Anthropic Claude Mythos破解HAWK后量子签名：密钥强度减半，HAWK团队次日撤回NIST

duckwolf

Anthropic Claude Mythos破解HAWK后量子签名：密钥强度减半，HAWK团队次日撤回NIST

2026年7月28日，Anthropic发布一项令密码学界震动的研究——Claude Mythos Preview（其未发布的下一代核心模型的内测版本）以约60小时、约10万美元的API开销，自主发现了NIST第三轮后量子签名候选HAWK中的一个"非平凡自同构"，将HAWK-256的密钥恢复成本从2的64次方降到2的38次方，HAWK团队次日从NIST标准化进程中撤回。Mythos同步发现了7轮AES-128的"Möbius Bridge"攻击——把学术界的最优攻击速度提升200到800倍（但仍需约2的105次方个选择明文，现实中不可行）。Anthropic同步公布两篇技术论文与可重现代码，并联合ETH Zurich、Tel Aviv University、University of Haifa发布共享基准CryptanalysisBench——这是"AI自主密码分析（automated cryptanalysis）"从学术演示切换到产业级操作能力的分水岭事件。对所有使用加密技术的企业：2026年起，"密码敏捷性（crypto agility）"从2030战略级项目切换到当季度的运营级要求。


一、HAWK是什么：NIST后量子签名的最后冲刺

HAWK是一种基于"格同构问题（Lattice Isomorphism Problem）"困难性的数字签名方案。它的安全性不依赖经典的整数分解或离散对数，而是依赖"格结构中的非平凡自同构是否存在"——这是LWE/SIS问题外的一条新路径。HAWK是NIST"附加数字签名"竞赛第三轮的9个候选之一，2025年5月进入第三轮。这一竞赛是为"量子计算机成熟后将打破RSA/ECDSA"这一天做准备的标准化努力。

HAWK的关键卖点是"更紧凑的密钥+签名尺寸"——相比ML-DSA（FIPS 204）和SLH-DSA（FIPS 205），HAWK声称能以更小的密钥+签名满足同等安全级别——这正是嵌入式设备、物联网、移动支付等"带宽与存储受限场景"所追求的。如果HAWK顺利通过NIST标准化，未来将进入主流TLS、WebAuthn、区块链签名、智能合约授权等场景——这就是为何密码学界对其安全性"零容忍"。


二、Claude Mythos做了什么：找到非平凡自同构

Anthropic Frontier Red Team的研究员在Claude Code-like harness（多agent协同沙箱）中运行Mythos，配备Python、Sage与公开发表的密码学论文库。第一步是广泛文献综述——搜索HAWK相关的全部论文与已知攻击。第二步是关键数学推理与计算实验——尝试"在HAWK所用的具体格中找到非平凡自同构"。

之前的攻击理论（van Gent与Pulles 2025年论文）已经证明：如果能找到一个具体的非平凡自同构，HAWK的密钥恢复攻击就能简化为更短的问题——但这只是一种"理论上存在"的证明，没有人在HAWK的实际格中找到。Mythos在60小时计算中找到了这个具体的对称性。

攻击的工作原理：
• HAWK的安全性基于"格同构问题"——给定两个格，它们之间是否存在同构等价
• "非平凡自同构"是格的内在对称性——格上一种"自我镜像"的结构变换
• 一旦找到，HAWK-256的密钥恢复预期计算成本从2的64次方降到2的38次方——密钥强度减半
• 释放的代码可在96核服务器上约3小时42分钟完成对HAWK-256的功能等价签名密钥恢复

对HAWK的具体参数集影响：
• HAWK-256（小型参数集）：从2的64次方降到2的38次方——密钥强度实质性减半
• HAWK-512（中型参数集）：从2的150次方降到2的108次方——仍远超实际攻击能力
• HAWK-1024（大型参数集）：从2的288次方降到2的182次方——完全安全

但密钥减半的代价是"加倍HAWK密钥长度即可恢复安全"——而这恰恰消除了HAWK作为紧凑后量子签名方案的核心吸引力。HAWK团队在7月29日宣布从NIST进程中撤回方案，NIST于同日在标准论坛上标注HAWK为已撤回。


三、Möbius Bridge：7轮AES攻击速度提升200-800倍

Mythos几乎完全自主地开发出Möbius Bridge攻击——这是学术界研究的AES-128弱化版本（7轮而非完整的10轮）。经典AES-128执行10轮数学变换；密码学家通常研究7轮、6轮、5轮等弱化版本以度量安全裕度。

7轮AES的此前最优"中间相遇"（meet-in-the-middle）攻击需要枚举256个候选值并在预计算表中查找——这是攻击中耗时的步骤。Möbius Bridge技巧的关键洞察是构造一个"对那256种猜测都不变"的指纹（fingerprint）——从这个指纹直接读取答案，省掉了256路查找。结合其他优化，攻击速度比此前最优方案提升200-800倍。

但这次攻击仍需要约2的105次方个选择明文——这是"400个百万亿亿（octillion）个消息"的量级，实际无法执行。Anthropic强调：这对任何生产系统都不构成实际威胁。


四、关键发现：60小时 vs 2年专家评审

MITRE ATT&CK框架下密码学界的"专家评审"花费约2年时间都没找到HAWK的攻击——这是密码学界在重大提案上惯用的"长时间论证+同行质疑"流程的代表性失败案例。Mythos以60小时+10万美元的代价发现了实际问题。

Mythos的研究路径"AI驱动密码分析"出现几个产业级新模式：
• 多agent协同找"被否定的思路"：早期worker判定某个思路"不可行"而放弃，但第二个worker找到一种执行它的方式，最终两组对话后达成一致——这是人类专家常见的"团队智慧+路径切换"的AI版；
• AI自主发现与人类验证分离：Mythos找到AES攻击用时约1周，2位人类密码学家花了近1个月确认其正确性——Anthropic明示：最近的研究时间大部分用于验证模型输出而非发现；
• 共享基准CryptanalysisBench：与ETH Zurich、Tel Aviv、University of Haifa联合发布，让其他研究者可以度量AI模型对一系列密码系统的攻击能力——这相当于密码学的"SWE-Bench"。

Anthropic承认了"如果AI发现的不是候选方案中的缺陷，而是已经部署的密码学系统中的缺陷"应该如何应对——这正是2026年6月五眼联盟（美、英、加、澳、新）情报主管公开警告"高级AI模型距离网络战级别威胁仅几个月"所担忧的事。


五、对所有依赖加密的企业的实操影响

对所有处理加密密钥的企业CTO/CISO：

第一层：立即盘点当前算法清单。FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、FIPS 203（ML-KEM）均未受影响——这三个才是正式的NIST后量子标准，继续使用毫无风险。ECDSA/RSA/Ed25519等传统密码（包括比特币、TLS、电子邮件PGP）也未受影响——本结果不涉及。

第二层：区分"标准 vs 候选"。HAWK是候选方案（on-ramp candidate），不是已部署的标准——把它类比为"正在审核中的草案标准"远比"现行标准被破解"严肃得多。风险在于企业若已主动采用HAWK或类似on-ramp方案做内部试点，应立刻暂停相关落地。

第三层：建立"密码敏捷性（crypto agility）"操作流程——这是2026年下半年每个安全团队必须建立的"季度操作"，不是"2030年的战略计划"：
• 加密资产清单：TLS证书、代码签名、数据库加密、区块链签名、VPN/SSH密钥、IoT设备固件；
• 优先级排序：哪些系统暴露在公网、哪些系统长期存储敏感数据、哪些系统需要长期前向保密性；
• 算法替换演练：每季度做一次"假设TLS 1.3被破解，企业能在多少天内完成降级到备用算法"的操作演练；
• 供应链询问：上游库（OpenSSL、BoringSSL、Tink、Web3.js、ethers-rs）是否已支持多算法切换。

第四层：关注"AI模型本身能成为攻击工具"的威胁建模——Anthropic披露Mythos的发现过程意味着：任何有API访问权限的组织或个人，都能在60小时+10万美元的成本下进行原本需要博士+多年的密码学攻击。企业内部代码、加密签名、API密钥若落在LLM可接触的训练数据/部署环境中，需考虑"AI辅助的针对性攻击"风险。


六、结论

Mythos破解HAWK与7轮AES是2026年下半年密码学界最具标志性的事件——它标志着AI从"研究助手"切换到"独立研究者"：60小时+10万美元的成本上限，把原本"需要博士5-10年的密码学研究"压缩到"一个云API调用"。对企业安全团队来说，"密码敏捷性"从战略级名词切换到季度KPI。对AI厂商来说，"AI是否加速攻防不对称"的问题从理论研讨切换到可观察的攻击事件——Anthropic同步发布CryptanalysisBench是负责任的开源举措，类似OpenAI/Anthropic对SWE-Bench/GPQA的共享基准建设。对个人开发者来说：现在该把"我用的crypto是不是会突然崩"加入日常安全列表——FIPS 203/204/205继续用、ECDSA继续用、不要押注尚未进入标准的on-ramp方案。


数据来源

Anthropic Research《Discovering cryptographic weaknesses with Claude》（anthropic.com/research/discovering-cryptographic-weaknesses，2026.07.28）；CyberScoop《Anthropic turned Mythos loose on encryption algorithms》（cyberscoop.com，2026.07.28）；新浪科技《Anthropic：Claude 发现 HAWK 致命缺陷》（tech.sina.cn，2026.07.30）；eCORPIT《60 hours to halve a post-quantum cipher》（ecorpit.com，2026.07.30）；NIST PQC Standardization Process（csrc.nist.gov/projects/pqc-dig-sig，2026.05）；Anthropic CryptanalysisBench公开仓库（cryptanalysisbench.org，2026.07.28）；Five Eyes情报主管AI公开声明（fbi.gov/news/，2026.06.15）；Implicator.ai《Mythos finds flaw in HAWK》（implicator.ai，2026.07.28）。技术细节、密钥强度对比、CryptanalysisBench方法学以Anthropic 7月28日论文与代码仓库为最终依据。