Claude Mythos Preview 发现对 HAWK 和减轮 AES 的改进攻击

对 HAWK 的改进攻击

Claude Mythos Preview 发现对 HAWK 后量子签名方案的改进密钥恢复攻击，使其有效密钥大小减半。 该攻击将破解 HAWK-256 的预期成本从 2^64 次操作降低到 2^38 次操作，实际上为了达到相同的安全级别需要将密钥长度加倍。 该结果是在使用半自主代理工具并在偶有人工指导下工作 60 小时后获得的。 该攻击利用了 HAWK 基础格中的一个非平凡自同构，这是一种先前工作表明可以实现攻击的对称性，但在 HAWK 实例中尚未被发现。 该发现不会影响任何已部署的系统，因为 HAWK 仍然是 NIST 第三轮候选算法，尚未投入生产。

HAWK 的发现过程

HAWK 攻击是通过 Claude Mythos Preview 工作者在协作多代理工作流程中发现的，他们检查了文献，进行了数学推理，并运行了计算实验。 一名工作者最初将一个有前景的想法视为不可行，而另一名工作者将其发展成了可行的攻击；这对搭档交换消息直到双方都同意该利用。 人工操作员具有理论计算机科学背景但不熟悉基于格的密码学，仅提供了项目管理建议，例如哪些库可用于验证。 此工作的总 API 成本约为 100,000 美元。

HAWK 攻击的影响

由于 HAWK 是后量子标准化的候选算法，该攻击表明提交中提出的密钥大小比最初声称的要弱。 将密钥大小加倍可以恢复预期的安全级别，但会消除许多使 HAWK 具有吸引力的效率优势。 该攻击仅适用于 HAWK；它不扩展到其他 NIST 后量子签名候选算法或一般的基于格的密码学。 该结果符合 NIST 公开审查过程的目的：在部署之前发现弱点。

对减轮 AES 的改进攻击

Claude Mythos Preview 设计了一种更快的 7 轮 AES‑128 meet‑in‑the‑middle 攻击，其速度比之前最好的攻击快 200 到 800 倍。 这种改进源于一种称为 Möbius Bridge 的新指纹算法，它使猜测步骤保持不变，并将所需工作量降低了 256 倍。 该攻击在标准选择明文模型下运行，仍然需要不切实际数量的明文（2^105），但展示了计算部分的显著加速。 完整的 10 轮 AES‑128 密码仍未被破解；该结果仅适用于为密码分析洞察而研究的减轮变体。

AES 攻击的发现过程

在一名研究者构建了一个使 Claude 能够提出假设、运行实验并迭代攻击设计的脚手架之后，AES 攻击几乎完全是自主发现的。 模型的初始提示表达了对任何改进都不可能的怀疑；在收到明确鼓励去寻求新想法后，模型在三天内生成了数亿个标记。 三个高层次提示指导了搜索：提醒进行高智力研究，拒绝更改目标密码，以及鼓励避免低 hanging fruit（容易得到的成果）。 在莫比乌斯桥想法出现后，模型改进了攻击，生成了大约十亿个输出标记。 随后，人类研究者花费了几百小时学习足够的密码学知识以验证这些主张并准备研究论文。 此工作的 API 成本也大约为 100,000 美元。

AES 攻击的影响

该攻击不会威胁实际的 AES 使用，因为它仅针对 7 轮版本的密码；完整的 10 轮 AES‑128 在当前知识下仍然安全。 尽管如此，该结果有助于轮减少变体的研究，这有助于密码分析师估算完整算法的安全余量。 该攻击是语言模型如何加速新密码分析技术发现的一个显著例子。

进一步工作和 CryptanalysisBench

除了 HAWK 和 AES，团队还与 Claude Mythos Preview 一起探索了其他密码。 为 13 轮 LEA 开发了一种实用的密钥恢复攻击，使用少于 2^30 个明文即可恢复密钥，并在现代台式机上运行时间不到一小时。 对于 6 轮 Serpent‑128，也发现了类似的完整密钥恢复攻击。 对于 Salsa20、Poseidon 哈希函数和 SHA‑1，仅识别出有限的改进（低于 10 倍）。 为了促进更广泛的研究，研究人员与 ETH 苏黎世、特拉维夫大学和海法大学合作发布了 CryptanalysisBench，这是一个捆绑了许多密码算法的基准，用于评估 LLM 能力。 该基准在 arXiv 预印本 arXiv:2607.18538 中有描述。

结论

这项工作表明，前沿语言模型可以自主产生研究水平的密码分析进展，在某些细分领域与顶尖人类专家的进度相匹配。 随着模型的改进，网络安全社区可能会在验证和解释 AI 生成的发现方面遇到瓶颈，因而需要新的工作流程来进行验证、新颖性评估和实际影响分析。 团队计划举办一个学术研讨会，讨论语言模型在安全和密码学研究中的作用，并继续扩展他们对其他密码构造的研究。 所有主要结果已与 HAWK 作者共享，通过 NIST 邮件列表披露，并附有完整的技术论文；对于 AES 攻击，还附有思维链文档。 这些步骤遵循负责任的披露实践，旨在促进关于 AI 驱动的密码分析影响的透明讨论。