Почему LLM не взломают симметричную криптографию

28 июля Anthropic сообщила о новых криптоаналитических результатах, полученных с помощью языковой модели Claude Mythos. Первый — атака на восстановление ключа для схемы постквантовых подписей HAWK, кандидата в стандарты NIST. За исключением игрушечной версии HAWK-256 с 64-битной стойкостью, которая и без того практически взламываема, атака не имеет прикладного значения. Однако она осмысленно снижает оценку стойкости HAWK-512 со заявленных 128 бит до не более чем 108, а по спекулятивным оценкам — до 81 бита.

Второй результат — улучшенная атака на 7 раундов AES-128 (полная версия использует 10). Она никак не угрожает AES и, как отмечает автор блога, никого не удивляет. Куда важнее отрицательный итог: Mythos не нашла ни более сильной атаки, ни тем более способа вскрыть полнораундовый AES. Anthropic также поучаствовала в создании бенчмарка CryptanalysisBench с задачами по AES, ChaCha, BLAKE и постквантовым кандидатам.

Взгляд криптографа

Жан-Филипп Омассон, соавтор BLAKE, оценивает работу Anthropic положительно и особенно приветствует призыв формализовать методы криптоанализа: слишком многие статьи используют самодельную нотацию, описывая по сути одно и то же. Он ждёт от моделей и другой пользы — поиска ошибок в оценках сложности атак и в доказательствах стойкости. В начале года он уже просил нейросети найти изъяны в доказательствах статей с EUROCRYPT 2026 и получил замечания к большинству из них.

Тем не менее в главном Омассон уверен: LLM не взломают ни один из устоявшихся симметричных алгоритмов и не опровергнут гипотезы работы «Too Much Crypto». Он приводит несколько причин.

Во-первых, высокоуровневые конструкции — режимы GCM и CTR, губчатая конструкция хеш-функций — доказуемо безопасны. Во-вторых, у симметричных шифров, в отличие от задач теории чисел и большинства схем с открытым ключом, попросту нет математической структуры. Проектировщик намеренно уничтожает любую симметрию и закономерность. BLAKE3, по словам автора, — это длинная последовательность XOR, сложений по модулю и битовых вращений, где XOR разрушает линейность сложения, а сложение — линейность XOR.

Эту «неопрятность» хорошо описал Мэтью Грин: спроектировать симметричный шифр — всё равно что затащить трактор в зыбучий песок и залить цементом. Операции каждого раунда просты и быстры, но их итерации превращаются в неразбираемый клубок, и лишние «интеллекто-часы» тут вряд ли помогут.

В-третьих, почти весь криптоанализ симметричных схем — это разновидности дифференциального анализа, территория, исследованная вдоль и поперёк; принципиально новых классов атак модели, скорее всего, не откроют. Вдобавок такой анализ отчасти эмпиричен: смещения статистики находят экспериментально, не всегда понимая их природу. Наконец, эти алгоритмы прошли тысячи часов проверок — в основном безуспешных и потому неопубликованных.

Вывод Омассона прагматичен: симметричная криптография — самая крепкая часть наших систем безопасности, поэтому токены LLM лучше тратить на поиск ошибок в менее изученных постквантовых кандидатах.

Источник: Lobsters