7月29日消息，Anthropic发布研究博客，披露其前沿模型 Claude Mythos Preview 取得两项密码分析成果：将后量子签名候选算法 HAWK 的有效密钥强度减半，并把针对 7 轮精简版 AES-128 的已知最优攻击提速 200 至 800 倍。这是 AI 模型首次被披露在算法数学层面而非代码实现层面发现密码学缺陷。两项成果均不影响任何在役系统：HAWK 只是候选方案、从未部署，AES 攻击针对的是学术界用于研究的精简变体，完整 AES 未被攻破。 HAWK：60 小时改进经受两年专家评审的方案
HAWK 是 NIST 后量子数字签名补充征集的第三轮候选，安全性基于格同构问题的难度，此前已通过两轮、为期两年的专家人工评审。Mythos 在约 60 小时内找到了格中一个此前未被利用的非平凡自同构，在此基础上给出更快的枚举攻击：攻击仍是指数时间，但恢复 HAWK-256 完整密钥的预期成本从 2 的 64 次方降至 2 的 38 次方，相当于要把密钥尺寸翻倍才能回到原有安全水平，而密钥翻倍会抵消 HAWK 作为候选方案的大部分优势。更大密钥尺寸下，HAWK 依然无法被实际攻破。
这一结果以半自主方式完成。一名理论计算机背景、但并非格密码专家的研究员与 Mythos 协作，人类输入限于项目管理式的建议。发现关键思路的过程发生在两个智能体实例之间：一个过早否定了该思路，另一个找到了完整利用方式，两者持续交换消息后达成一致。Anthropic 于 6 月将攻击告知 HAWK 作者，并在结果公开时同步向 NIST 邮件列表协调披露。标准化流程后期出现关键发现并非没有先例：NIST 此前的算法征集中，候选方案 SIKE 曾被证明在一台笔记本上一小时内即可完全攻破。
AES：从拒绝开工到三天产出数亿 token
第二个结果针对 AES-128 的 7 轮精简变体。完整 AES-128 有 10 轮，学术界长期通过研究减轮变体来估计完整密码的安全余量。Mythos 改进了此类研究中最常用的中间相遇攻击，设计出一种自命名为 Möbius Bridge 的指纹算法：此前攻击中有一个环节需要枚举 256 种取值再查表，新指纹对该猜测保持不变，直接把这个环节的工作量压缩 256 倍，再配套多项优化，最终比已知最优攻击快 200 至 800 倍。此类攻击处于选择明文威胁模型下，其基于的前序工作假设攻击者可获取约 2 的 105 次方个选择明文，完全不具备现实可行性，价值在于压缩对完整密码安全余量的估计。
发现过程近乎完全自主。Anthropic 研究员搭建了一个让模型提出假设、运行实验验证或证伪的脚手架，之后只发出三条实质性提示。起初 Claude 不愿深入，认为 AES 是研究最充分的密码、不存在容易发现的改进；在研究者坚持要求后，它用三天时间自主产出数亿 token，找到了 Möbius Bridge 思路，又经数日完善，累计输出 10 亿 token 后形成论文中的攻击。两项主要成果的 API 成本各约 10 万美元。
验证成为新的瓶颈
Anthropic 在博客中披露了一个不对称的成本结构：Mythos 用一周发现 AES 攻击，两名研究员随后花了近一个月学习密码学以验证结果的正确性。公司称，过去数月其研究时间的绝大部分花在了验证模型产出的正确性上。后续成果已经开始累积：Mythos 对国际标准轻量级算法 LEA 的 13 轮变体给出可在现代台式机上一小时内完成的实用密钥恢复攻击，对 6 轮 Serpent-128 给出实用完整密钥恢复，对 Salsa20、Poseidon 和 SHA-1 也有较小幅度的改进，这些结果尚未完整公开。Anthropic 同时与苏黎世联邦理工学院、特拉维夫大学、海法大学合作发布基准 CryptanalysisBench，用于持续追踪前沿模型的密码分析能力。
从实现漏洞到算法缺陷，能力进入新的一层
这次发布把能力边界往前推了一层。Anthropic 此前展示的是 Mythos 在密码库代码中发现实现漏洞，这一次的对象是算法本身的数学缺陷。一年内，语言模型从无法分析最基本的密码，推进到在经受多年专家评审的设计上找到改进攻击；谷歌与 OpenAI 近期也分别用自家模型解决了若干 Erdős 开放问题，数学与密码学研究正在成为前沿模型能力展示的共同方向。
这件事对密码学审查流程是好消息。HAWK 还没有部署，问题就在候选方案的评审阶段被发现；Anthropic 也在公开前通知了算法作者，并与 NIST 协调披露。这说明 AI 可以在算法进入真实系统前，替公开评审多做一轮高强度检查。对负责验证和处理这些成果的研究团队来说，却是压力，甚至是坏消息：Mythos 用一周找到 AES 攻击，两名研究员却花了近一个月验证，发现问题的速度已经快过人工确认结果的速度。
AI 提高了密码算法研究和审查的效率，同时把验证成本、人员配置和成果处理的压力推到了台前，不能把它写成「AI 已经攻破现实加密」。
AI 速览
