IA de DeepMind abarata atacar claves RSA de 1024 bits: qué revisar

Los agentes de inteligencia artificial de Google DeepMind han logrado que atacar claves RSA de 1024 bits resulte más barato, según SecurityWeek. Que la IA reduzca el costo de atacar un sistema criptográfico afecta a cualquier empresa que todavía dependa de claves de ese tamaño. Para muchas empresas en Colombia, la conclusión práctica es clara: si en su infraestructura quedan claves RSA de 1024 bits, ahora es el momento de reemplazarlas por claves de 2048 bits o más.

Qué se sabe sobre los agentes de IA de DeepMind y las claves RSA de 1024 bits

El titular dice algo muy concreto: el ataque no se volvió imposible de resistir, se volvió más barato. Los detalles técnicos todavía no se conocen del todo. Falta saber cuánto bajó el costo, qué método usaron los agentes y si el avance se puede aplicar hoy a claves reales en producción. Conviene leerlo con cuidado: abaratar un ataque no equivale a romper RSA, y las claves de mayor tamaño no aparecen mencionadas en el titular.

Aun así, el mensaje de fondo pesa. RSA es uno de los algoritmos que protegen buena parte de lo que circula por internet: certificados de sitios web, conexiones seguras, firmas de correo y accesos remotos. La comunidad de seguridad lleva años recomendando no usar claves de 1024 bits porque su margen de seguridad es estrecho. Esta noticia suma una razón más, y una de peso: la inteligencia artificial empieza a acelerar el trabajo que antes exigía mucho tiempo humano especializado.

Por qué importa: la IA cambia la economía del ataque

En seguridad, casi nada es irrompible. Lo que protege a una empresa es que atacarla cueste más de lo que vale el botín. Cuando un agente de IA reduce ese costo, el cálculo cambia para todos. Ataques que antes solo podían financiar actores con muchos recursos quedan al alcance de grupos más pequeños.

Para una pyme colombiana, esto tiene dos lecturas:

• Riesgo directo: si un sistema expuesto usa RSA de 1024 bits, su protección es más débil de lo que se creía hace poco.
• Riesgo diferido: los datos cifrados que alguien capture hoy podrían descifrarse mañana, cuando el ataque sea todavía más barato. Esto preocupa sobre todo con información que debe mantenerse confidencial por años, como datos de clientes, historias clínicas o contratos.

También hay una dimensión legal. La Ley 1581 de 2012 obliga a proteger los datos personales con medidas de seguridad adecuadas. Mantener cifrado obsoleto, cuando el riesgo es público y conocido, se vuelve cada vez más difícil de justificar ante un incidente.

Dónde pueden estar todavía las claves RSA de 1024 bits en su empresa

Pocas empresas eligen hoy claves de 1024 bits a propósito. El problema está en lo heredado: configuraciones viejas que nadie volvió a revisar. Estos son los lugares más frecuentes:

• Firmas DKIM del correo corporativo: muchos dominios se configuraron hace años con claves de 1024 bits. Una firma débil facilita suplantar correos de la empresa.
• Certificados internos: intranets, impresoras, cámaras, routers y paneles de administración con certificados autofirmados antiguos.
• Claves SSH de servidores y de personal técnico que no se han rotado en mucho tiempo.
• VPN y accesos remotos configurados con valores por defecto de equipos antiguos.
• Software y ERP heredados, integraciones entre sistemas y equipos de punto de venta con firmware desactualizado.

Qué hacer ya: lista de revisión práctica

La respuesta no exige pánico, pero sí orden. Estos pasos sirven para cualquier empresa, sin importar su tamaño:

• Inventariar: listar certificados, claves SSH, registros DKIM y configuraciones de VPN, con el tamaño de clave de cada uno.
• Priorizar lo expuesto: primero lo que está de cara a internet y lo que protege datos sensibles.
• Reemplazar: migrar a RSA de 2048 bits como mínimo, o a 3072 bits o curvas elípticas cuando el sistema lo permita.
• Rotar y documentar: definir cada cuánto se renuevan las claves y quién es responsable.
• Preguntar a los proveedores: exigir a quienes alojan su software, su correo o sus integraciones que confirmen por escrito qué cifrado usan.
• Mirar más adelante: empezar a informarse sobre la criptografía poscuántica. La tendencia es que los algoritmos actuales vayan cediendo terreno.

Lo que significa para quien usa agentes de IA en su negocio

Hay una lectura que va más allá del cifrado. La misma tecnología que permite automatizar la atención por WhatsApp o conectar un ERP con un CRM también acelera el trabajo de los atacantes. Los agentes de IA no son buenos ni malos por sí mismos: multiplican la capacidad de quien los usa. Por eso, toda empresa que incorpore IA en su operación debería exigir que la seguridad forme parte del diseño desde el inicio, no un ajuste posterior.

Cuando un agente maneja datos de clientes, se conecta a sistemas de pago o consulta inventarios, cada conexión debe usar cifrado actualizado, credenciales rotadas y permisos mínimos. Ese es el enfoque que aplicamos en GABOTRIX al hacer desarrollo de software con IA: integrar plataformas sin heredar configuraciones débiles y revisar el cifrado de cada punto de conexión.

La noticia de DeepMind no es un motivo para frenar la adopción de inteligencia artificial. Es un recordatorio de que el estándar de seguridad sube con el tiempo. Lo que era aceptable hace diez años hoy ya no basta.

Preguntas frecuentes

¿Esto significa que RSA ya no es seguro?

No. Lo que reporta SecurityWeek se refiere a las claves RSA de 1024 bits, que la industria ya consideraba insuficientes. RSA con claves de 2048 bits o más sigue siendo el estándar de uso común. Lo prudente es abandonar las claves de 1024 bits y seguir de cerca la evolución de estos ataques.

¿Cómo sé si mi empresa usa claves RSA de 1024 bits?

Hay que revisar los certificados de los sitios web y sistemas internos, los registros DKIM del dominio de correo, las claves SSH de los servidores y la configuración de las VPN. Un técnico puede hacer ese inventario con herramientas estándar en pocas horas o días, según el tamaño de la infraestructura. Si su proveedor de hosting o de software gestiona esos elementos, pídale que le confirme el tamaño de clave.

¿Una pyme pequeña realmente es objetivo de este tipo de ataques?

Cuando atacar se vuelve más barato, el número de posibles objetivos crece, y las pymes suelen tener configuraciones menos revisadas. Además, una pyme puede ser la puerta de entrada hacia clientes o socios más grandes. Actualizar las claves cuesta poco frente al daño de una suplantación de correo o una filtración de datos.

Si quiere revisar si los sistemas y automatizaciones de su empresa usan cifrado actualizado antes de ampliar el uso de IA, conversemos sobre su caso.