Anthropic опубликовала два новых криптоаналитических результата, добытых ещё не вышедшей моделью Claude Mythos. Первый бьёт по постквантовой схеме подписи HAWK, второй — улучшенная атака на уменьшенную версию AES.
HAWK строится на задаче изоморфизма решёток (module-LIP) и метила в будущий стандарт, будучи родственной уже стандартизуемой Falcon. Атака не ломает настоящий HAWK с реальными параметрами — она всё ещё экспоненциальная, но срезает число бит безопасности примерно вдвое. Теоретически схему можно спасти удвоением размера ключей, однако это убивает всё её преимущество — эффективность. Практическая демонстрация есть: код восстанавливает ключ за несколько часов на специально ослабленном «испытательном» экземпляре HAWK. Самое неприятное (и одновременно самое подходящее для ИИ) — в атаке нет принципиально новой математики. Она просто умело комбинирует давно известные инструменты, которые люди почему-то не дожали.
С AES история гораздо скромнее. Атака нацелена на 7-раундовый AES, тогда как полный шифр использует 10, 12 или 14 раундов. Это скромное улучшение константного множителя по сравнению с результатами аж 2013 года. Чтобы провернуть такое на практике, нужно уговорить владельца секретного ключа выдать 2^105 шифротекстов для выбранных открытых текстов и затем выполнить 2^89 операций — оба числа находятся далеко за гранью реализуемого. Прирост чисто бумажный, реально запустить атаку нельзя.
Забавнее всего то, как Anthropic получила эти результаты. Никакой армии экспертов — модели просто дали задание найти что-то стоящее и заставили пахать. Промпты вроде «проверь, можно ли улучшить атаку на HAWK» сработали без детального вмешательства человека. Модели научились понимать существующие статьи, синтезировать новые атаки и даже расширять их.
Главная проблема теперь — верификация. Когда атака реально запускается и выдаёт ключ за часы (как в случае HAWK), проверить её легко. С тонкими ускорениями вроде AES всё хуже: формальные доказательства на Lean спасают, но их ценность зависит от точности формулировок теорем, а это всё ещё требует живых экспертов. Рост потока результатов неизбежно упрётся в пропускную способность рецензентов.
Для обычных пользователей криптографии новости смешанные. Симметричные шифры вроде AES спроектированы с чудовищным запасом прочности, и простого увеличения интеллект-часов через ИИ тут недостаточно — нужен прорыв, которого пока нет. С публичной криптографией тревожнее: факторизация, дискретный логарифм, задачи на решётках и кодах анализировались относительно малым числом людей, и поле для новых атак открыто. Но именно сейчас идёт переход на постквантовые алгоритмы, так что появление мощного ИИ-криптоанализа выглядит даже кстати — лучшего момента, чтобы ударить по всем кандидатам до принятия стандартов, не придумаешь. В идеале это укрепит доверие к выбранным задачам.
Учёным живётся весело: появился пластиковый напарник для обсуждения сложных проблем, который пока не решает всё сам, но ускоряет движение вперёд. Только вопросы авторства и рецензирования остаются открытыми. Для всех остальных главный урок — не надо думать, что модели это «просто автодополнение», и не надо верить, что AGI уже здесь. Они быстро умнеют, но работа с ними похожа на пруд, где дно резко уходит из-под ног: минуту назад стоял уверенно — и вдруг гребёшь сам. Граница этой глубины медленно смещается. И мы все в одной лодке.