Claude Mythos 密码分析攻破 HAWK 和 AES-128

在大约 60 小时的工作和约 10 万美元的 API 成本下，Anthropic 尚未发布的 Claude Mythos Preview 模型发现了一种针对 HAWK 的新攻击，HAWK 是一种基于格的签名方案，此前已通过 NIST 后量子标准化评审的两轮审查^[1]。该模型识别出此前未被利用的格对称性——一种“非平凡自同构”——将恢复 HAWK-256 私钥的成本从 2^64 降至 2^38 次运算，这种结构性缺陷是两年专家密码分析所遗漏的^[1]。该弱点在 HAWK 的其他参数集中同样存在：HAWK-512 的预估攻击成本从 2^150 降至 2^108 门电路，HAWK-1024 则从 2^288 降至 2^182^[2]。

在另一项时间与成本预算相似的独立研究中，Mythos 发明了一种名为莫比乌斯桥（Mobius Bridge）的新密码分析工具——一种数学指纹变换，能在中间相遇攻击中对 256 个猜测值保持不变，使攻击者跳过整个枚举步骤。应用于 7 轮 AES-128 时，该技术将最佳已知攻击速度提升了 200 至 800 倍，打破了自 2013 年以来保持的纪录^[3]。这两项成果均为真实、此前未被记录的密码分析贡献——这类成果通常足以支撑一篇独立的学术论文——且均出自同一通用模型，在人类研究人员极少领域引导的情况下完成。

这两项成果均未触及已部署的系统。HAWK 是 NIST 后量子签名竞赛的第三轮候选方案，尚未在任何生产环境中部署^[1]。AES 攻击范围更窄：它针对的是一个简化的 7 轮 AES-128 研究变体，而非当前保护数据的 10 轮密码，即便如此，它仍需要约 2^105 个选择明文——研究人员描述为需要超过 400 涅槃（octillion）条消息，远超攻击者实际可收集的量级^[4]。Anthropic 明确表示，这两项发现均为能力演示，而非可利用的漏洞。

更具影响的事实是这些结果对 HAWK 未来候选资格的影响：修复该缺陷意味着密钥和参数大小需大致翻倍，这将抹去 HAWK 作为后量子决赛方案之一最初所具有的紧凑性优势^[2]。

Anthropic 自身的表述将 HAWK 的安全强度下降描述为数量级的崩溃，媒体报道也沿用了“密钥强度大致减半”的简略说法。然而，实际密码学界的反应远不如主流报道那般惊叹：领域专家特别反驳了“减半”这一表述，认为其夸大了实际安全裕度的缩减；在同一讨论中，有专家评论者甚至将 AES 的结果视为一种优化，而非真正的密码学攻击。

独立密码学家 Matthew Green 在公告发布次日撰文，采取了折中立场。他称 HAWK 的结果“真正有趣——坦率地说，对这一领域而言有点尴尬——[因为] 所用技术并无奇特之处”^[5]，这意味着对已知技术的充分搜索发现了两年人类评审所遗漏的内容。他对 AES 结果则持更大怀疑态度，认为鉴于其参数的不切实际性，该成果仅为渐进式改进。Anthropic 的宣传表述与实际密码学界解读之间的差距本身即是故事的一部分：AI 实验室的能力演示如今正受到与同行评审对重大密码分析声明相同的 scrutiny——即使这会削弱头条数字，也仍是一个健康的信号。

此次发布最持久的洞见可能根本不是 HAWK 或 AES 的具体数字，而是验证这些结果所需付出的代价。即便 Mythos 生成了候选攻击，据报道 Anthropic 自身的研究人员仍花费了数百小时手动学习足够多的密码学知识，以确认结果确实有效，才允许发布^[1]。Green 对使用这些工具的体验描述得尤为生动：“使用这些工具就像在一个池塘游泳，水底突然陡降”^[5]——模型在很长一段时间内可能表现浅薄且平庸，然后突然产出真正新颖的内容，而人类在检查工作前无法可靠预测当前处于哪种模式。

Anthropic 自身的 CryptanalysisBench 数据也支持这一点：在五种前沿模型中，Mythos 5 在具有已知公开解法的任务上解决了 85.7%，但所有测试模型（包括 Mythos）在从未被攻破的完整强度方案上的得分均低于 9%^[6]。换句话说，这些系统在重新发现或扩展已知弱点方面表现出色，但在从零开始破解真正困难、未被攻破的密码学方面仍基本无能为力。Bruce Schneier 的解读恰如其分地保持谨慎：“仍是早期结果，但这无疑是值得关注的事”^[7]——并非因为天要塌了，而是因为该流程的瓶颈已明显从生成候选攻击转向更慢、更昂贵的人类验证劳动。

Anthropic 并未发布后便撒手不管。它于 2026 年 6 月提前通知了 HAWK 的设计者，在公开宣布前与 NIST 的后量子密码学邮件列表协调，并向未指明的政府和行业合作伙伴进行了简报^[4]。该流程遵循了负责任漏洞披露的规范，业界将其解读为 NIST 评估流程正在发挥作用的证据——在候选方案标准化之前而非之后揭示其结构性弱点。

但谁最先接到通知的顺序本身带有政治性。在向更广泛的公众和国际研究社区公开之前，优先向政府和行业合作伙伴简报，是私营 AI 实验室处理敏感发现的标准做法，但这与 Anthropic 自身关于 AI 驱动的密码分析是比传统评审时间表更快的全球性关切的论点显得格格不入。如果 AI 实验室即将成为发现密码学缺陷的新且更快的渠道，那么谁坐在早期简报名单上，其重要性几乎将与发现了什么相当。