¿Puede un ordenador cuántico romper RSA hoy?

No. Romper una clave RSA de 2048 bits exigiría, según la estimación publicada más reciente (Paul Webster y otros, de la empresa Iceberg Quantum, en un preprint de febrero de 2026), un ordenador cuántico con menos de 100 000 cúbits físicos funcionando sin parar del orden de un mes, y con una calidad que los ordenadores cuánticos actuales todavía no tienen a esa escala. Lo que sí ha cambiado es la cifra: en 2019 la estimación era de 20 millones de cúbits durante 8 horas, y en mayo de 2025 Craig Gidney la bajó a menos de un millón durante menos de una semana. El preprint de 2026 supone la misma tasa de error (0,1 %) y los mismos tiempos que Gidney; lo que cambia es el código corrector cuántico (códigos QLDPC en lugar de códigos de superficie), que pide conexiones entre cúbits algo alejados y no solo entre vecinos. Son diseños sobre el papel: nadie los ha construido.

La idea

RSA es seguro porque multiplicar dos primos grandes es fácil y deshacer la multiplicación, no: con los mejores algoritmos clásicos conocidos, factorizar un número de 2048 bits está muy fuera del alcance de todos los ordenadores del mundo juntos. El NIST le asigna una seguridad de 112 bits: romperla cuesta del orden de $2^{112} \approx 5\cdot 10^{33}$ operaciones. En 1994, Peter Shor descubrió que un ordenador cuántico podría hacerlo en un tiempo razonable. La pregunta ya no es si se puede, sino cuántos cúbits hacen falta, y esa cifra no deja de bajar.

Mueve el deslizador para ver cuántos cúbits lógicos necesita el algoritmo según el tamaño de la clave, y lo que cuesta de verdad con cúbits físicos para RSA-2048:

La diferencia entre las dos cifras es la clave. Un cúbit lógico es un cúbit ideal, sin errores. Los cúbits reales, los físicos, se equivocan, así que cada cúbit lógico se construye con muchos físicos mediante un código corrector de errores cuántico. Por eso el número que importa en un titular no es cuántos cúbits tiene un ordenador, sino cuántos cúbits lógicos fiables consigue.

Para situar las cifras: en 2024, el chip Willow de Google (105 cúbits superconductores) mostró un código corrector de errores cuántico por debajo del umbral crítico (el error baja al aumentar el código), con un cúbit lógico formado por 101 cúbits y un error de 0,143 % por ciclo. Y un grupo de Caltech atrapó más de 6100 átomos neutros en una matriz de pinzas ópticas, centrado en atraparlos y conservarlos, no en hacer cálculos. Son avances reales, pero lejos de lo que exige romper RSA-2048: hacen falta a la vez muchos más cúbits, errores más bajos y miles de millones de operaciones corregidas seguidas.

Las matemáticas de verdad

El algoritmo de Shor convierte factorizar en encontrar un periodo. Sea $N$ el número que queremos factorizar y $a$ un número al azar con $\operatorname{mcd}(a, N) = 1$. El orden de $a$ módulo $N$ es el menor $r > 0$ tal que

$$a^r \equiv 1 \pmod{N}.$$

Si $r$ es par y $a^{r/2} \not\equiv -1 \pmod N$, entonces $N$ divide a $(a^{r/2} - 1)(a^{r/2} + 1)$ sin dividir a ninguno de los dos factores, así que $\operatorname{mcd}(a^{r/2} - 1,\, N)$ es un divisor propio de $N$. Para $N$ con al menos dos factores primos impares distintos (los factores 2 se quitan antes, clásicamente), esto ocurre con probabilidad al menos $1/2$ al elegir $a$.

Por ejemplo, con $N = 15$ y $a = 7$: las potencias de 7 módulo 15 son $7, 4, 13, 1$, así que $r = 4$. Entonces $7^2 = 49 \equiv 4$, y $\operatorname{mcd}(3, 15) = 3$ y $\operatorname{mcd}(5, 15) = 5$ son los factores.

La parte cuántica es encontrar $r$: la función $x \mapsto a^x \bmod N$ es periódica con periodo $r$, y la transformada cuántica de Fourier permite leer ese periodo (se mide una aproximación de una fracción $k/r$ y $r$ se recupera con fracciones continuas) con un número de operaciones polinómico en el número de bits de $N$. Clásicamente no se conoce ninguna forma eficiente de hacerlo. En el modelo de circuito abstracto, la construcción de Gidney y Ekerå usa $3n + 0{,}002\, n \lg n$ cúbits lógicos para un número de $n$ bits: unos 6200 para RSA-2048. La de Gidney de 2025 baja a menos de 1600 gracias a una aritmética aproximada con residuos.

Fuentes

• Craig Gidney, How to factor 2048 bit RSA integers with less than a million noisy qubits, arXiv, 2025.
• Craig Gidney y Martin Ekerå, How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits, arXiv, 2019 (publicado en Quantum, 2021).
• Paul Webster y otros, The Pinnacle Architecture, arXiv, 2026 (preprint).
• Google Quantum AI, Quantum error correction below the surface code threshold, arXiv, 2024.
• Hannah J. Manetsch y otros, A tweezer array with 6100 highly coherent atomic qubits, arXiv, 2024.
• Peter W. Shor, Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer, SIAM Journal on Computing, 1997.