Claude сам вывел атаку на постквантовую подпись HAWK и ускорил взлом 7-раундового AES

Компания Anthropic опубликовала два результата криптоанализа, которые, по её словам, преимущественно получила сама модель Claude Mythos Preview — люди задавали направление, предоставляли вычислительные ресурсы и, главное, проверяли выкладки.

Симметрия, спрятанная в решётке HAWK

HAWK — единственная схема на решётках среди девяти кандидатов, которых NIST в мае 2026 года пропустил в третий раунд дополнительного конкурса постквантовых цифровых подписей. Наборы параметров уровня безопасности — HAWK-512 и HAWK-1024, а HAWK-256 существует как «мишень» для криптоаналитиков.

Восстановление ключа HAWK сводится к поиску скрытого преобразования между двумя решётками. Более ранняя работа Даниэля ван Гента и Людо Пуллеса показала, что нетривиальный автоморфизм решётки сократил бы задачу почти вдвое по размерности, но тогда это не угрожало HAWK. По утверждению Anthropic, Mythos Preview нашла недостающий автоморфизм, чтобы этот путь реализовать.

Опубликованная реализация строит из открытого ключа так называемую τ-кограничную решётку, применяет редукцию и просеивание, а затем восстанавливает функционально эквивалентный секретный материал для подписи (592-байтовый ключ, а не исходный 96-байтовый seed). Код работает только с HAWK-256 и отвергает любой другой ввод. Ожидаемое время сквозного восстановления — около трёх часов 42 минут на 96-ядерном сервере.

Anthropic оценивает падение трудоёмкости для HAWK-256 с 2⁶⁴ до 2³⁸. Для больших параметров оценки числа вентилей тоже снижаются (для HAWK-1024 — с 2²⁸⁸ до 2¹⁸²), но взлом остаётся практически невозможным. Атака по-прежнему экспоненциальная и не распространяется на другие кандидаты. Модель, по словам компании, потратила около 60 часов работы в мультиагентной среде и примерно $100 000 на вызовы API.

Быстрее, но всё ещё непрактично

Второй результат касается AES-128, урезанного с десяти раундов до семи. Изучение раундово-ослабленных шифров — стандартная практика: так измеряют запас прочности. Атака предполагает около 2¹⁰⁵ подобранных открытых текстов, что само по себе выводит её за пределы реального применения.

Mythos построила инвариантный «отпечаток», названный «мостом Мёбиуса»: он не меняется при переборе одного из промежуточных значений, что позволяет убрать 256-кратный перебор из известной атаки «встреча посередине». Итог — ускорение в 200–800 раз в зависимости от способа измерения.

Любопытная деталь: поначалу модель отказывалась работать, настаивая, что улучшить атаку на AES невозможно. Anthropic опубликовала резкие уточняющие запросы исследователя — с опечатками включительно, — которыми модель заставили продолжить поиск. «Мост Мёбиуса» нашёлся примерно через трое суток и несколько сотен миллионов токенов; всего было сгенерировано около миллиарда.

Основные затраты оказались человеческими: два исследователя почти месяц убеждались, что метод верен. Именно проверка, а не генерация, стала узким местом.

На 29 июля 2026 года NIST по-прежнему числит HAWK кандидатом третьего раунда. Независимого воспроизведения атаки на HAWK-256 The Hacker News на момент обзора не обнаружила.

Источник: The Hacker News