Claude AI 破解后量子测试方案并发现更快的 7 轮 AES 攻击

Anthropic 表示，Claude Mythos Preview 帮助推导出针对 HAWK-256 的端到端密钥恢复攻击，并使针对七轮 AES-128 的攻击速度提升了 200 到 800 倍。
HAWK 攻击利用了该签名方案背后格结构中此前未被使用的对称性。Anthropic 发布的实现在一台 96 核服务器上的预期端到端运行时间约为 3 小时 42 分钟。AES 的结果则从现有的中间相遇攻击中移除了一步 256 种可能性的猜测步骤。
Anthropic 表示，这两项结果均不影响生产系统。HAWK 仍是美国国家标准与技术研究院（NIST）后量子标准化进程中的候选方案，且公开的恢复代码仅针对较小的 HAWK-256 参数。
高级加密标准（AES）的结果适用于 AES-128 十轮中的七轮，且仍然需要不切实际数量的选择明文。该公司表示，没有任何生产软件需要因此进行更改。
Anthropic 与两篇技术论文和可复现性工件一同发布了这些发现。该公司表示，Mythos Preview 在很大程度上自主进行了研究，人类提供了项目方向、计算资源和广泛的验证。
隐藏在 HAWK 格中的对称性
HAWK 是 NIST 于 2026 年 5 月推进到额外后量子数字签名流程第三轮的九个候选方案中唯一的基于格的方案。其 NIST 安全级别参数集为 HAWK-512 和 HAWK-1024；HAWK-256 是作为密码分析目标提供的挑战参数。
直接恢复 HAWK 密钥是搜索模块格同构问题（smLIP）的一个实例。攻击者必须恢复两个格之间的隐藏变换。
Daniël van Gent 和 Ludo Pulles 的一篇论文表明，一个非平凡的自同构（一种保持格不变的对称性）可以将 HAWK 密钥恢复简化为在维度约为原始一半的格中寻找短向量。
该工作打开了攻击路径，但作者表示当时并未影响 HAWK。Anthropic 表示，Mythos Preview 找到了利用该路径所需的额外自同构。
由此产生的 HAWK-n 攻击从公钥构建了一个研究人员称之为 τ-cocycle 格的结构。然后，它使用格约化和筛法来恢复短向量，之后重建一个可以为原始公钥签署消息的秘密基。
Anthropic 发布的实现通过签署一条消息并使用 NIST 参考实现进行验证来确认恢复的密钥。它不恢复原始的 96 字节密钥种子，而是生成一个包含功能等效签名材料的 592 字节解码密钥。
Anthropic 发布的代码仅支持 HAWK-256，并拒绝所有非 HAWK-256 输入。该代码仓库包含两个 Anthropic 声称已成功攻击的公钥。它还支持生成和测试新的 HAWK-256 密钥。
Anthropic 估计，HAWK-256 密钥恢复的预期工作因子从 2^64 降至 2^38。在同一天的 NIST 论坛公告中，它表示 HAWK-512 的门数估计从 2^150 降至 2^108，HAWK-1024 从 2^288 降至 2^182。两个更大的参数仍然难以攻击。
截至本次审查，公开记录未显示 NIST 或 HAWK 提交者是否会根据这些降低的估计值来更改该方案的参数、安全声明或在标准化进程中的地位（如果有的话）。
该攻击仍然是指数级的。它并非对 HAWK 的多项式时间破解，Anthropic 表示它也不扩展到其他 NIST 签名候选方案或一般的格密码学。
Anthropic 表示，Mythos Preview 在多智能体环境中用了大约 60 小时开发和验证了该结果。一名人类研究员提供了偶尔的项目管理指导，但并非格密码学专家。该公司将应用程序编程接口（API）成本定为约 10 万美元。
更快，但仍不切实际
第二个结果针对从十轮缩减到七轮的 AES-128。研究缩减轮数的密码是标准的密码分析实践，因为它衡量了在攻击到达完整结构之前还剩下多少安全裕度。
该攻击假设攻击者可以获取约 2^105 个在同一个固定未知密钥下加密的选择明文。仅这一要求就使其远远超出了现实世界的使用范围。
此前的中间相遇攻击通过存储中间密文状态并匹配从密码两端进行的计算，以内存换取计算。先前攻击中的一个阶段需要在查表之前测试 256 个可能的值。
Mythos 开发了一个 Anthropic 称之为 Möbius Bridge 的不变指纹。由于该指纹在该猜测值上不变，攻击可以移除 256 种枚举。在考虑了变换的成本和其他优化后，Anthropic 估计七轮 AES-128 攻击的速度提升了 200 到 800 倍，具体取决于运行时间的测量方式。
随附的 AES 论文介绍了数学构造，而发布的工件提供了论文中引用的每个实验的代码。
Anthropic 的代码针对一个具有 24 位密钥的较小类 AES 密码执行了完整的黑盒密钥恢复。对于真实的七轮 AES-128，它测量了各个表项和在线候选值。独立的 C、Python 和 Rust 实现测试了各个组件声明，Anthropic 将这些测量结果推演到完整攻击。它并未从头到尾执行完整的 AES-128 恢复。
实际结果的范围比 HAWK 和 AES 这些名称可能暗示的要窄。完整的 HAWK 恢复针对的是 HAWK-256，这是一个挑战参数，而非 NIST 安全级别参数集。对于七轮 AES-128，Anthropic 从组件测量结果推演了完整攻击的成本，并且该攻击在现实规模下仍然不可行。
该公司表示，该模型最初拒绝参与，坚持认为改进 AES 是不可能的。Anthropic 发布了研究员直白的后续提示——包括拼写错误等所有内容——这些提示推动了模型继续探索。
Anthropic 表示，Mythos Preview 在约三天和数亿个输出 token 后找到了 Möbius Bridge。它在接下来的几天里改进了该方法，最终生成了大约 10 亿个输出 token。
更高的成本在于人力。模型运行花费了约 10 万美元的 API 使用费，但研究人员花费了数百小时来验证该方法。Anthropic 表示，两名研究人员花了近一个月的时间才确信其正确性。根据 Anthropic 的说法，验证是可见的瓶颈。
这些披露紧随 7 月 20 日发布的 CryptanalysisBench 之后，这是一个由苏黎世联邦理工学院、Anthropic、海法大学、柏林工业大学和特拉维夫大学的研究人员开发的包含 191 个任务的基准测试。五个模型破解了其较容易的第一层级方案中的 65% 到 86%，以及第二层级中的 6 到 12 个全强度方案。
该基准测试评估了 Mythos 5，Anthropic 将其描述为 Mythos Preview 的最新更新。而 HAWK 和 AES 的披露具体提到了 Mythos Preview。
截至 2026 年 7 月 29 日，NIST 继续将 HAWK 列为第三轮候选方案。Anthropic 在 NIST 论坛的公告中感谢 HAWK 团队帮助验证结果并提供反馈，但未说明这是否涉及审查证明、运行公开工件，或两者兼有。
该公开帖子在检查时没有回复，The Hacker News 在此次审查期间也未找到对 Anthropic 的 HAWK-256 恢复的独立复现。