¿Ha encontrado Daniel Simon un algoritmo cuántico capaz de desafiar la criptografía poscuántica?

Qué afirma exactamente el preprint

El DCP es un problema de estructura oculta estudiado en computación cuántica. Su importancia para la criptografía poscuántica proviene de una cadena de reducciones que lo conecta con problemas de retículos, la familia de problemas matemáticos en la que se basan varios estándares actuales.

Las principales afirmaciones del borrador son:

• Un solucionador polinómico para el DCP. Simon sostiene que su procedimiento resuelve el problema en tiempo polinómico en un ordenador cuántico. El enfoque parte de la reducción publicada por Oded Regev en 2002, que relacionó el problema del subgrupo dihedral con el DCP .
• El posible cierre de una brecha de dos décadas. Desde que esas reducciones conectaron el DCP con problemas de retículos quedó abierta la cuestión de si el propio DCP podía resolverse con suficiente eficiencia. Si la demostración es correcta, el trabajo de Simon abordaría esa laguna, que se remonta aproximadamente a 2004 .
• Una técnica distinta. El algoritmo sustituye un oráculo utilizado en enfoques anteriores por una técnica descrita como “block-and-query”, destinada a extraer información sobre el subgrupo oculto .
• Consecuencias para problemas de retículos. El artículo afirma que su resultado puede combinarse con las reducciones de Regev y con mejoras posteriores de Brakerski, Kirshanova, Stehlé y Wen para obtener algoritmos cuánticos polinómicos para ciertos problemas de retículos. Entre los ejemplos citados están una aproximación, con factor polinómico, del vector más corto —SVP— y el problema Learning With Errors —LWE— .

El borrador también afirma que el algoritmo puede tolerar una tasa de muestras defectuosas de hasta 1/O(log n). Esa tolerancia sería relevante porque permitiría combinar el procedimiento con la cadena de reducciones y mantener una resolución eficiente de los problemas de retículos .

La verificación está lejos de concluida

La primera reacción de la comunidad ha sido de cautela, no de celebración ni de alarma inmediata. El documento está identificado como “Preliminary Draft” y, aunque fue fechado el 31 de julio, el archivo ePrint de la IACR lo recibió el 3 de agosto y lo aprobó para publicación el 6 de agosto de 2026 .

Por ahora, los principales límites son claros:

• No hay revisión por pares. El trabajo no ha sido publicado en una revista ni aceptado en una conferencia con arbitraje académico .
• Varias pruebas esenciales son esquemáticas. Análisis iniciales señalan que algunos pasos decisivos no están desarrollados con el nivel de detalle necesario para comprobarlos de forma independiente .
• La conclusión sobre SVP y LWE depende en parte de referencias no publicadas. Según las primeras observaciones, el corolario final utiliza también comunicaciones personales en lugar de derivaciones publicadas y completas .
• Todavía no existe una confirmación o refutación independiente. La postura dominante es esperar a que especialistas revisen cada paso antes de extraer consecuencias para la seguridad criptográfica .

Por eso, la descripción más precisa del resultado es “una afirmación teórica importante pendiente de verificación”, no “un ataque cuántico que ya ha roto la criptografía poscuántica”.

Qué significa —y qué no— para ML-KEM y ML-DSA

Para las organizaciones que están implantando o evaluando los estándares poscuánticos de NIST, la conclusión inmediata no cambia: no hay motivos para modificar los planes de despliegue basándose únicamente en este preprint .

No hay un ataque contra los estándares

El trabajo de Simon no implementa un ataque contra ML-KEM, el mecanismo de encapsulación de claves estandarizado en FIPS 203, ni contra ML-DSA, el esquema de firma digital de FIPS 204 . Tampoco se ha quebrado ningún conjunto de parámetros de NIST .

La conexión con los estándares es indirecta

El DCP está relacionado mediante reducciones con problemas de retículos como SVP y LWE. Sin embargo, demostrar que el DCP puede resolverse en tiempo polinómico no equivale automáticamente a demostrar un ataque contra Module-LWE o Module-SIS, las hipótesis de dificultad específicas asociadas a ML-KEM y ML-DSA .

La diferencia importa: “problemas de retículos” es una categoría amplia, mientras que los estándares de NIST emplean estructuras algebraicas concretas y parámetros determinados. El paso desde un resultado general sobre el DCP hasta un ataque eficaz contra esas construcciones concretas aún no está establecido .

El riesgo, por ahora, es estructural y teórico

Si la afirmación se valida, cambiaría la comprensión teórica de la resistencia de algunos problemas de retículos frente a ordenadores cuánticos. También justificaría revisar con atención las reducciones que conectan esas familias de problemas con los supuestos empleados en la criptografía poscuántica. Pero ese escenario no debe confundirse con una vulnerabilidad operativa disponible hoy.

El contexto de los avances anteriores

El resultado de Simon aparece después de progresos recientes en variantes relacionadas. En 2025, Bai, Jangir, Kirshanova, Ngo y Youmans presentaron un algoritmo cuasipolinómico para una versión restringida del DCP: el problema del coset dihedral extrapolado sobre módulos potencias de dos . Ese trabajo también se relaciona con variantes de LWE.

La diferencia es significativa: afirmar una solución polinómica para el DCP completo sería un salto importante respecto de un algoritmo cuasipolinómico para una variante restringida. Precisamente por eso, la solidez de cada paso de la nueva prueba resulta decisiva.

La respuesta de los expertos: esperar y comprobar

Los primeros análisis de la comunidad de seguridad poscuántica describen una reacción de “fuerte escepticismo”, motivada sobre todo por el carácter esquemático de varias pruebas y por el uso de referencias no publicadas . Eso no equivale a una refutación: significa que todavía no hay base suficiente para aceptar el resultado como demostrado.

Además, las consecuencias para la criptografía basada en retículos son condicionales. Dependen de que funcionen tanto el nuevo algoritmo como la cadena concreta de reducciones que lo conectaría con SVP, LWE y, eventualmente, con las variantes estructuradas empleadas por ML-KEM y ML-DSA .

NIST, los laboratorios académicos y los organismos de estandarización aún no han emitido declaraciones institucionales importantes, algo esperable dado que el preprint llevaba apenas unos días disponible . La orientación general es mantener la calma, continuar la revisión técnica y no alterar por ahora los calendarios de migración ni los conjuntos de parámetros .

La conclusión práctica

El borrador de Simon podría convertirse en un resultado histórico para la teoría de la computación cuántica y la criptografía basada en retículos. Pero todavía es un resultado preliminar, sin revisión por pares y con objeciones importantes pendientes.

A día de hoy, no hay evidencia de que ML-KEM o ML-DSA hayan sido atacados, ni una razón técnica para declarar rotos los estándares poscuánticos de NIST. La noticia merece un seguimiento estrecho —y una lectura cuidadosa de las pruebas—, pero la respuesta responsable sigue siendo la misma: verificar antes de reaccionar.