al final— y llegó al Puente de Möbius.

Me resulta genuinamente gracioso y a la vez un poco inquietante. La principal limitación de un sistema capaz de abarcar veinticinco años de literatura criptoanalítica era que había absorbido de nosotros la creencia, totalmente razonable, de que intentarlo no valía la pena. La solución fue el aliento, aunque con errores gramaticales, y gratis. Una parte significativa de lo que hemos llamado «capacidad» resulta ser audacia, y al parecer, la audacia es algo que se puede regalar sin más.

El número

100 000 dólares por resultado. Dos veces. Eso es menos que un puesto de investigador postdoctoral. Es menos que el catering de una conferencia de tamaño medio. En términos criptográficos, es una cantidad insignificante en una ronda de financiación Serie A. Y lo que se obtiene es un resultado que habría sido el punto fuerte del currículum de un criptógrafo.

Una vez que una categoría de trabajo intelectual tiene un precio de lista, el mercado se reorganiza, y no a favor de los ya establecidos. Anthropic también menciona, casi de pasada, que construyó una plataforma para atacar AES de forma autónoma y luego, por curiosidad, la dirigió contra HAWK para ver si podía redescubrir esa brecha de forma independiente. Y pudo. Así que los 100,000 dólares no compran un solo resultado. Compran una máquina que produce resultados, y a la máquina no le importa el objetivo. Lo que me lleva a lo que realmente importará.

La verificación es el nuevo cuello de botella.

A Mythos le llevó aproximadamente una semana descubrir el ataque AES. A dos investigadores de Anthropic les tomó alrededor de un mes y varios cientos de horas convencerse de que el ataque era correcto.

Esa proporción representa todo el futuro. El descubrimiento se abarató; la verificación, no. El resultado de HAWK era más fácil de confiar porque funciona de principio a fin: se genera una clave, se ejecuta el ataque, se recupera la clave y la confianza se vuelve innecesaria. El resultado de AES es un argumento, y los argumentos deben ser interpretados por personas que los comprendan; tal vez haya unos cientos de esas personas, que están ocupadas y no reciben remuneración por ello.

Anthropic lo afirma claramente, y lo dice sobre el campo en general: los investigadores humanos pueden verse desbordados al validar los resultados de las máquinas. Ya hemos visto esto en la divulgación de vulnerabilidades, donde la detección automatizada de errores produce informes más rápido de lo que los responsables del mantenimiento pueden clasificarlos, y el resultado práctico para un proyecto gestionado por voluntarios no es mayor seguridad, sino una bandeja de entrada llena y una persona que renuncia. La revisión por pares es una economía de intercambio de favores atendida por personas cansadas a las 11 de la noche. No tiene capacidad de respuesta ante picos de demanda.

Sí, de acuerdo, ¿y tus monedas?

Nada de lo que se menciona aquí afecta a Bitcoin . Pero fíjese en lo que Anthropic enumera en su sección de "trabajo futuro": un ataque práctico de 13 rondas contra LEA, un cifrado ligero estandarizado por la ISO, que recupera una clave en menos de una hora en un ordenador de sobremesa; un ataque mejorado contra Serpent de 6 rondas; y mejoras menores —inferiores a 10×— contra Salsa20, SHA-1 y Poseidon.

Poseidon es la función hash que sustenta gran parte de la infraestructura de conocimiento cero. Una mejora inferior a 10 veces no es una emergencia. Sin embargo, es la primera vez que un modelo de lenguaje aparece en la misma frase que una primitiva de la que dependen gran parte del ecosistema de conocimiento cero, y Anthropic afirma que estos son resultados preliminares que esperan mejorar.

El punto más importante es estructural. La razón principal por la que el NIST está estandarizando las firmas post-cuánticas es que ECDSA deja de ser viable ante una computadora cuántica suficientemente potente, y la respuesta de Bitcoin a esto son actualmente dos propuestas preliminares: BIP-360, que introduce un tipo de salida resistente a la computación cuántica, y BIP-361, publicada en abril por Jameson Lopp y sus coautores, que eliminaría las firmas antiguas y, eventualmente, congelaría las monedas que no hayan migrado. Según esta propuesta, a marzo, más de un tercio de todos los bitcoins se encuentran en direcciones que han expuesto una clave pública. Uno de los coautores de BIP-361 ha estimado que una migración completa tardaría unos siete años desde que se alcance el consenso, y este aún no se ha alcanzado.

Así pues, los planes de reemplazo se están seleccionando ahora mismo mediante un proceso que acaba de demostrar que puede ser superado por un modelo con un presupuesto de 100 000 dólares durante un fin de semana largo. La cadena que tendrá que adoptar uno de esos planes opera con un plazo de siete años y no puede obligar a nadie a hacer nada.

Nada de esto es motivo de pánico, y la frase «las normas de divulgación son voluntarias» es algo que preferiría no tener que seguir escribiendo. Anthropic hizo lo correcto y, además, demostró a todos que es posible. Hace un año, estos modelos no podían descifrar ni un código de juguete. Ahora, uno de ellos está mejorando la literatura existente tras haber sido, en esencia, obligado a creer en sí mismo.

El subsidio del que nadie dio cuenta

Esto es a lo que siempre vuelvo.

AES es seguro porque miles de años de experiencia se han dedicado a probarlo sin éxito. Pero AES es solo un algoritmo. El mundo funciona con cientos. Hay un cifrado en la llave de tu coche, en la tarjeta de acceso a tu edificio y en el contador inteligente de tu casa. Hay uno en el controlador industrial de una planta de tratamiento de agua, en el módem satelital de un buque portacontenedores, en un marcapasos y en un terminal de pago certificado en 2011 que será reemplazado cuando deje de funcionar.

Casi ninguno de estos sistemas recibió veinticinco años de atención crítica. Se sometieron a una revisión de diseño, a un comité de estándares y, posteriormente, durante dos décadas, nadie se preocupó por ellos. Esto no fue negligencia, sino una cuestión económica. Atacar un cifrado poco conocido implicaba que un criptógrafo dedicara un año de su vida a un objetivo sin prestigio ni publicaciones, por lo que nadie lo intentó y el cifrado se mantuvo. Hemos estado gestionando la infraestructura global basándonos en la seguridad por falta de interés y registrándola discretamente como seguridad.

Esa subvención era la escasez de atención humana, y se está retirando. El resultado de LEA de Anthropic tiene exactamente esta forma: un cifrado ligero estandarizado en ISO/IEC 29192-2, diseñado para dispositivos de baja potencia, en gran medida sin examinar, y ahora parcialmente atacado por un modelo en una fracción del tiempo que una persona necesitaría. La versión completa de 24 rondas permanece intacta y el hallazgo es preliminar. La categoría es lo importante.

Y esta categoría presenta una asimetría brutal. Los sistemas con la criptografía menos examinada son, casi por definición, los más difíciles de parchear: firmware, chips integrados, hardware en órbita, dispositivos dentro del cuerpo humano, controladores en edificios que nadie quiere desconectar. El descubrimiento ahora se mide en días y cuesta cifras de seis dígitos. La remediación se mide en ciclos de adquisición y cuesta mucho más, si es que es posible. Estos dos relojes solían funcionar prácticamente a la misma velocidad. Ya no es así.

En realidad, lo que está en juego aquí no es el secreto, que es donde la gente se equivoca. La criptografía se encarga principalmente de la autenticación : es lo que permite que un banco sepa que eres tú, que un coche sepa que tiene la llave correcta, que un dispositivo sepa que una actualización de software proviene realmente del fabricante. Los fallos de privacidad filtran información. Los fallos de autenticación permiten que alguien se haga pasar por ti. Si los sistemas de firma digital se vuelven inestables, lo que se ve afectado no es la confidencialidad, sino la capacidad de cualquier sistema para saber con quién se está comunicando, una premisa fundamental para prácticamente todo lo que se ha construido en los últimos treinta años.

La contrapartida honesta es que esto funciona en ambos sentidos, y posiblemente con mayor impacto en la dirección correcta. Si cuesta 100 000 dólares atacar un cifrado, también cuesta 100 000 dólares auditarlo, y una empresa de servicios públicos, un fabricante de chips o un organismo de normalización ahora pueden permitirse comprobarlo en su propio producto, algo que antes era impensable, ya que no había criptógrafos que contratar. Anthropic lo presenta como una oportunidad para examinar finalmente la cola larga, y de hecho lo es. Las debilidades descubiertas por un laboratorio que publica son, sin duda, mejores que las que permanecen sin descubrir hasta que alguien que no publica las encuentra.

Pero no se puede elegir qué bando actúa primero, y los modelos no son excluyentes. Alguien tiene capacidades comparables, un presupuesto similar y no tiene planes de contactar con el NIST. Anthropic prácticamente lo deja claro: pregunta qué debería hacer el mundo cuando un modelo encuentra una brecha importante y admite que no lo sabe.

La versión más tranquilizadora de esta historia es que la criptografía siempre ha funcionado mediante revisión adversaria, y que los revisores simplemente se volvieron más rápidos. Probablemente sea cierto. La versión más incómoda es que construimos una civilización partiendo de la premisa de que atacar sistemas era costoso, eliminamos esa premisa, la infravaloramos y ahora estamos descubriendo su verdadero valor.