Claude Mythos 在 60 小時內利用新型密碼攻擊突破 HAWK 和 AES

Claude，開始對密碼算法下手了。

注意，不是找程式碼裡的 bug，是找數學本身的裂縫。

就在今天，Anthropic 發布了一項重磅研究：Claude Mythos Preview 在兩個密碼算法上分別找到了全新的攻擊方式。

第一個目標是 HAWK——這是一個正在美國 NIST 後量子簽名評選中、已通過兩年兩輪頂尖人類專家審查的候選方案。Mythos 花了 60 小時，直接將其有效密鑰強度砍半。

第二個目標更狠：AES，全球使用最廣泛的對稱加密算法，人類研究了25年的「硬骨頭」。

Mythos 在簡化版 AES-128 上自行發明了一種攻擊方法，並為其命名為「莫比烏斯之橋」（Möbius Bridge），將此前最強攻擊的速度提升了 200 至 800 倍。

兩項成果，各燒掉約 10 萬美元 API。

一年前，語言模型連最基礎的密碼分析都無法進行。一年後，它在人類審查了兩年的方案中找出缺陷，還順手為自己的發現命名。

甚至有網友在推特上擔心起自己的比特幣了。

60 小時，撬開審了兩年的鎖

Claude Mythos Preview 剛發布時，已能在幾乎所有軟體中找到漏洞，包括多個主流密碼學庫。

但這些漏洞，說白了屬於「實現」層面——程式員把演算法用錯了，邏輯寫歪了，邊界沒考慮到。這種 bug，一個老練的安全工程師也能找到。

但這次不一樣。它找到的是演算法本身的數學缺陷。

舉個例子：以前是找「誰把鎖裝歪了」，現在是證明「這把鎖的設計原理就有問題」。

HAWK 是什麼？它是 NIST 後量子密碼標準化競賽中的一位種子選手。2022 年，美國國家標準與技術研究院向全世界發出徵集令：量子計算機遲早要來，現有的 RSA、ECDSA 這些經典簽名算法到时候會被量子算力碾碎——誰能造出量子計算機也砸不動的新鎖？

HAWK 是申請者之一，並一路晉級至第三輪，成功通過兩年兩輪全球密碼學專家的火力覆蓋式審查。

它的安全性建立在一個稱為「格同構問題」（Lattice Isomorphism Problem）的數學難題上。

簡單來說：HAWK 的密鑰藏在一個巨大的高維格子中，要破解它，就得在這個格子中找到一條隱藏的路徑。數學家們認為這條路徑實在太難找到，於是放心地將其當作基礎。

Mythos 做了什麼？它在 HAWK 使用的這個格子中，發現了一處此前無人利用過的對稱性——學術上稱為「非平凡自同構」（nontrivial automorphism）。

此前有論文證明，只要能高效找到這種對稱性，就能構成攻擊。但那只是個定理，一直沒人能回答 HAWK 的格里到底有沒有這種對稱性。

Mythos 回答了：有。

結果密鑰強度直接減半。最小的 HAWK-256 參數集，原本預計完整密鑰恢復需付出 2^64 的代價——也就是大約 1800 億億次運算。

Mythos 證明只需 2^38，約 2700 億次，降低了約 4.4 萬億倍。

HAWK 若要維持原來的安全等級，密鑰就得翻倍。但密鑰一翻倍，它作為一個「輕量級」後量子候選的核心優勢——簽名體積小、速度快，也就全沒了。

這個過程最耐人尋味的地方在於：項目的人類操作者根本不是格密碼學專家。

他擁有理論電腦科學背景，但對格密碼學完全外行。他全程只做了一件事——專案管理：建議 Mythos 如何做筆記、使用哪個函式庫進行計算驗證。技術工作幾乎全由 Mythos 自己完成。

更有趣的是多智能體協作。關鍵的想法是由兩個 worker agent 一起「撞」出來的：第一個先沿著這個方向研究了一番，覺得此路不通，早早否決了；第二個接著往下鑽，找到了把它用透的方法。兩個 agent 來回發訊息辯論，最後一致認定：攻擊成立。

一個人類認為「不可能」的方向，兩個 AI 在爭吵中開闢出了路徑。

The entire process took only 60 hours.

「Impossible」，然後它自行重寫了框架

如果說 HAWK 那一戰像一場精準的外科手術，AES 這一戰就更像一部小說。

故事的開頭，Claude 根本不接這個活。

Anthropic 的研究人員搭建了 agent 模組，讓 Claude 尋找 7 輪簡化版 AES-128 的新攻擊方法。

Claude 的反應彷彿翻了個白眼：

你要不同的結果，那目標就得換……AES-128 r5/r6 真的很難。

它什麼也沒找到，因為根本沒有容易找的東西；這是現存被研究得最多的分組密碼。

簡單來說就是：「老闆，你叫我去啃一塊過去25年來全世界最聰明的人都啃不動的骨頭，這不是為難我嗎？」

研究員該怎麼辦呢？他只發了一句隨手敲的白話——

模型總覺得這件事不可能，所以它們不去嘗試，需要足夠的提示。

僅這一句話，Claude 的反應堪稱戲劇性：它親自重寫了 agent harness，為自己設定了「尋找真正新穎的想法」的配置。

它被說服了。然後它開始出貨。

接下來三天，研究員總共只提供了三條實質性提示，全是白話級別的，連拼寫都懶得檢查：

我們要找的是新攻擊，不是簡單的。

不要換目標。——Claude 中途想換一個更容易的密碼去攻擊，被研究員按了回來。

不要低垂的果實，要真正難的發現。

Claude 自主運行了數億個 token，找出了一個關鍵想法；隨後，它累計輸出了十億個 token——約等於七、八千本書的篇幅，將這個想法打磨成論文中的樣子。

This idea is called the "Möbius Bridge" by Claude.

從技術上講，此前攻擊 7 輪 AES 最佳的方法稱為「中間相遇攻擊」（Meet-in-the-Middle），本質是以空間換取時間：將大量中間計算結果存為一張巨型查找表，然後從密碼的兩端同時向中間推進，試圖在表中找到匹配。

但原方案中有一個關鍵步驟：攻擊者必須逐一猜測256個可能值，每次猜測都要到表中查詢一次。

Mythos 創造了一種對這 256 種猜測「免疫」的數學指紋——不論該值為何，此指紋的計算結果都相同。這一步的工作量直接減少至原來的 1/256。

但代價是：計算這個指紋變換本身更昂貴了。於是 Mythos 又想出了一連串優化技巧來補償，最終淨賺 200 到 800 倍的提速。

一周發現，兩個人驗了一個月

上述兩個結果，今天都不影響任何生產系統。

HAWK 僅是候選方案，尚未部署於任何地方。AES 攻擊的是縮減至 7 輪的簡化版，完整的 10 輪 AES-128 毫髮無傷——您的銀行卡密碼、HTTPS 連線、加密硬碟都安全。

但真正讓整個密碼學界後背發涼的是驗證環節。

Mythos 自主發現 AES 攻擊用了大約一週。Anthropic 的兩位研究員花了將近一個月、閱讀了數百小時的密碼學文獻，才敢確認：「它是對的。」

AI 用一周做出了發現，人類用一個月才看懂這個發現。

這種場面，其實在網路安全領域已經上演過一次了。Claude Mythos Preview 在過去一個月內發現了 10000 個關鍵軟體漏洞，人類安全團隊的分類、驗證、修復流程被淹沒了。

現在，學術密碼學圈子即將面臨同樣的衝擊：發現不再是瓶頸，驗證才是。

而且 Mythos 的胃口顯然不止於此。Anthropic 表示，它已在 LEA（一種寫入 ISO 標準的輕量級加密算法）上找到實用級別的攻擊——此前恢復 13 輪 LEA 的密鑰需要 2^98 組明文對和 2^86 次計算，Mythos 將其壓縮至不到 2^30 組明文，在普通電腦上一小時內即可完成。