Ya hicimos este experimento. Se llamó las guerras criptográficas.
En la década de 1990, el gobierno de EE. UU. clasificó el cifrado fuerte como una munición. No metafóricamente: literalmente, en la misma lista de controles de exportación que los aviones de combate y los misiles. Si querías enviar al extranjero software con criptografía real, necesitabas una licencia de exportación de armas.
La situación se volvió absurda rápidamente. Activistas imprimieron el algoritmo RSA, unas pocas líneas de código, en camisetas. Llevar esa camiseta por un aeropuerto era, técnicamente, exportar un arma. Phil Zimmermann, quien escribió PGP, pasó tres años bajo investigación penal porque su software de cifrado de correo electrónico llegó a internet global.
La lógica del gobierno era razonable en el papel: la criptografía fuerte en manos equivocadas ayuda a delincuentes, terroristas y Estados hostiles. Así que había que restringirla.
La respuesta de la comunidad de seguridad fue directa: no están restringiendo nada. Las matemáticas son públicas. Cualquier adversario decidido construye o compra criptografía fuerte de todos modos. Lo único que realmente hacen es perjudicar a sus propias empresas y dar ventaja inicial a competidores extranjeros. Las únicas personas que obedecen la norma son las que menos necesitan ser detenidas.
La comunidad de seguridad tenía razón. Los controles se derrumbaron. El cifrado fuerte se convirtió en la opción predeterminada. Es la razón por la que hoy puedes hacer operaciones bancarias, comprar y enviar mensajes en internet. Ya no discutimos sobre esto. La apertura ganó de forma tan rotunda que toda la disputa es ahora una nota al pie.
Lo menciono porque acabamos de ver el tráiler de la secuela.
El mes pasado, el Departamento de Comercio impuso controles de exportación a Fable 5 y Mythos 5 de Anthropic, sus modelos más capaces, alegando motivos de seguridad nacional. Se cortó el acceso a todos los extranjeros del planeta, incluidos los propios empleados no ciudadanos de Anthropic. Tres semanas después, tras la totalmente predecible indignación porque esto principalmente regalaba tiempo a los laboratorios chinos de código abierto que corrían para alcanzarlos, se levantaron los controles. Fable vuelve a estar disponible para todos. Mythos vuelve a estarlo para aproximadamente cien organizaciones estadounidenses evaluadas.
La misma película. El mismo argumento. «Esta capacidad es demasiado peligrosa para estar ampliamente disponible» choca de frente con «la capacidad se difunde de todos modos, y tu restricción limita primero a quienes respetan la ley».
Ahora bien, seré honesto sobre dónde se fuerza la analogía, porque odio las publicaciones que no lo son. Un modelo no son matemáticas públicas. Es un producto servido con un cuello de botella real, por lo que una restricción es verdaderamente más aplicable que nunca para la criptografía. Y un modelo de frontera vulnerado que dé a un atacante una capacidad nueva y real no es una fantasía. Esa preocupación no es insignificante.
Pero esta es la parte a la que sigo volviendo: los atacantes nunca iban a ser quienes solicitaran la licencia de exportación.
Restricciones como estas afectan más duramente a los defensores que trabajan abiertamente: los equipos de seguridad, los investigadores, las startups que publican lo que descubren. Los adversarios las eluden. Siempre lo han hecho.
Hicimos este experimento hace treinta años. Sabemos cómo termina. La única pregunta abierta es cuánto tiempo desperdiciaremos aprendiéndolo de nuevo.
Imágenes procedentes de Wikimedia Commons e incluidas localmente para esta publicación.