Anthropic：Claude发现HAWK致命缺陷，仅60小时攻破后量子签名候选算法

一个只用了约60小时的AI模型，就让一项已经通过NIST两轮评审、进入第三轮候选名单的后量子签名算法被其开发者紧急撤回——这到底意味着什么？

当地时间7月28日，Anthropic正式对外披露，其Claude Mythos Preview模型在密码学算法研究中取得了两项重磅突破：针对NIST后量子签名候选算法HAWK，发现了更高效的攻击方法；针对简化版AES-128加密标准，同样挖掘出了此前未知的攻击路径。其中对HAWK的攻击直接导致该算法在次日被开发者从NIST的标准化进程中主动撤回。

HAWK是一种专为抵御未来量子计算机攻击而设计的数字签名方案，之前已顺利通过美国国家标准与技术研究院（NIST）的两轮评审，并在2026年5月进入第三轮候选名单。按照既定的标准化流程，这样的算法被认为具有相当的抗攻击能力，但Claude的发现打破了这种预期。

正方观点很直观：AI正在成为密码分析领域的强力加速器。Anthropic的研究人员只是给出了项目方向指引，Claude便在约60小时的半自主工作里，将针对HAWK的最佳已知攻击进行了显著改进。这次攻击利用格结构中一个此前未被发现的对称性（即非平凡自同构），以最小的HAWK-256参数集为例，完整密钥恢复攻击的预期计算成本从2⁶⁴骤然降至2³⁸——密钥强度几乎被削掉一半。攻击仍呈指数级复杂度，对大参数集HAWK-512和HAWK-1024暂无实际威胁，但足以让设计者重新审视方案的安全性。结果也证明了这一点：Anthropic于7月28日把研究发现发布至NIST公共论坛后，NIST密码学家Daniel Apon在一小时内便确认该攻击有效，紧接着第二天开发者就宣布撤回整个候选方案。

同样的事情也发生在简化版AES-128加密标准上。标准AES-128要执行10轮数学变换，而Claude攻击的目标是仅运行7轮的简化研究版本。在这种设定下，Claude近乎完全自主地开发出一种名为“Möbius Bridge”的指纹技术，移除了此前攻击中需要枚举256种可能值的步骤，再结合其他优化，使得攻击速度比原先最佳方案提升了200至800倍。不过，这一攻击建立在选择明文威胁模型下，仍然需要约2¹⁰⁵个选择明文，在实际场景中并不可行。Anthropic也特别强调，两项研究成果均不影响任何现有生产系统——HAWK尚未部署，AES攻击针对的是简化研究版本，而非完整的10轮AES-128标准。

反方的忧虑同样值得冷静审视：当AI能以相对较低的成本在密码学堡垒中凿出裂缝，那么真正的威胁到底有多远？先看成本，对HAWK的攻击耗费约10万美元的API调用成本，AES攻击过程中模型更是输出了约10亿个词元，研究人员的验证工作也耗去数百小时。这不是随手可得的廉价攻击，但在国家行为体或大型研究机构面前，这样的门槛显然说不上高。更值得注意的是，Claude在AES攻击的早期阶段曾一直拒绝尝试，认为改进AES的密码分析是不可能完成的任务，是在研究人员的多次引导下才开始探索并最终突破。这既说明当前模型尚缺乏主动发现未知漏洞的“野心”，也暗示了人的引导一旦结合强大算力，就能撬动意想不到的结果。

我的判断是，与其说这是一次对现有密码体系的威胁，不如说它重新划定了AI在密码分析中的能力边界。Claude并不是独立地从零设计出一种颠覆性的攻击理论，而是在已知攻击的基础上进行优化和加速，但即便如此，这种加速已经足以把一个原本稳坐候选席的算法拉下马。有效的“密钥强度减半”提醒着密码学社区，后量子算法的安全余量需要被重新评估。而“Möbius Bridge”这类由AI命名的技术细节，则更直接地表明模型已能够在专用领域内提出新颖的工程思路。

除了上述两项核心成果，Anthropic还透露Claude在其他密码算法上也有初步表现：对13轮LEA轻量级加密算法实现了实际密钥恢复攻击，可以在现代台式机上于一小时内完成；对Serpent-128、Salsa20流密码、Poseidon哈希函数以及SHA-1哈希函数的攻击也获得了改进。这些渗透进不同密码构造的影子，进一步强化了一种可能：未来的密码分析将变成人类研究员和大语言模型之间的协作循环，一方提出问题、设定边界，另一方在极短时间内遍历大量可能并给出优化路径。

当然，所有进展都还处在安全的实验框架内。HAWK并未真正上线，10轮AES-128依然固若金汤，而针对其他算法的攻击也远未触及实用红线。但冷静拆解下来，一个不容忽视的趋势是，AI辅助密码分析的效率正在以数量级的方式跃升。为了便于学界持续追踪和复现这类能力，Anthropic已与苏黎世联邦理工学院、特拉维夫大学及海法大学合作，推出了CryptanalysisBench基准测试集。这或许比单一攻击更具长远价值——它意味着，衡量密码算法安全强度的尺子，已经开始把AI的涌现能力纳入了度量刻度。