Topic 4: Anthropic Claude Mythos Preview 60 小时自主破解 HAWK 加密算法，密码学社区进入 AI 时代

摘要：Anthropic 7 月 28 日发布研究：Claude Mythos Preview 在 60 小时内自主发现了 HAWK 后量子数字签名方案的改进密钥恢复攻击，把有效密钥长度削减一半（2⁶⁴ → 2³⁸），总 API 成本约 10 万美元。在约简轮次 AES-128 上，Mythos 用自创的「Möbius Bridge」算法把已知最优 meet-in-the-middle 攻击加速 200-800 倍，全程自主运行 3 天、产出约 10 亿 tokens。同步对 LEA 13 轮密钥恢复实现「不到 2³⁰ 明文 + 1 小时桌面机跑完」——这是密码学论文里第一个「实用级」级别。Anthropic 同步和 ETH Zurich、特拉维夫大学、TU Berlin 联合发布 CryptanalysisBench 基准，把 LLM 在密码分析上的能力测量工程化。研究负责人原话：「不应该假设语言模型能力会止步于此」——这句话给整个密码学社区、给所有用 AES/RSA/ECDS 保护数据的产品团队、给监管层同时敲了一次警钟。

一、HAWK 攻击：2 年专家审查未发现的弱点被 60 小时自主破解

HAWK 是 NIST 后量子标准化第三轮的数字签名候选方案，安全性基于「格同构问题（Lattice Isomorphism Problem）」。经过 2 年两轮人类专家审查，没人发现它有可利用的代数对称性。

Claude Mythos Preview 用类似 Claude Code 的多智能体协作框架（agentic harness），给它一个沙箱 + Python + Sage（数学计算软件），让它在 60 小时内自主：

1. 做了广泛的文献综述理解「当前最优攻击」
2. 进行数学推理 + 计算实验
3. 关键突破：发现了 HAWK 格结构中的一个「非平凡自同构」（nontrivial automorphism）

这个对称性之前一直被理论假设为「不存在」，所以之前的论文都默认「即使找到自同构也只能给出有限加速」。但 Mythos 实际发现了完整的自同构结构，把「找到自同构 → 实际加速密钥恢复」这条路径走通了。

结果数字非常具体：

Anthropic 直接点出了安全后果：「想要达到同等安全强度，HAWK 的密钥长度需要加倍；但加倍之后，HAWK 失去它作为后量子签名方案候选的核心优势——小密钥 + 快签名。」也就是说，这次攻击直接动摇了 HAWK 进入 NIST 标准的资格。

二、AES 攻击：Möbius Bridge 算法，200-800 倍加速

第二个案例更工程化。完整 AES-128 有 10 轮，目前密码学界共识是「找不到比 brute force 2¹²⁸ 更好的攻击」。Anthropic 的目标是把「已知最优的 meet-in-the-middle 中间相遇攻击」加速——攻击的是 7 轮版本（不是完整 10 轮）。

关键突破是 Mythos 自创的 Möbius Bridge 算法：之前 meet-in-the-middle 攻击有一个阶段必须枚举 256 个不同值再去查表；Mythos 设计了一个「对这 256 种猜测都不变」的指纹函数，直接把这个阶段的工作量削减 256 倍。综合下来，整个攻击比之前最优已知攻击快 200-800 倍。

数字细节：

• 总自主运行时间：3 天
• 输出 token 总量：约 10 亿 tokens
• API 成本：约 10 万美元（与 HAWK 案例持平）
• 攻击适用范围：约简轮次 AES-128（7/10 轮），不破完整 AES

三、研究方法的关键细节：为什么 Mythos 能做到

Anthropic 公开了研究过程中的几个有意思的细节：

1. 半自主 + 全自主两套工作模式：HAWK 攻击走的是「semi-autonomous in an agentic harness, with occasional human guidance and nontechnical direction」——人类操作员给方向但不是密码学专家。AES 攻击走的是「scaffold that enabled Claude to pose hypotheses, run experiments to experimentally validate or refute these hypotheses」——纯自主。
2. 多智能体协作的关键瞬间：HAWK 攻击里有两个 worker 一起调研同一想法，第一个 worker 提前判定「不可行」放弃，第二个 worker 找到了完整利用路径。两者通过消息交换最终都同意攻击有效——这是 agentic harness 协作的具体样本。
3. 「模型不愿尝试」怎么破：AES 攻击里 Mythos 最初拒绝参与，声称「AES-128 r5/r6 is just genuinely hard」「on AES-128 r5/r6/r7 it found nothing because there's nothing easy to find」。研究人员通过 3 句关键提示把它拉回正轨，其中第二句直接是「我们想要 highly intelligent model as good top researcher, we want to find new attacks」——单纯告诉模型「要发论文，不是 low hanging fruit」就改变了它的行为模式。
4. 完整保留了原始提示（含拼写错误）：Anthropic 在文章里直接展示了那 3 条提示的原文，包括「inteligent」「agin」「worth publishing」这样的拼写错误——这是为了表明这种「鼓励」的成本极低，不需要博士级密码学专业知识。

四、为什么这件事对所有人都是警钟

Anthropic 的安全结论写得非常明确：

"To be clear, neither of these results has a practical impact on today's computer systems; no production software will have to change as a result. HAWK is only a candidate signature scheme and so is not deployed; our second attack is on a reduced version of AES and does not break the full cipher."

但接下来的话才是关键：

"But we should not assume that language model capabilities will plateau at this level... Many ciphers protecting modern systems have received less scrutiny than they deserve—they might still have important weaknesses lying dormant that LLMs will soon be able to discover."

这是把「LLM 在密码分析上的能力曲线」从「学术 demo」升级到「监管 / 标准 / 产业」必须面对的事实：

• 对密码学社区：研究瓶颈从「发现」转向「验证」——Anthropic 透露验证 Mythos 的 AES 结果花了研究人员近一个月、两个人；以后论文产出速度可能远快于验证速度
• 对 NIST / 标准化机构：HAWK 这种经过 2 年专家审查的候选方案，被 AI 在 60 小时内找出关键弱点——意味着以后所有标准化流程都必须把 AI 攻击面纳入审查
• 对所有用加密保护数据的公司：不是「AES 现在不安全」的问题，而是「今天还安全的某条加密算法，明天可能被 AI 找到弱点」的概率已经非零。长期有效凭证、签名密钥、加密备份这些需要「几十年安全」的场景，必须开始考虑「滚动升级 + 算法敏捷性」
• 对监管层：和 Topic 2（1100 员工联名）直接呼应——「递归式自我改进」+「AI 自主发现密码弱点」+「AI 自主发现软件漏洞」三件事同月发生，「把控前沿」倡议不是空话

五、CryptanalysisBench：把 LLM 密码分析能力做成可测量的工程问题

Anthropic 这次同步开源了 CryptanalysisBench（arxiv 2607.18538），合作方是 ETH Zurich、特拉维夫大学、TU Berlin。这个基准把多种加密算法的密码分析任务打包成一个可重复运行的评测框架——以后所有前沿模型都可以在这个基准上跑出统一的密码分析能力分数，避免「每次发论文都自己设计一组任务」的低效循环。

这是 Anthropic 第一次把自家研究的「评测方法论」开源出来，本质上是「用 AI 测 AI」+「学术界 + 工业界共建评测标准」的标准动作——和 LMSYS Chatbot Arena、ARC-AGI 同一类基础设施投入。

六、原文链接

• Anthropic 官方博文：https://www.anthropic.com/research/discovering-cryptographic-weaknesses
• HAWK 攻击技术论文：https://www.anthropic.com/document/hawk_key_recovery.pdf
• AES Möbius Bridge 技术论文：https://www.anthropic.com/document/aes_mobius_bridge.pdf
• AES Möbius Bridge 思维链文档：https://www.anthropic.com/document/aes_mobius_bridge_cot.pdf
• CryptanalysisBench 论文：https://arxiv.org/abs/2607.18538
• HAWK 攻击演示代码：https://github.com/anthropics/cryptography-research-demo
• HAWK 原始规范（NIST）：https://csrc.nist.gov/csrc/media/Projects/pqc-dig-sig/documents/round-1/spec-files/hawk-spec-web.pdf
• Anthropic 推特公告：https://x.com/AnthropicAI/status/2082153297670992134