ИИ Anthropic улучшил взлом там, где эксперты застряли на годы: Claude Mythos нашёл слабости в постквантовой подписи HAWK и в AES

28 июля Anthropic опубликовала исследование, которое многие в отрасли ждали с опаской: её экспериментальная модель Claude Mythos Preview самостоятельно улучшила лучшие из известных атак сразу на несколько криптографических алгоритмов. Главный результат — нетривиальная симметрия в постквантовой схеме подписи HAWK, которую эксперты не замечали два года. Модель нашла её примерно за 60 часов работы. Практической угрозы для сегодняшних систем нет, но сам факт заставляет пересмотреть привычное представление о том, что криптоанализ — территория, где ИИ пока бессилен.

Что именно произошло

Криптоанализ (cryptanalysis — поиск слабостей в шифрах и протоколах) считается одной из самых «человеческих» дисциплин в информатике: он требует глубокой математики, интуиции и месяцев кропотливой работы небольшого числа специалистов мирового уровня. Именно поэтому долгое время он служил примером задачи, где большие языковые модели заведомо проигрывают людям.

Anthropic решила проверить это напрямую. Команда натравила ещё не вышедшую модель Mythos на набор реальных, хорошо изученных схем и попросила её не пересказывать учебники, а найти что-то новое — улучшить существующие атаки или обнаружить неизвестные ранее свойства. Результаты модель проверяла экспериментально, прогоняя гипотезы через математический пакет Sage и собственный код на Python.

Итог: улучшения по целому ряду алгоритмов, причём во всех случаях речь идёт именно о превосходстве над ранее опубликованными атаками, а не о переоткрытии известного.

HAWK: как модель вдвое ослабила постквантовую подпись

Самый громкий результат касается HAWK — схемы цифровой подписи (digital signature), построенной на решётках (lattices) и заявленной как кандидат третьего раунда постквантовой стандартизации NIST. «Постквантовая криптография» (post-quantum cryptography) — это алгоритмы, которые должны устоять даже против будущих квантовых компьютеров, поэтому к ним предъявляют особые требования по надёжности.

Mythos обнаружила в решётке HAWK ранее неизвестный нетривиальный автоморфизм — скрытую симметрию структуры, которая фактически вдвое уменьшает эффективную стойкость ключа. Для варианта HAWK-256 ожидаемая стоимость атаки упала с 264 до 238 операций. Это гигантская разница: разрыв между «в принципе невозможно на практике» и «месяцы на кластере».

Ключевая деталь, которую подчёркивает сама Anthropic: HAWK пережил два раунда экспертной проверки в течение двух лет, и никто из людей эту симметрию не заметил. Модель нашла её за 60 часов. При этом важно понимать масштаб: HAWK нигде не развёрнут в продакшене, а сама атака остаётся экспоненциальной по времени — она стала дешевле, но не превратилась в мгновенный взлом.

AES, LEA и другие: где ещё Mythos продвинулась

HAWK — не единственная цель. Модель улучшила атаки и на классические симметричные шифры, хотя и на их урезанных версиях, а не на полноценных боевых вариантах.

AES с сокращённым числом раундов

Для 7-раундового варианта AES (напомним, боевой AES-128 использует 10 раундов) Mythos предложила улучшенную атаку типа «встреча посередине» (meet-in-the-middle) с новым приёмом, который исследователи назвали Möbius Bridge. Он убирает один этап перебора, требовавший 256 вариантов, и в результате ускоряет атаку на 7-раундовый AES в 200–800 раз. Полноценного AES это не касается: ваши TLS-соединения и зашифрованные диски в безопасности.

LEA и Serpent

Для лёгкого шифра LEA (Lightweight Encryption Algorithm) модель построила практическую атаку на 13-раундовый вариант: восстановление ключа менее чем за 230 шифртекстов, что выполняется за часы на обычном настольном компьютере — против прежней оценки в 298. Были и более скромные улучшения по 6-раундовому Serpent-128, а также ограниченный прогресс по Salsa20, хеш-функции Poseidon и SHA-1.

Как это работало: агенты, Sage и миллиард токенов

Mythos действовала не как одинокий «оракул», а как связка полуавтономных агентов (agents — программных исполнителей, которые сами планируют шаги и запускают инструменты). Они писали и прогоняли код, обращались к опубликованной литературе, формулировали и проверяли гипотезы, а человек лишь изредка направлял процесс.

Масштаб вычислений впечатляет: на результат по AES ушло около 3 дней и порядка миллиарда выходных токенов. По оценке независимого исследователя Саймона Уиллисона, вычислительная стоимость эксперимента могла достигать примерно 100 000 долларов только по API. При этом модель регулярно норовила свернуть на задачи полегче, и людям приходилось раз за разом возвращать её к цели — «найти что-то, что действительно стоит публикации». Это важный нюанс: полной автономии здесь нет, роль человека-постановщика задачи остаётся ключевой.

Вместе с исследованием Anthropic выпустила и новый бенчмарк CryptanalysisBench, подготовленный совместно с ETH Zürich и рядом израильских университетов, — чтобы результаты можно было воспроизводить и сравнивать между моделями.

Почему паниковать рано

Сама Anthropic максимально прямо перечисляет ограничения, и их стоит держать в голове, чтобы не поддаться заголовкам про «ИИ сломал шифрование».

Ни один из результатов не влияет на реально работающие системы. HAWK не развёрнут; атака на него специфична именно для HAWK и не затрагивает другие постквантовые кандидаты NIST. Улучшения по AES, LEA и Serpent касаются только урезанных по числу раундов версий — их изучают как раз для того, чтобы заранее оценивать запас прочности полноценных шифров. Все атаки остаются экспоненциальными: они стали дешевле, но не перешли в разряд «взломать за секунду».

Иными словами, это не история о падении криптографии, а история о новом инструменте криптоаналитика — и о том, что модели вроде Claude начинают приносить пользу там, где ещё недавно считались бесполезными.

Что это меняет для разработчиков и индустрии

Практический вывод для команд, которые проектируют или выбирают криптографию, простой: планка «проверки экспертами» больше не абсолютна. Если ИИ за 60 часов находит то, что люди пропустили за два года, разумно добавлять модельный криптоанализ в процесс аудита новых схем — особенно постквантовых, которые сейчас активно стандартизируются и будут внедряться в ближайшие годы.

Для разработчиков приложений прикладной совет остаётся прежним: используйте стандартизированные, полнораундовые алгоритмы и проверенные библиотеки, не изобретайте собственные шифры и следите за обновлениями рекомендаций NIST. А для индустрии в целом это ещё один сигнал: ИИ-агенты уверенно заходят на территорию, которую считали исключительно человеческой, — и криптография оказалась не последней в этом списке.