Исследователи Anthropic при помощи Claude Mythos Preview нашли два новых способа атаковать криптографические алгоритмы. Первый ослабляет схему цифровой подписи HAWK, создававшуюся для постквантового мира. Второй — улучшенная атака на урезанный AES, самый распространённый симметричный шифр. Обе находки — серьёзный исследовательский прогресс, но на реально работающих системах они сейчас не сказываются.
HAWK — один из кандидатов третьего раунда конкурса NIST на дополнительные постквантовые подписи, и его безопасность держится на сложности задачи изоморфизма решёток. За 60 часов полуавтономной работы Mythos обнаружил в решётке HAWK ранее не использованный нетривиальный автоморфизм. Это позволило радикально ускорить атаку перебором: эффективный размер ключа снизился вдвое. Например, ожидаемая стоимость полного восстановления ключа для HAWK-256 упала с 2^64 до 2^38. На практике HAWK пока не развёрнут, но атака означает, что для прежнего уровня стойкости длину его ключей пришлось бы удвоить, а это сводит на нет многие преимущества схемы. В процессе агенты Claude в среде с Python и Sage сами изучали литературу, рассуждали математически и ставили вычислительные эксперименты; человек давал только общие управленческие подсказки.
Второй результат касается AES-128, урезанного до 7 раундов из 10. Mythos придумал усовершенствованную атаку «встреча посередине», применив более хитрый алгоритм фингерпринтинга — Möbius Bridge. Этот метод делает необязательным перебор 256 возможных значений на одном из этапов, а дополнительные оптимизации ускоряют всю атаку в 200–800 раз по сравнению с лучшей из известных. Атака работает в модели с выбранным открытым текстом и абсолютно непрактична, но показывает, как LLM могут двигать вперёд криптоанализ даже самого изученного шифра. Здесь открытие было почти полностью автономным: после того как модель сначала заявляла, что улучшить AES невозможно, исследователь дал всего три направляющих реплики — и через три дня Claude сгенерировал около миллиарда токенов и родил идею Möbius Bridge. Проверка корректности атаки заняла у людей несколько сотен часов.
Дальнейшие эксперименты принесли и другие находки. Mythos Preview разработал практическую атаку на 13-раундовый LEA (полный шифр имеет 24 раунда): она восстанавливает ключ меньше чем за час на обычном десктопе и требует менее 2^30 пар открытых текстов. Также получена полная атака восстановления ключа для 6 раундов Serpent-128 (полный — 32 раунда) и небольшие, менее чем десятикратные улучшения атак на Salsa20, Poseidon и SHA-1. Для системной оценки таких способностей Anthropic вместе с академическими партнёрами из ETH Zurich, Тель-Авивского университета и Университета Хайфы выпустили бенчмарк CryptanalysisBench.
Каждая из двух главных атак обошлась примерно в $100,000 API-расходов. В Anthropic подчёркивают: пока модели находят ожидаемые уязвимости в кандидатах и урезанных версиях, но прогресс стремителен — за год LLM прошли путь от неспособности анализировать даже простейшие шифры до находок, ускользавших от экспертов годами. Поэтому сообществу пора всерьёз обсуждать, как действовать, когда модели доберутся до уязвимостей в реально развёрнутых криптосистемах.