Quantum-as-a-Service: ¿Cuán cerca está la amenaza real?
El acceso a servicios de computadoras cuánticas a través de la nube representa un nuevo riesgo para la Ciberseguridad. Mientras que plataformas como IBM Starling y QuEra avanzan hacia la llamada ventaja cuántica, crece el riesgo de que los datos cifrados hoy, puedan ser vulnerados mañana a través de ataques generados en Computadoras Cuánticas. Frente a esta amenaza, organismos como NIST y ETSI impulsan nuevos estándares encripción y algoritmos para computadoras digitales, que aseguren la protección de la información crítica de los ataques desde Computadoras Cuántica.
El pasado abril de 2025, el NIST (Instituto Nacional de Estándares y Tecnología de Estados Unidos) publicó su PQC Migration Roadmap, advirtiendo que, aunque las computadoras cuánticas a gran escala aún no existen, la migración a la criptografía post-cuántica debía comenzarse “ayer” (https://csrc.nist.gov/projects/post-quantum-cryptography) en.wikipedia.org+14csrc.nist.gov+14industrialcyber.co+14. Recordemos que los algoritmos criptográficos post-cuánticos son aquellos que, corriendo en una computadora digital, tienen la capacidad de resistir un ataque desde una computadora cuántica.
Solo un mes después, el ETSI (organismo europeo de estandarización) organizó en Madrid una conferencia junto al Instituto de Computación Cuántica (IQC) para alinear a la industria europea con este desafío global (https://www.etsi.org/events/2450-etsi-iqc-quantum-safe-cryptography-conference-2025).
Estos indicadores no son señales aisladas: configuran un escenario claramente definido por tres vectores convergentes Quantum-as-a-Service (QaaS), algoritmos híbridos resistentes a ataques cuánticos y estándares institucionales acelerados como FIPS 203 que definen una nueva crisis en la seguridad de la información.
Quantum-as-a-Service ya está disponible
Evolución de IBM en QaaS
IBM anunció en junio de 2025 su Proyecto Starling, un sistema cuántico basado en códigos de corrección y arquitectura modular sostenida con 200 qubits lógicos, capaz de realizar hasta 100 millones de operaciones cuánticas y disponible por acceso en nube hacia 2029 desde Poughkeepsie, NY (https://csrc.nist.gov/projects/post-quantum-cryptography) . La clave técnica de este proyecto es el uso de códigos qLDPC (quantum low-density parity check), que reducen hasta un 90 % la sobrecarga de qubits físicos frente a códigos surface tradicionales (https://industrialcyber.co/nist/nist-advances-post-quantum-cryptography-standardization-selects-hqc-algorithm-to-counter-quantum-threats/). Según Jay Gambetta, VP de IBM Quantum, el enfoque ya no es investigación, “sino ingeniería con propósito”.
QuEra Computing basado en átomos neutros
QuEra avanza en su proyecto QaaS. El año pasado presentó su sistema con 10 qubits lógicos y 256 físicos. Este año se está expandiendo a 30 qubits lógicos (~3 000 físicos), incluyendo “magic state distillation” en instalaciones prototipo. Para el año que viene tiene una meta de 100 qubits lógicos (~10 000 físicos), pudiendo llegar a la “zona de ventaja cuántica”.
Sus plataformas ya están integradas en Amazon Braket, y han realizado pruebas de concepto con Harvard, MIT y NIST para validar eficiencia operativa con 48 qubits lógicos.
¿Qué implica esto para la Ciberseguridad?
El acceso remoto a hardware cuántico real, sin intermediarios académicos, gubernamentales o militares, implica que tanto investigadores legítimos como actores maliciosos pueden desarrollar estrategias, medir confiabilidad y estudiar los errores, posibilitando el desarrollo del formato de ataque “harvest now, decrypt later”: capturar datos hoy y descifrarlos mañana, cuando la computación cuántica esté madura.
Los algoritmos híbridos son capa de defensa
Paralelamente, la criptografía digital evoluciona frente a esta nueva amenaza. Desde el año pasado se están realizando implementaciones híbridas que combinan criptografía clásica y post-cuántica.
TLS 1.3 híbrido: Combina esquemas como Kyber (KEM) y Dilithium (firma) con RSA/ECDSA, brindando resistencia incluso si uno de los componentes cae. Varias agencias gubernamentales de Estados Unidos realizaron pruebas en entornos controlados, aprovechando librerías como liboqs para lograr la interoperabilidad con sistemas convencionales.
VPN resistentes: WireGuard y OpenVPN incorporaron extensiones que permiten que la generación de una clave criptográfica use algoritmos híbridos basados en el estándar FIPS 203, asegurando que el canal siga siendo seguro aun cuando sufriera un ataque cuántico.
Casos de mercado
- IBM Quantum Safe Toolkit: ofrece abstractions y flow de trabajo que permiten integrar esquemas híbridos en TLS tanto en entornos cloud como on-premise.
- Cloudflare PQ Protection Suite: en fase beta, habilita cifrado TLS híbrido en conexiones reales con apenas 2–5 ms de latencia agregada para usuarios finales.
Los nuevos estándares
NIST: El 13 de agosto de 2024, publicó los estándares finales FIPS 203 (KEM), FIPS 204 (Firma modular Dilithium) y FIPS 205 (SLH-DSA con SPHINCS+) (https://csrc.nist.gov/projects/post-quantum-cryptography). Posteriormente, IR 8547 en noviembre de 2024 y SP 800‑227 en febrero 2025, ajustaron los lineamientos para transiciones sistémicas, estableciendo el final del uso de los algoritmos RSA y ECC para 2030 y su prohibición total en 2035 (https://www.infosecglobal.com/posts/nist-post-quantum-cryptography-deadlines-ir-8547). También se seleccionó HQC como algoritmo de respaldo para ML-KEM en marzo de 2025, en vista de las posibles fallas futuras en Kyber/Falcon (https://industrialcyber.co/nist/nist-advances-post-quantum-cryptography-standardization-selects-hqc-algorithm-to-counter-quantum-threats/).
ETSI: En marzo de 2025 lanzó la especificación TS 104 015, que promueve el uso de esquemas híbridos con políticas de acceso (KEMAC), permitiendo una transición hacia un entorno post-cuántico sin sacrificar interoperabilidad (https://www.etsi.org/newsroom/press-releases/2513-etsi-launches-new-standard-for-quantum-safe-hybrid-key-exchanges-to-secure-future-post-quantum-encryption).
Estado actual y nivel de urgencia
| Vector | Estado junio 2025 | Urgencia |
| QaaS | IBM Starling (200 qubits lógicos) y QuEra (100 en 2026) con acceso cloud ya activo o próximo | 🔴 Alta |
| Algoritmos híbridos | Implementaciones TLS/VPN en piloto real, casos comerciales con IBM y Cloudflare | 🟠 Alta |
| Estándares institucionales | FIPS 203/4/5 existentes; SP 800‑227, HQC y ETSI TS 104 015 publicados; NIST/ETSI roadmap activo | 🟢 Muy Alta |
| Adopción gubernamental | Agencias federales migran datos críticos y sistemas infra; estándares regulatorios ya obligatorios en ámbitos regulados (Finanzas, Salud, OT) | 🟠 Alta |
No estamos en un futuro hipotético, ya estamos en la ventana de riesgo. Si los datos de una empresa requieren confidencialidad por más de 5 años y actualmente usan RSA o ECC, ya es momento de comenzar una migración a soluciones post-cuánticas.
Recomendaciones estratégicas inmediatas
- Inventario y detección: Catalogar todos los datos sensibles con retención mayo a 5 años; detectar si el cifrado utilizado es RSA o ECC y planificar transición inmediata.
- Realizar pruebas de TLS/VPN híbridos: Implementar Cloudflare PQ Suite e IBM Toolkit en entornos controlados, medir compatibilidad, escalabilidad y latencia.
- Actualizar políticas de cifrado: Adoptar marcos que exijan TLS 1.3 híbrido o PQC puro, siguiendo FIPS 203 y ETSI TS 104 015 como referencia normativa interna.
- Formación de los equipos: Capacitar a ingenieros y analistas en algoritmos Kyber/Dilithium/SPHINCS+/HQC y flujo de trabajo híbrido.
- Vigilancia activa de estándares: Suscribirse a alertas NIST y ETSI; asistir al congreso PQC de septiembre de 2025; anticipar próximos estándares (FIPS 206 con Falcon, EN estándar europeo AQSHKE).
- Operacionalizar la interoperabilidad: Usar librerías como liboqs y Open Quantum Safe en pruebas de integración; coordinar con terceros para definir interoperabilidad.
Las ofertas más maduras del mercado: IBM y Cloudflare
- El IBM Quantum Safe Toolkit permite la implementación de TLS híbrido en entorno PQC vía Qiskit y entornos cloud privados. Algunas empresas ya lo usan para pruebas de concepto en entornos financieros y de manufactura crítica.
- Cloudflare PQ Protection Suite provee TLS híbrido con Kyber/Dilithium, probado en producción con apenas 2 a 5 ms de latencia, adecuado para servicios web con exigencias de seguridad sin impactar la disponibilidad.
Estos ejemplos ilustran cómo el mercado ya opera en el espacio post-cuántico, reduciendo el campo de acción del cifrado clásico.
La línea de tiempo es crítica
- 2026–2029: ventaja cuántica operativa con 100–200 qubits lógicos de QaaS, accesibles comercialmente.
- 2030–2035: extinción de RSA/ECC 112/128 bits garantizada por FIPS; migración completa exigida.
- Ya 2025: cobertura normativa completada, pruebas de concepto activas, plataformas de mercado disponibles.
Quantum-as-a-Service abrió una ventana de riesgo. Pero como siempre ocurre en Ciberseguridad, también abrió la de la oportunidad.
Leer mas
- Amenaza vintage asedia a América Latina: el phishing afecta a 43% de las PyMEs de la región
- Preparación para IA retrasa ambiciones: estudio de IDC destaca aspectos que amenazan el éxito de la IA Generativa
- Cómo detectar y mitigar amenazas dormidas en tus sistemas al iniciar el año
