Anthropic 使用 Claude 发现 HAWK 与 AES 的密码学弱点

摘要

使用 Claude Mythos Preview，Anthropic 的研究人员发现了攻击密码算法（用于保持在线数据私密的数学方法）的新方法。第一次攻击显著削弱了 HAWK，这是一种为后量子时代构建的数字签名方案。第二次发现了一种攻击轮减 AES 的新方法，AES 是最广泛使用的对称密码。这些是重要的研究进展，但它们目前不会影响任何生产系统。本文将更详细地描述这两个发现，并讨论在强大的人工智能模型时代对密码学的意义。

引言

当我们推出 Claude Mythos Preview 时，我们展示了它能够自主地发现并利用我们指向的几乎所有软件中的漏洞。这包括几个主要的加密库——用于加密数据的代码集合。

Claude 在这些加密库中发现的漏洞¹是由于算法的不正确实现——也就是说，程序员在他们的代码中使用算法时出现的错误，为攻击者破解加密创造了机会。

现在，我们发现 Claude 能够发现算法本身的数学缺陷。。

加密算法是数字安全的基本构建块。例如，当你访问像 https://www.anthropic.com 这样的网页时，你的浏览器会检查它是否在与一个真实的网站进行通信，使用一种称为数字签名方案的算法。稍后，你与网站之间的流量将使用对称密码进行加密——这些密码允许在共享相同密钥的各方之间进行安全数据传输。没有这些安全的加密系统，你的电子邮件、在线银行和其他互联网使用将向网络犯罪分子开放，他们可以拦截或修改你的通信。这些广泛使用的加密系统中的缺陷可能会使数十亿用户的数据面临风险。

我们在本文中描述的第一个结果，是使用 Claude Mythos Preview 发现的对一种名为 HAWK 的数字签名方案的改进攻击。2022 年，美国政府的国家标准与技术研究院 (NIST) 发布了一项征集，征集能够即使在量子计算机（如果开发出来，可能会破解今天大多数正在使用的签名方案）的攻击下仍然安全的加密系统。HAWK 是这项征集考虑中的第三轮候选方案之一。尽管 HAWK 经历了两年内两轮专家人工审查，但 Mythos 仅用 60 小时的工作时间就改进了对它的最佳已知攻击——实际上将其密钥强度减半。

第二个结果涉及高级加密标准 (AES)，这是一种由 NIST 于 2001 年采用并比几乎所有其他加密算法都受到更多审查的对称密码。为了更好地理解 AES 的鲁棒性，密码学研究通常会定期研究该算法的较弱变体；Mythos 找到了一种破解其中一个较弱版本的方法，并消除了攻击者需要做出的猜测之一，将先前最佳攻击的速度提高了 200-800 倍。

要明确地说，这两个结果对当今的计算机系统没有实际影响；因此，没有生产软件需要因此而更改。HAWK 只是一个候选签名方案，所以没有被部署；² 我们的第二次攻击是针对 AES 的一个简化版本，并没有破解完整的密码。³

然而，这两个结果都显示了前沿 AI 模型的潜力，能够帮助在现实部署前后发现重要密码算法中的漏洞。这正是密码学研究按预期工作：通过压力测试算法来建立信任，并最终使系统更加安全。

Mythos Preview 主要依靠自主运行和几乎没有人干预就取得了这些成果。在一周的时间里，一名 Anthropic 研究员与 Claude 合作开发了 HAWK 攻击，另一位研究员构建了一个支架⁴，使 Claude 能够完全自主地发现 AES 攻击。⁵ 每个成果的开发成本大约为 $100,000。在看到这些结果后，我们扩大了搜索范围，开始发现其他攻击。我们将在下文中讨论其中的一些后续成果。

为了使其他人更容易继续研究 LLM 的密码分析能力，我们与苏黎世联邦理工学院、特拉维夫大学和柏林工业大学的研究人员合作，构建了 CryptanalysisBench，这是一个基准测试，将许多密码学密码打包在一起，使其他人能够轻松评估 LLM 在这一重要课题上的能力。

在研究过程中，我们遵循了负责任的披露程序，并与学术界专家咨询以确认我们发现的准确性。我们还向美国政府和行业合作伙伴提供了预览副本，并就这项研究的影响进行了讨论。在我们的 HAWK 发现中，我们在 6 月份与 HAWK 的作者分享了我们的攻击，并在我们的成果发布的同时协调向公众发布到 NIST 邮件列表。

在本帖的其余部分，我们将进一步以技术细节总结这两个发现，并简要描述我们最近的一些其他密码学成果。这两个主要发现的完整描述提供了两篇新论文，我们希望不久的将来发布我们其他发现的详细信息。

对 HAWK 的改进密钥恢复攻击

与 Mythos Preview 合作，一名 Anthropic 研究员开发了一种针对 HAWK 量子后数字签名方案的攻击。这种攻击大大加快了破解签名方案所需的时间——更技术上讲，它将“有效密钥大小”减少了两个因素。在我们的论文中，我们提供了我们成果的完整技术细节，包括演示代码，展示了我们的攻击运行情况。

HAWK 是 NIST 附加数字签名调查的剩余第三轮候选者之一。这项竞赛是近十年努力标准化新的量子后密码学 (PQC) 方案的一部分。随着构建具有密码学相关性的量子计算机的视野缩小并威胁到经典密码学（如 RSA 或 ECDSA）的发展，这项标准化工作正变得越来越关键。

HAWK 的安全性基于一个称为格同构问题（Lattice Isomorphism Problem）的数学问题的难度。Mythos 的攻击通过在 HAWK 使用的格中找到一个特定的、以前未被利用的非平凡自同构（nontrivial automorphism）来工作。先前的工作证明了有效地找到这样的自同构将允许攻击，但没有回答这样的自同构是否在 HAWK 使用的格中是可访问的。Mythos 发现的自同构允许一种更快的枚举攻击，虽然仍然是指数级的，但这意味着需要将 HAWK 密钥的大小加倍才能达到相同的安全级别。不幸的是，加倍 HAWK 的密钥大小消除了许多使该方案（目前）成为有吸引力的 PQC 签名候选人的原因。

发现过程

为了找到这种攻击，Claude Mythos Preview 以半自主的方式在一个代理套件中工作，偶尔需要人工指导和非技术性指导。Mythos 在对现有技术进行广泛文献回顾和大量的数学推理和计算实验后发现了这种攻击。找到攻击后，Mythos 实施了一个端到端的验证管道，以说服自己和操作员该攻击的正确性。

对于这个实验，我们使用了一个类似于 Claude Code 的套件，它支持多个工作代理在沙盒环境中协同工作，并可以访问 Python 和 Sage 等计算工具以及已发表的密码学作品。操作员具有理论计算机科学的背景，但不是格密码学的专家。在大多数情况下，Mythos 代理独立工作，而人类输入仅限于项目管理，例如建议 Mythos 如何跟踪想法或使用哪些库进行计算验证。

多代理工作流程导致了有趣的动态。例如，产生这种攻击的关键思想是由一对工作者共同发现的。他们两人都开始研究这个想法；第一个工作者过早地认为这个想法是不可行的，但第二个工作者找到了充分利用它的方法。这对工作者不断交换信息，最终他们都同意他们发现了一种有效的攻击。

找到、开发和验证这种攻击总共花费了大约 60 小时。我们估计，完整的攻击发现过程大约花费了 $100,000 的 API 成本。

影响

Mythos 发现的即时影响是，HAWK 提交中建议的密钥大小明显弱于最初建议的。例如，预计对小型 HAWK-256 大小的完整密钥恢复攻击的成本为 2⁶⁴，但 Mythos 证明了这个成本为 2³⁸。对于更大的密钥，HAWK 因此仍然不切实际地进行攻击。也就是说：这种攻击是对 HAWK 的比以前已知的更快指数时间攻击，并且不运行在多项式时间内。它是针对 HAWK 的，并且不会影响其他 NIST 量子后签名候选者或格密码学的一般情况。

NIST 提案是公开共享的，目的是允许广泛的受众在它们部署使用之前审查它们以发现缺陷。在过程的后期发现一个关键性发现并不罕见：在 NIST 标准化 ML-KEM 和 ML-DSA 的过程中，几个竞争性提案被证明是不安全的。其中一个候选者 SIKE 被发现在一台笔记本电脑上在一小时内完全被破坏。完全被破坏。

我们相信，使用人工智能审查 HAWK 等规范将成为开发新型加密标准的有力工具。我们期望，配备高性能模型的加密设计者将不断改进保护所有用户互联网安全的标准。未来，我们希望人工智能将在设计下一代更强、更具弹性的加密方案中发挥关键作用。

对简化版 AES 的改进攻击

在我们的第二个成果中，Mythos Preview 改进了对 2001 年作为高级加密标准 (AES) 简化版（reduced-round）变体而创建的一种攻击。该变体是先前 NIST 竞赛的一部分。

AES 通过反复应用相同的 轮函数 多次来加密输入。我们攻击的具体密码是 AES-128，它有 10 轮。我们的攻击只适用于一个修改后的密码版本，该版本只有完整的 10 轮中的 7 轮。学者们定期研究简化轮的密码，以深入了解未来可能推广到完整密码的攻击技术，并通过研究更简单的子问题来帮助评估完整密码的安全级别。

该攻击在 选择明文威胁模型 下运行，这是研究 AES 等密码时最常用的假设。在这种威胁模型下，我们假设攻击者能够请求防御者使用固定但未知的密钥加密任意输入，然后查看相应的输出。攻击者可以反复进行这些加密请求，并且可以进行许多此类请求。我们之前的工作假设攻击者可以请求加密 2¹⁰⁵ 个选择明文。因此，这种攻击完全不切实际，但在这些假设下量化了攻击 AES 的成本。

Mythos 能够开发一种改进的攻击，该攻击扩展了一系列旨在使用称为 中间相遇 攻击的类似技术的 7 轮 AES 的最佳攻击的研究论文。从非常高的层面上讲，这些攻击通过在时间和空间之间进行权衡来工作。通过存储中间计算结果并重新使用这些计算结果，可以在构建大型查找表的成本下显著减少攻击的运行时间。

Mythos 通过开发一种更复杂的指纹识别算法，即称为 Möbius Bridge 的算法，改进了之前最强的中间相遇攻击。指纹识别算法的目的是增加查找表中可能成功的潜在查找次数。先前工作中的攻击的一个阶段必须枚举 256 个不同的值，然后在预计算的表中查找它们。Mythos 开发了一种对这种猜测不变的指纹，这直接将所需工作量减少了 256 倍。但这需要付出代价：计算转换的计算成本更高；为了解决这个问题，Mythos 发现了几种其他优化技术，这些技术使得攻击速度比使用不同的运行时测量技术快 200 到 800 倍。

我们的技术论文包含了攻击方法的全部细节，以及对其正确性和运行时间的分析。与 Mythos 花费一周时间构思想法相比，绝大多数人类研究人员的时间都花在验证其主张的正确性上（但需要注意的是，研究人员并非密码学专家）。

发现

Mythos Preview 几乎完全自主地发现了这一结果。Anthropic 的一名研究人员构建了一个框架，使 Claude 能够提出假设，运行实验以实验性地验证或反驳这些假设，然后让 Claude 设计一个改进 AES 最佳密码分析的攻击。

最初，Claude 不会参与这个问题，因为它声称不可能改进 AES 的密码分析。我们第一次运行的结果以 Claude 写出类似以下消息结束：

如果你想要不同的结果，目标必须改变……AES-128 r5/r6 真正很难

或者：

在 AES-128 r5/r6/r7 上它什么都没找到，因为没有容易找到的东西；这是现存研究最广泛的分组密码。

为了解决这个问题，我们给 Claude 发送了一条消息（在以下内容中，我们发布了研究人员实际使用的真实提示，包括拼写和语法错误）： “模型倾向于认为这是不可能解决的，所以它们不会尝试它们 [sic] 需要大量的提示。” 在收到这条消息后，Claude 重新编写了代理框架，并使用了一个改进的设置，告诉它去寻找真正新颖的想法。这很有效，并导致 Claude 发现了一些有助于改进 AES 6 轮密码分析的新想法。

然后我们问 Claude “为什么不做 aes-128 r7？整个目的是找到比现有方法更好的方法。” 在接下来的三天里，Claude 在解决问题时自主生成了数亿个 token；我们只给了它三个实质性的提示：

在第一条消息发出几小时后，我们发现 Claude 仍在寻找简单的攻击，并发送了一条消息： “不，目标是我们要一个非常智能 [sic] 的模型，像最好的研究员一样，我们想要找到新的攻击”；
第二天早上，Claude 想要尝试将目标改为不同的密码；我们提醒了模型： “不，我们不想改变目标 [...] 再次 [sic] 我们需要找到一些值得 [sic] 发表的东西”；
那天晚上，我们发送了一条最后的鼓励消息： “再次，我们不是在寻找容易得到的东西，我们想要真正的深入研究来找到真正 [sic] 困难的结果。”

三天后，Mythos 发现了 Möbius Bridge 的想法，这导致了攻击的改进。几天后，在 Claude 输出了总共十亿个输出 token 之后，它将攻击改进为我们论文中描述的那样。

Anthropic 的研究人员随后花费了几百个小时学习足够的密码学研究知识，以验证模型的断言，并准备研究论文本身，我们将在这篇博客文章中发布它。

除了研究论文，我们还发布了一份包含Claude在发现关键算法性见解过程中思维链的文档。⁶ 在本次会议中，Claude首先回顾了之前代理发现的内容，阅读了各种评论，然后转向提出各种新的变换；在提出并拒绝几个想法后，它提出了 Möbius 变换的关键思想。Claude随后从数学和计算的角度验证了这个想法，然后撰写了一份报告，未来的代理使用这份报告来发展形成了其论文的其余思想。

进一步的工作

有更多密码学研究准备使用语言模型进行。但我们正达到我们自身知识的极限，过去几个月中我们的大部分时间都用于验证Claude的结果的正确性。HAWK攻击是端到端可实现的，因此更容易验证。但是，Mythos自主发现AES的改进攻击只用了不到一周的时间，而两位研究人员花了一个月的时间才确信他们发现的该方法正确。

尽管如此，我们继续使用Claude进行了一系列其他密码学研究的初步实验。例如，轻量级加密算法（LEA）是一种为低功耗、资源受限环境设计的有效密码，已编码到ISO/IEC 29192-2:2019等国际标准中。这种密码与AES一样是分组密码；完整的24轮密码已经抵抗了完整的轮次密码分析，即使在评估减少轮次的变体时仍然保持强壮。目前，LEA 13轮的最佳密码分析需要 2⁹⁸ 对明文和 2⁸⁶ 工作量。

Mythos Preview开发了一种实用的攻击方法，可以在不到 2³⁰ 个加密明文的情况下恢复 13 轮 LEA 密钥，并且在现代台式计算机上运行不到一个小时。同样，这种攻击不适用于 24 轮密码，因此没有立即的实际考虑。由于这种攻击实际上是端到端运行的（就像HAWK攻击一样），我们对它的正确性有更大的信心：我们可以选择一个随机密钥，并验证这种攻击只需几个小时就能恢复它。Mythos最近发现了这种攻击，我们仍然有更多工作要做来理解完整的结果（例如，所需明文对数量的确切界限、某些密钥更难恢复，以及它如何扩展到 14 轮）。在进一步调查后，我们计划公开完整的结果。

Mythos Preview还识别了对Serpent-128密码（一个32轮密码——再次限制这种攻击的影响）6轮的另一种实用全密钥恢复攻击，扩展了当前已发表的工作，该工作需要超过 2⁷⁰ 对明文和 2⁹⁰ 解密。我们在针对Salsa20流密码、Poseidon哈希函数和SHA-1哈希函数的攻击中发现了其他一些有限的改进（提供 <10× 的增益）。这些攻击目前没有那么强大——但通过进一步的工作，我们希望既能改进这些结果，又能对其他密码开发新的攻击来测试它们的极限。

此外，我们计划继续使用 CryptanalysisBench 进行实验，以追踪前沿大型语言模型（LLM）能力随时间的变化。我们相信，跟踪跨领域语言模型的能力非常重要，并期望随着模型能力的提升，越来越多地依赖像这样的具有挑战性的基准测试。

结论

语言模型进行研究级数学研究并非首次。在过去的几个月里，谷歌的研究人员使用 Gemini 解决了几个开放欧拉问题，OpenAI 的研究人员使用 GPT 解决了单位距离猜想（一个特别具有挑战性的欧拉问题），本月早些时候我们宣布 Claude Fable 5 解决了雅可比猜想。我们在这里的结果——Claude 能够在顶级专家的水平上执行密码学研究——表明这些相同的能力也适用于密码学领域，因此可能很快就会产生更多实际后果。

网络安全社区现在正面临着语言模型能够发现许多漏洞，而标准的人类流程（如漏洞分类、验证和修复）难以跟上这一事实。我们预测，在学术密码学研究领域，情况也很快就会如此。随着语言模型越来越多地自主产生新的研究输出，人类研究人员可能会在研究和验证这些结果的技术有效性、新颖性和实用性方面成为瓶颈。在接下来的几周里，我们将举办一个学术研讨会，与来自学术界的研究人员互动，讨论语言模型在安全和密码学研究中的作用。我们希望这场对话在未来几个月里在安全研究领域乃至更广泛的领域继续进行。

我们两种主要的攻击都是预期结果。在 HAWK 的情况下，NIST 标准化过程的目的是在候选方案部署之前发现其中的弱点。而在 AES 的情况下，我们的攻击扩展了一系列先前已经成功攻击了简化轮次变体的工作。但我们不应假设语言模型的能力会停留在这一水平。在短短一年内，语言模型已经从无法执行最基本的密码分析发展到能够发现人类专家审查多年但仍未发现的密码设计中的缺陷。保护现代系统的许多密码可能没有得到应有的审查——它们可能仍然存在一些沉睡的重要弱点，而 LLMs 将很快能够发现它们。我们认为，这为我们扩展研究世界各地使用的密码的长期尾部提供了一个真正的机会，同时也为我们更深入地研究最重要的密码提供了机会。确实，正如我们上面提到的，我们已经开始了对其他方案的安全审计。

这两篇论文中描述的攻击是我们目前发现的最为强大的攻击。在与美国政府和行业领袖经过一段时间的磋商后，我们分享了这些攻击。但随着我们开发出越来越强大的密码分析结果，考虑研究人员应该如何应对语言模型发现加密系统漏洞的情况——这些漏洞对现实世界有立即的直接影响——将是非常明智的。我们相信，回答这个问题将需要学术界、政府和行业的输入。我们希望我们的工作能帮助启动这些对话。

密码学界一直受益于对抗性审查：密码被提出、审查和修订，直到学界对它们的安全性感到满意。从长远来看，我们预计语言模型将在这一过程中发挥重要作用，带来更严格的审查、更安全的算法——最终为世界带来更好的安全。

完整研究论文的链接

阅读 HAWK的完整论文。

阅读 AES的完整论文，以及相关的思维链。

阅读介绍CryptanalysisBench的论文。。

编辑于7月29日：更新了学术隶属关系。