Claude AI 攻破后量子测试方案并发现更快的 7 轮 AES 攻击

导语：Anthropic 声称 Claude Mythos Preview 帮助推导出了针对后量子签名候选 HAWK-256 的端到端密钥恢复攻击，并将针对 7 轮 AES-128 的攻击速度提升 200 至 800 倍，但两者均不影响生产部署。

Anthropic 表示，Claude Mythos Preview 帮助推导出了针对 HAWK-256 的端到端密钥恢复攻击，并将针对 7 轮 AES-128 的现有攻击加速了 200 至 800 倍。

HAWK 攻击利用了签名方案背后格结构中此前从未被使用过的一种对称性。Anthropic 发布的实现在 96 核服务器上具有约 3 小时 42 分钟的预期端到端运行时间。针对 AES 的成果则移除了现有中间相遇攻击中的一个 256 路猜测步骤。

Anthropic 表示，这两项成果均不影响生产系统。HAWK 仍然是 NIST（美国国家标准与技术研究院）后量子标准化流程中的候选方案，而公开的恢复代码仅针对较小的 HAWK-256 参数。

针对 AES（高级加密标准）的成果适用于 AES-128 十轮中的七轮，并且仍然需要数量不切实际的选择明文。该公司表示，无需因此修改任何生产软件。

Anthropic 与两篇技术论文及可复现性工件一同发布了研究结果。公司表示，Mythos Preview 在很大程度上独立完成了这项研究，由人类提供项目方向、计算资源以及广泛的验证工作。

HAWK 是 2026 年 5 月 NIST 进入其额外后量子数字签名流程第三轮的九个候选方案中唯一的基于格的方案。其 NIST 安全等级参数集为 HAWK-512 和 HAWK-1024；HAWK-256 是作为密码分析目标提供的挑战参数。

直接的 HAWK 密钥恢复是搜索模块格同构问题（smLIP）的一个实例。攻击者必须恢复两个格之间的一个隐藏变换。

Daniël van Gent 和 Ludo Pulles 的一篇论文表明，一个非平凡的自同构（即保持格不变的对称性）会将 HAWK 密钥恢复简化为在一个维度约为原始维度一半的格中寻找短向量。

该研究打开了攻击路径，但作者当时表示这并不影响 HAWK。Anthropic 表示，Mythos Preview 找到了利用该路径所需的额外自同构。

由此产生的 HAWK-n 攻击从公钥构造出研究人员所称的 τ-上循环格（τ-cocycle lattice）。然后使用格归约和筛法恢复短向量，再重建一个能够为原始公钥签名的秘密基。

Anthropic 发布的实现通过签署消息并使用 NIST 参考实现进行验签来验证恢复的密钥。它不会恢复原始的 96 字节私钥种子，而是生成一个包含功能等效签名材料的 592 字节解码密钥。

Anthropic 发布的代码仅支持 HAWK-256，并拒绝所有非 HAWK-256 输入。该代码库包含两个 Anthropic 表示已成功攻破的公钥，并支持生成和测试新的 HAWK-256 密钥。

Anthropic 估计 HAWK-256 密钥恢复的预期工作量因子从 2^64 降至 2^38。在当日发布的 NIST 论坛公告中，Anthropic 表示 HAWK-512 的门数估计从 2^150 降至 2^108，HAWK-1024 的门数估计从 2^288 降至 2^182。更大的两个参数在实际攻击中仍然不可行。

截至本次审查，公开记录并未显示 NIST 或 HAWK 提交方是否会针对这些更低的估计值（如果有的话）改变该方案的参数、安全性声明或在标准化流程中的地位。

该攻击仍然是指数级的，并不是对 HAWK 的多项式时间破解。Anthropic 表示，该攻击不扩展到其他 NIST 签名候选方案，也不适用于一般的格密码学。

Anthropic 表示，Mythos Preview 在多智能体环境中花费约 60 小时开发并验证了该成果。一位人类研究人员提供了偶尔的项目管理指导，但并非格密码学专家。该公司将 API 成本定在约 10 万美元。

第二项成果针对从十轮缩减到七轮的 AES-128。研究缩减轮数的密码是标准的密码分析实践，因为它衡量的是在攻击触及完整构造之前还剩余多少安全裕度。

该攻击假设对手可以在一个固定且未知的密钥下获取约 2^105 个选择明文。仅这一要求就使其远远超出实际应用范围。

来源信息

来源：The Hacker News

原文链接：https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html

作者：info@thehackernews.com (The Hacker News)