Anthropic съобщава, че моделът Claude Mythos Preview е помогнал за извеждането на атака за възстановяване на ключове от край до край срещу HAWK-256, както и за постигането на 200 до 800 пъти по-голямо ускорение при атака срещу седемрундов AES-128.
Атаката срещу HAWK експлоатира неизползвана досега симетрия в решетката зад схемата за цифров подпис. Публикуваната от Anthropic реализация осигурява очаквано време за изпълнение от край до край от около три часа и 42 минути на сървър с 96 ядра. Резултатът при AES премахва стъпка за отгатване с 256 варианта от съществуваща атака тип „среща по средата“ (meet-in-the-middle).
От Anthropic заявиха, че нито един от двата резултата не засяга производствени системи. HAWK остава кандидат в процеса на стандартизация на постквантови алгоритми на Националния институт за стандарти и технологии на САЩ (NIST), а публичният код за възстановяване е насочен само към по-малкия параметър HAWK-256.
Резултатът за Advanced Encryption Standard (AES) се прилага за седем от десетте рунда на AES-128 и все още изисква непрактично голям брой избрани открити текстове. Компанията заяви, че не се налага промяна в нито един производствен софтуер вследствие на това.
Anthropic публикува резултатите заедно с два технически документа и артефакти за възпроизводимост. Компанията съобщи, че Mythos Preview е извършил изследването до голяма степен самостоятелно, като хората са осигурили насоки за проекта, изчислителни ресурси и обстойна проверка.
Скрита симетрия в решетката на HAWKHAWK е единствената базирана на решетки схема сред деветте кандидати, които NIST допусна до третия кръг на своя допълнителен процес за постквантови цифрови подписи през май 2026 г. Наборите от параметри за нива на сигурност на NIST са HAWK-512 и HAWK-1024, докато HAWK-256 е тестов параметър, предоставен като цел за криптоанализ.
Директното възстановяване на ключ при HAWK е пример за търсене при проблема за изоморфизъм на решетки (smLIP). Един атакуващ трябва да възстанови скрита трансформация между две решетки.
Научен труд на Даниел ван Гент и Лудо Пулес показа, че нетривиален автоморфизъм – симетрия, която запазва решетката – би намалил възстановяването на ключа при HAWK до намиране на кратък вектор в решетка с приблизително наполовина по-малък размер от първоначалния.
Този труд проправи пътя за атаката, но авторите тогава заявиха, че това не засяга HAWK. От Anthropic посочват, че Mythos Preview е открил допълнителния автоморфизъм, необходим за експлоатиране на този път.
Получената атака HAWK-n конструира т.нар. от изследователите „τ-cocycle“ решетка от публичния ключ. След това тя използва редукция на решетки и пресяване (sieving) за възстановяване на кратки вектори, преди да реконструира секретен базис, който може да подписва съобщения за оригиналния публичен ключ.
Публикуваната от Anthropic реализация проверява възстановения ключ чрез подписване на съобщение и проверка с референтната реализация на NIST. Тя не възстановява оригиналния 96-байтов начален код (seed) на секретния ключ. Вместо това произвежда 592-байтов декодиран ключ, съдържащ функционално еквивалентен материал за подписване.
Предоставеният от Anthropic код поддържа само HAWK-256 и отхвърля всякакви други входни данни. Репозиториумът включва два публични ключа, за които Anthropic твърди, че са били успешно атакувани. Той също така поддържа генериране и тестване на нови ключове HAWK-256.
Anthropic оценява, че очакваната сложност на работата за възстановяване на ключ при HAWK-256 спада от 264 на 238. В анонс във форума на NIST от същия ден се посочва, че оценката за броя на логическите елементи (gate-count) спада от 2150 на 2108 за HAWK-512 и от 2288 на 2182 за HAWK-1024. И двата по-големи параметъра остават непрактични за атака.
Към момента на този преглед публичните данни не показват дали NIST или авторите на HAWK ще променят параметрите на схемата, твърденията за сигурност или нейното положение в процеса на стандартизация в отговор на тези по-ниски оценки.
Атаката остава експоненциална. Тя не представлява разбиване на HAWK за полиномиално време и Anthropic заяви, че не се разпростира върху други кандидати за цифрови подписи на NIST или върху решетъчната криптография като цяло.
Anthropic сподели, че Mythos Preview е разработил и верифицирал резултата за приблизително 60 часа в мултиагентна среда. Човешки изследовател е предоставял спорадични насоки за управление на проекта, но не е бил специалист по решетъчна криптография. Компанията оценява разходите за приложния програмен интерфейс (API) на около 100 000 долара.
Вторият резултат е насочен към AES-128, редуциран от десет на седем рунда. Изучаването на шифри с намален брой рундове е стандартна практика в криптоанализа, тъй като измерва колко резерв на сигурност остава, преди атаката да достигне пълната конструкция.
Атаката предполага, че даден злонамерен субект може да получи около 2105 избрани открити текста, шифровани с един фиксиран, неизвестен ключ. Само това изискване я поставя далеч извън рамките на реалната употреба.
Предишните атаки от типа „среща по средата“ обменят памет за изчисления, като съхраняват междинни състояния на шифъра и съпоставят изчисленията, направени от срещуположните му краища. Един от етапите в предходната атака изискваше тестване на 256 възможни стойности преди търсене в таблицата.
Mythos разработи инвариантен отпечатък, който Anthropic нарича „Möbius Bridge“. Тъй като отпечатъкът не се променя спрямо тази отгатната стойност, атаката може да елиминира изброяването на 256-те варианта. След отчитане на разходите за трансформацията и други оптимизации, Anthropic изчислява, че атаката срещу седемрундов AES-128 е от 200 до 800 пъти по-бърза, в зависимост от обстоятелствата.