¿Cuántas llaves RSA ha roto un computador cuántico?

Cero. Ninguna llave RSA de ningún tamaño desplegado — ni RSA-2048, ni RSA-1024, ni siquiera un módulo de juguete de 64 bits — figura en el registro público como rota por un computador cuántico (registro revisado el 2026-11-02; tablero abajo). El entero más grande factorizado genuinamente con el algoritmo de Shor en hardware cuántico real es 35 — un número de seis bits y dos dígitos — y el experimento de 2019 que sostiene ese techo reportó éxito en solo ≈14% de las corridas (Amico et al., PRA 100, 012305, 2019). Los dos récords de factorización de 2026 — RSA-260 en septiembre y RSA-896 dieciséis días después — los fijaron GPUs clásicas corriendo la criba general del cuerpo de números, con cero qubits involucrados (Cognition, 2026-09-09; S. Weis, 2026-09-19). Rosetta Quantum mantiene este expediente fechado y con fuentes para que un equipo de seguridad pueda citarle el marcador real a su directorio — y aun así planificar su migración por los relojes que de verdad obligan.

¿Cuál es el récord genuino de factorización cuántica?

Treinta y cinco, como máximo — y el asterisco importa. La revisión más reciente de todos los resultados públicos, The State of Factoring on Quantum Computers (Willsch et al., arXiv:2410.14397, v2, mayo-2025), lo dice sin rodeos: en computadores cuánticos digitales solo se han factorizado con el algoritmo de Shor «enteros muy pequeños, N ≤ 35». La lista fechada es corta: 15 en una máquina NMR de 7 espines (Vandersypen et al., Nature 414, 2001), 21 en un montaje fotónico con reciclaje de qubits (Martín-López et al., Nature Photonics 6, 2012), otra vez 15 en iones atrapados con protocolo estilo Kitaev (Monz et al., Science 351, 2016), y el intento con 35 en el ibmqx5 de IBM (Amico et al., PRA 100, 2019) — cuyos propios autores reportan que la corrida tuvo éxito cerca del 14% de las veces y que, para 35, «el algoritmo falla» bajo el ruido acumulado. La lectura más estricta del récord es, por lo tanto, 21 — la última corrida cuyos autores reclamaron éxito —; la más generosa, 35. En cualquiera de las dos, es un número de dos dígitos, y desde 2019 no se ha publicado ningún récord genuino nuevo de Shor en hardware (según la misma revisión, contrastada con el registro el 2026-11-02).

Hay un número medido más que conviene conocer, porque calibra todo lo demás: el récord de SIMULAR el algoritmo de Shor en hardware clásico es un entero de 39 bits — 549.755.813.701 — corrido en 2.048 GPUs del supercomputador JUWELS Booster (Willsch et al., arXiv:2410.14397). Una flota de 2.048 GPUs también puede, desde septiembre de 2026, factorizar clásicamente un módulo RSA de 896 bits (sección siguiente). La misma flota, puesta a emular un computador cuántico corriendo Shor, se queda cerca de los 39 bits. Así se ve una separación exponencial desde ambos lados — y por eso cada qubit adicional de una futura máquina tolerante a fallas importará, en tiempo futuro (las estimaciones de recursos para RSA-2048 viven en nuestro refresh fechado de la escalera; son promesas en papel, no mediciones — ver cuántos qubits haría falta para romper RSA-2048).

¿Por qué no cuentan los claims famosos de «factorización cuántica»?

Porque al leer la letra chica, ninguno factorizó nada con forma criptográfica — y el campo sabe desde 2013 exactamente cómo engañan esas demostraciones. Ese año, tres investigadores de IBM publicaron la reductio ad absurdum: un circuito de Shor «compilado» que factoriza números arbitrariamente grandes de forma conveniente, en tiempo constante y con dos qubits (Smolin, Smith y Vargo, arXiv:1301.7007, 2013). Su punto, hoy canónico: si simplificás el circuito usando conocimiento previo de la respuesta, el tamaño del número «factorizado» no mide nada. La revisión de 2025 aplica la misma cautela incluso a las corridas canónicas de 15/21/35: esos circuitos compilados «podrían no haberse encontrado sin conocimiento previo de la respuesta» (arXiv:2410.14397).

El expediente de los claims famosos, cada uno con su letra chica y su fuente:

Dos familias merecen una línea más cada una. Los híbridos de retículos de Schnorr (el claim de 2022 y sucesores) han reportado factorizaciones de hasta ≈100 bits, pero la revisión registra que «se han planteado dudas sobre el escalamiento declarado del enfoque» y lo archiva como pregunta abierta (arXiv:2410.14397). Y la familia del annealing tiene un récord medido real — 8.219.999 en una máquina D-Wave — cuya letra chica es aritmética: 8.219.999 = 251 × 32.749, un semiprimo desbalanceado cuyo factor menor cabe en 8 bits; los módulos RSA, por construcción, no tienen factor pequeño que encontrar. Nada de esto es una acusación — cada fila de arriba linkea su evidencia; es la diferencia entre un resultado medido y uno escalable.

¿Quién SÍ rompió llaves RSA en 2026?

Los computadores clásicos — dos veces, en dieciséis días, en septiembre — y los atacantes convencionales, todos los demás días del año. El 2026-09-03, Eric Lu, de Cognition, factorizó RSA-260 (862 bits, 260 dígitos) con un port a GPU de la criba abierta CADO-NFS construido en gran parte por el agente Devin de esa empresa: ≈4.900 GPU-días (13,5 GPU-años) en GPUs B200/GB200/GB300, ≈US$400.000 a precios de mercado, «esencialmente sin avances algorítmicos» según la descripción del propio autor (Cognition blog, 2026-09-09; los dos factores de 130 dígitos se verifican multiplicando). Dieciséis días después, el 2026-09-19, Stephen Weis publicó los factores de RSA-896 (896 bits, 270 dígitos): CADO-NFS portado a GPU con el modelo Claude, ≈30 GPU-años en hasta 2.048 H100 durante ≈10 días de capacidad ociosa de datacenter; el autor declara que el trabajo «no mejoró significativamente» el runtime de la criba y que «no impacta la seguridad de las llaves RSA-2048 desplegadas» (saweis.net, 2026-09-19; los dos factores de 135 dígitos se verifican). Su afirmación adicional — que las llaves RSA-1024 quedarán al alcance de actores con flotas de GPU a escala de datacenter — es su proyección, todavía sin demostración; la archivamos como tal.

Ambos récords son clásicos. Ninguno mueve el marcador cuántico ni un bit. Y mientras los titulares de 2026 seguían preguntando por qubits, el robo más grande de la historia de la industria — ≈US$6.360M a Binance el 2026-10-29 — se ejecutó con compromiso convencional de llaves, según las clasificaciones forenses disponibles a la fecha; nuestra pieza sobre qué cambia el hackeo más grande de la historia para tu seguridad mantiene ese expediente. El marcador que acompaña al cero de llaves rotas es este: brechas públicas atribuidas a un ataque cuántico, jamás, en ningún lugar: 0 (re-verificado el 2026-11-02, tablero abajo).

Si el marcador es 0 y 0 — ¿por qué tu reloj de migración sigue corriendo?

Porque todos los relojes que te obligan les ponen precio al futuro, no al presente — y lo dicen por escrito. Tres razones, cada una con su número. Primera, harvest-now-decrypt-later: el texto cifrado grabado hoy tendrá exactamente la edad de la vida útil de confidencialidad de tus datos cuando llegue una máquina capaz; para un registro que debe permanecer secreto 20 años, la fecha relevante no será el Q-Day sino el Q-Day menos 20 — la aritmética de Mosca que trabajamos en qué es HNDL y qué datos están en riesgo hoy. Segunda, los relojes regulatorios ya son finales y no hacen referencia alguna a la capacidad de hoy: el NIST IR 8547 (final, 2026-10-27) depreciará RSA/ECC después de 2030 y los prohibirá después de 2035; la EO 14412 y la OMB M-26-15 fijan fechas federales vinculantes en EE. UU. (intercambio de llaves PQC en activos de alto valor al 2030-12-31, firmas al 2031-12-31); el calendario del NCSC británico corre 2028/2031/2035 — el mapa completo está en cuándo expiran de verdad RSA y ECC. Tercera, las estimaciones de capacidad siguen bajando en papel — de ≈1M de qubits a 22.593 qubits de gato en cuatro años de publicaciones — y esas son promesas de la columna ocre, no mediciones; la posición de la casa sobre el timing, RQ-PRED-QDAY-001 (sellada el 2026-10-09: piso 2031, ventana 2033–2039), es un juicio pre-registrado y refutable, no una medición — ver cuándo llegará el Q-Day.

¿Qué hace un CISO con el cero de hoy? Usarlo dos veces. Hacia afuera, citarlo: un directorio al que le dijeron que «los computadores cuánticos están rompiendo la encriptación» merece la frase medida — ninguno lo ha hecho, nunca, públicamente, al 2026-11-02 — seguida de los relojes de arriba; la precisión compra la credibilidad que el pánico gasta. Hacia adentro, secuenciar con él: el cero significa que el driver de tu plazo será la vida útil del dato más la fecha regulatoria, no la demo de un atacante — así que inventario primero (un CBOM, inventario criptográfico de materiales), migrar intercambio de llaves antes que firmas (la asimetría medida en qué estándar PQC ya corre tu navegador), y dejar que el ≈70% del tráfico de navegadores que ya negocia acuerdo de llaves post-cuántico (Cloudflare, 2026-09-29) le recuerde al dueño del presupuesto que migrar ya es ingeniería mainstream, no especulación — la serie de adopción está en cuánto tráfico ya negocia PQC.

Tablero PQC — estado al 2026-11-02

Los dos ceros y la serie del récord clásico ya viven en el tablero como filas fechadas: la próxima vez que un deck de vendor o un titular afirme lo contrario, el delta se podrá contrastar contra una línea base con timestamp.

Qué no sabemos

• Si un actor estatal factorizó más en secreto. El registro que mantenemos es el público; una capacidad ejercida de forma encubierta no aparecería en él, y no hemos visto evidencia en ningún sentido. Solo podemos medir lo publicado.
• Dónde trazar exactamente la línea de «factorizado». Contamos factorizaciones publicadas y verificables que sus autores reclaman como éxito; la corrida de 2019 con 35 (≈14% de éxito, declarada falla por su propio paper) muestra que la frontera es real — por eso mostramos las dos lecturas (21 estricta, 35 generosa).
• Si alguien publicará una factorización de Shor verificada más allá de 35 — y cuándo. Que no haya nada nuevo desde 2019 es en sí un hecho medido, pero no seguirá siendo cierto para siempre.
• Si RSA-1024 caerá clásicamente en el plazo que proyecta Weis. Sus factores de RSA-896 se verifican; su claim sobre RSA-1024 es una proyección a la espera de demostración.
• Si el escalamiento disputado de los enfoques de retículos híbridos y de annealing será adjudicado formalmente; la revisión de 2025 archiva la pregunta de los retículos como abierta.
• Cuándo se pondrá a prueba nuestra propia ventana: la apuesta Q-Day (piso 2031, ventana 2033–2039) es un juicio sellado y refutable con revisión agendada ≈abril-2027 — no una medición, y la actualizaremos contra evidencia, no contra titulares.

Rosetta Quantum publica veredictos con datos crudos reproducibles y fuentes fechadas. Esto es contenido educativo, no asesoría de seguridad para un sistema específico — y no un claim de producto.