Cifrado Totalmente Homomórfico en 2026: Qué Se Lanza y Qué Sigue Siendo Hype

El cifrado totalmente homomórfico tiene la reputación más extraña de la criptografía aplicada: a la vez "el santo grial" y "siempre a diez años vista". Ambas reputaciones son ya erróneas. Apple y Microsoft documentan despliegues de búsqueda privada en producción, y Zama opera infraestructura de smart contracts cifrados en Ethereum. El sobrecoste sigue siendo grande, pero cambia con esquema, operación, parámetros, batching, hardware y baseline de texto plano; no existe un multiplicador universal honesto. Este post explica qué hace el FHE en producción en 2026 y qué hay que medir.

Perspectiva de ingeniería, no un pitch de proveedor. Cuando una cifra viene de un vendor o es una proyección de roadmap en lugar de un resultado ya lanzado, lo etiquetamos. Los puntos de referencia vienen del trabajo de Wavect en tecnología de frontera e IA.

¿Qué es el FHE, y por qué se volvió interesante de repente?

El FHE permite a un servidor computar sobre datos cifrados sin descifrarlos nunca. El cliente cifra el input, el servidor ejecuta la computación a ciegas, y solo el cliente puede descifrar el resultado. El servidor no aprende nada, ni siquiera la respuesta. Es una promesa categóricamente más fuerte que el cifrado en reposo, y más fuerte que un entorno de ejecución confiable, porque no hay ningún fabricante de hardware en el modelo de confianza.

Se volvió interesante por dos razones. Primera, el rendimiento: una operación de bootstrapping de TFHE, la unidad básica de computación cifrada ilimitada, cayó de decenas de milisegundos en una CPU a menos de un milisegundo en una NVIDIA H100. Segunda, la credibilidad: Apple lo lanzó a escala de consumo, y Zama se convirtió en el primer unicornio del campo con una Serie B de 57 millones de dólares a una valoración por encima de 1.000 millones de dólares en junio de 2025 (Zama). El dinero y los despliegues en producción cambiaron la conversación.

¿Qué esquema para qué trabajo?

"FHE" es una familia, y elegir el miembro equivocado es un primer error común:

Regla rápida: la lógica y las comparaciones quieren TFHE, el ML quiere CKKS, los lookups exactos quieren BFV. Una buena introducción a los esquemas es el "Beginner's Textbook for Fully Homomorphic Encryption" de 2025 (arXiv 2503.05136). Los stacks modernos cambian cada vez más de esquema a mitad de computación, que es exactamente para lo que existen proyectos de compilador como HEIR de Google.

¿Qué se lanza de verdad en producción?

La lista de producción es corta, real e instructiva:

• Apple Live Caller ID Lookup (iOS 18+). Tu iPhone comprueba una llamada desconocida contra la base de datos de un proveedor de identificación de llamadas sin revelar el número de teléfono al servidor, usando private information retrieval basado en BFV. Apple liberó el stack como swift-homomorphic-encryption (Swift.org, 2024). Junto con Enhanced Visual Search abajo, es probablemente la mayor huella de FHE de consumo que existe.
• Apple Enhanced Visual Search. Fotos empareja los monumentos de tus imágenes contra un índice del servidor usando FHE más privacidad diferencial. Criptográficamente excelente, y aun así un caso de estudio de consentimiento: Apple lo activó por defecto sin preguntar, y se llevó una reacción pública justificada en enero de 2025 (The Register). La tecnología de privacidad no excusa saltarse el opt-in.
• Microsoft Edge Password Monitor. Comprueba tus credenciales contra corpus de filtraciones de forma homomórfica, de modo que Microsoft nunca ve la contraseña. Misma forma arquitectónica que el despliegue de Apple: un lookup privado de conjuntos.
• Protocolo Zama en Ethereum. En mainnet desde el 31 de diciembre de 2025, con balances cifrados y transferencias confidenciales mediante TFHE y un servicio de claves MPC de umbral (docs de Zama). El protocolo está vivo; el throughput depende de las operaciones cifradas y debe medirse.
• Colaboración de datos empresarial. Duality Technologies ejecuta analítica homomórfica y federada con socios sanitarios, incluido Dana-Farber, combinando típicamente HE con federated learning en lugar de correr todo bajo FHE.

Fíjate en lo que todo despliegue de consumo tiene en común: es un lookup privado contra un dataset del servidor, conocido en la literatura como private information retrieval. Consulta pequeña, computación acotada, latencia tolerante a lo asíncrono. Ese es el patrón que se lanza. Nadie está corriendo su backend bajo FHE, incluidas las empresas con más dinero del planeta.

"Cada despliegue de FHE que de verdad se lanzó es un lookup privado estrecho. Los equipos que fracasan son los que intentan cifrar el backend entero."

¿Cómo de lento es el FHE, en realidad?

Las cifras honestas, revisadas el 2 de septiembre de 2026:

• No hay un multiplicador universal defendible. El esquema, parámetros de seguridad, operaciones, profundidad, packing, bootstraps, hardware y comparador de texto plano cambian el coste. Mide el camino completo.
• Bootstrapping de TFHE: milisegundos de un solo dígito en un núcleo de CPU moderno, menos de un milisegundo en una GPU de clase H100, con reportes de alrededor de 189.000 bootstraps por segundo en un nodo de 8 GPUs (cifra de vendor).
• Inferencia de ML con modelos pequeños: regresión logística, árboles de decisión y redes neuronales pequeñas corren en segundos bajo CKKS o vía Concrete ML de Zama, que convierte modelos cuantizados y mantiene la precisión a pocos puntos del texto plano para cuantización de 4 bits (Hugging Face / Zama).
• PIR a escala: práctico hoy. Apple responde lookups cifrados para una gran fracción de los iPhones del mundo con latencia y coste de servidor aceptables.

No escales la latencia de texto plano con una regla FHE genérica. Modela operaciones, parámetros, packing, bootstraps, serialización, transferencia y hardware objetivo; después mide end to end.

¿Puedes correr un LLM bajo FHE?

No, no de forma interactiva, y esta sección existe porque las cifras que más se citan para demostrar lo contrario están equivocadas de una forma instructiva. La cifra ampliamente difundida de "8,2 minutos por token para GPT-2 con 25,3 GB de comunicación" viene de investigación de computación segura entre dos partes, no de FHE (arXiv 2410.13060). Los gigabytes de tráfico de red son la pista delatora: MPC quema ancho de banda entre las partes, mientras que FHE quema cómputo local casi sin comunicación. Confundir los dos es el error técnico más común en el contenido sobre IA privada.

El cuadro real del FHE: la investigación acelerada por GPU ejecuta un forward pass de clase GPT-2 aproximadamente 200x más rápido que las bases de CPU (ICML 2025), lo que todavía lo deja lejos del chat interactivo. Los esquemas híbridos (correr las capas de atención en claro y las capas sensibles cifradas) intercambian privacidad por velocidad y siguen siendo investigación. Lo que funciona en términos de producción es la inferencia de modelos pequeños sobre datos genuinamente sensibles: scoring crediticio, precribado médico, señales de fraude, donde unos segundos de latencia sobre un modelo acotado son aceptables. Si necesitas inferencia privada de modelos frontier hoy, la respuesta pragmática es una GPU confidencial (TEE de clase NVIDIA H100), y comparamos esos modelos de confianza en el post del framework de decisión.

¿Arreglará el hardware el sobrecoste?

Parcialmente, en un calendario creíble:

• Disponible hoy: GPUs. Los resultados publicados muestran gran aceleración para parámetros TFHE concretos, pero no prueban throughput end to end. La documentación actual de Zama describe rutas de coprocesador CPU y GPU; mide la ruta desplegada.
• Silicio prototipo: Intel HERACLES. Intel demostró en ISSCC, en febrero de 2026, un acelerador FHE fabricado de 8192 vías SIMD y reportó mejoras de 1.074x a 5.547x frente a un Xeon en siete primitivas (IEEE Spectrum). Esto corrige dos errores opuestos: HERACLES no se detuvo y ya no es solo una simulación. Sigue siendo un prototipo de investigación sin disponibilidad comercial anunciada, así que diseña hoy para GPUs desplegables y trata los ASIC como potencial futuro.

¿Con qué librería deberías empezar?

Elecciones por defecto: TFHE-rs para lógica, la librería de Apple para PIR, y un benchmark del workload antes de elegir cualquier stack CKKS. Empieza el bake-off de CPU con Poulpy, Lattigo, SEAL y OpenFHE; añade una librería nativa de GPU como FIDESlib cuando el despliegue en NVIDIA sea aceptable. OpenFHE sigue siendo valioso por amplitud e interoperabilidad, pero librerías especializadas pueden ser uno o dos órdenes de magnitud más rápidas en rutas CKKS importantes. No elijas desde un ranking genérico: iguala tamaño de anillo, profundidad, precisión, frecuencia de bootstrapping, batch y hardware objetivo con tu workload real.