La IA de Google pone a prueba la seguridad de Signal, la alternativa segura a WhatsApp, y el resultado es histórico

El protocolo de Signal para cifrar de extremo a extremo todos los mensajes de la aplicación es uno de los más robustos del mundo. Ahora, un equipo de investigadores de Google DeepMind, liderado por los científicos Swarat Chaudhuri y Pushmeet Kohli, ha logrado verificar si esto es cierto de forma matemática, un evento que también se extiende a otras aplicaciones de mensajería instantánea como WhatsApp o Messenger de Meta.

En este caso, se ha realizado una verificación formal, lo que implica que se realiza una demostración matemática para probar que un programa informático se ejecuta de forma 100% sin ningún margen de error. Por tanto, es bastante diferente a lo que supondría una auditoría más tradicional que funciona de forma reactiva, ya que en este caso es imposible que existan vulnerabilidades no verificadas.

Para llevar a cabo este trabajo único, el equipo de Google DeepMind ha desarrollado la herramienta AlphaProof Code, que es un marco de trabajo que utiliza diferentes agentes de inteligencia artificial impulsados por modelos como Gemini 4 Carbon, el más potente de Google hasta la fecha.

Hasta ahora, para poder realizar un trabajo de esta magnitud hacían falta unos 20 años por persona, mientras que este tiempo se reducía a 6 años con el compilador CompCert; con el protocolo de Signal, lo que se ha logrado es directamente verificar el código de producción original en Rust sin modificaciones, compilado al lenguaje AArch64, el de la arquitectura de los procesadores que están en la gran mayoría de móviles Android e iOS.

«Mientras que los trabajos anteriores de verificación forman se centraban necesariamente en ámbitos más reducidos, este nuevo enfoque permite una expansión significativa», ha comentado en el comunicado Ehren Kret, CTO de Signal. «Tradicionalmente, verificar que el código de producción coincidía estrictamente con su diseño criptográfico requería un esfuerzo manual exhaustivo, por lo que usar agentes de IA para traducir automáticamente código activo en teoremas válidos supone un gran avance. A media que crecen las amenazas a la seguridad impulsadas por la IA, contar con el núcleo del protocolo de Signal rigurosamente verificado mediante la demostración automatizada de teoremas nos da una confianza aún mayor en que nuestro código cumple con sus garantías de privacidad».

Adicionalmente, para que todo el mundo pueda comprobar esto, el equipo de Google DeepMind ha compartido el estudio completo, así como una versión oficial en un repositorio de GitHub.

Un desarrollo histórico en datos sobre la fortaleza del protocolo de Signal

Las cifras que ha compartido Google son impresionantes y sitúan este evento en un hito histórico del mundo de la informática. En este sentido, los agentes de IA de AlphaProof Code han generado de forma autónoma más de 6,5 millones de líneas de código sobre un repositorio de aproximadamente unas 7 millones de líneas.

Para todo el proceso de verificación se han necesitado 4 semanas de ejecución con un equipo de 5 investigadores que guiaban a los agentes de IA, frente a los años o décadas que habrían necesitado con los métodos manuales tradicionales.

En cuanto a la revisión del código, los agentes también auditaron las pruebas y redactaron y definieron las especificaciones matemáticas de confianza, asegurando finalmente que tan solo el 1% del código final requería de la supervisión humana directa.

Con todos estos datos, las conclusiones fueron extremadamente positivas para el protocolo de Signal, ya que cumple con las propiedades de seguridad más exigentes. En primer lugar, se ha demostrado que garantiza que, incluso si un atacante filtra la clave privada en un futuro, no podrá descifrar los mensajes del pasado.

Adicionalmente, también se ha comprobado que el sistema permite la recuperación tras un compromiso temporal del dispositivo y que vuelva a un estado seguro, además de que mantiene resistencia postcuántica, mediante los algoritmos Kyber1024 y ML-KEM-768, que están diseñados para resistir ataques con ordenadores cuánticos.

La investigación representa así una auditoría extremadamente novedosa y sin margen para el error, dejando claro que Signal es una aplicación de mensajería instantánea extremadamente robusta.