Mythos attack on 3rd-round PQC algorithm candidate puts it out of commission

Mythos 攻击导致第三轮 PQC 算法候选方案退出竞争 - Ars Technica

人工智能生成的密码分析

Mythos 攻击导致第三轮 PQC 算法候选方案退出竞争

HAWK 在多年测试中始终未暴露致命弱点，直到 Mythos 攻击发现其缺陷。

Dan Goodin

–

2026年7月29日 下午6:07

|

68

图片来源：Getty Images

按钮

文字设置

面板

正文文本

字号

小号

标准

大号

宽度

*

宽屏

链接颜色

橙色

• 仅限订阅者

了解更多

最小化至导航栏

一种曾被考虑作为美国官方标准的抗量子密码算法，在 Anthropic 安全模型发现其漏洞后退出了竞争。该算法名为 HAWK，是一种旨在抵御未来量子计算机攻击的数字签名方案。HAWK 已通过 NIST（美国国家标准与技术研究院）的两轮测试，该机构通过广泛测试评估 PQC（后量子密码）算法的安全性。HAWK 正在进行的第三轮测试旨在发现 Mythos 帮助揭示的此类缺陷。

在 Anthropic 周一公布结果后，HAWK 的开发者于周二宣布撤回该算法。

在这一进展之前，Anthropic 已经对其 Mythos AI 安全模型针对的两个密码学问题的测试结果表示赞赏。该模型发现了支撑 HAWK 的数学问题中的弱点，同时还发现了广泛使用的 AES 加密算法中的弱点。

尽管 HAWK 已被撤回，但很难判断该公司报道中有多少属于营销宣传。不过，这些发现仍然值得关注，因为它们可能预示着在破解对隐私和安全至关重要的密码学方面取得的重要进展。

在深入分析结果之前，有几个注意事项。

首先，这些成果是渐进式的。它们不会破坏任何当前依赖的密码系统。相反，它们揭示了适度降低击败这些系统所需工作量的方法。

其次，测试的密码系统是其正式规范中定义的弱化版本。此类“挑战实例”由规范作者提供，用于对抗性同行评审。在测试中使用弱化版本是标准做法，但实际生产环境中的系统则要强大得多。

第三，即使有所改进，底层“原语”（即构成密码系统基本构建块的底层数学问题）目前仍保持安全。

最后，这两种攻击使用的方法在测试环境之外可能难以实现。

HAWK 已经失效

Anthropic 表示，其 Mythos 模型（目前仅向一小部分受信任用户开放）能够针对两种密码系统发起攻击。第一个系统是 HAWK，一种旨在抵御未来量子计算机攻击的数字签名方案。

通过大约 60 小时的工作和约 10 万美元的计算成本，一位没有密码学专业知识的 Anthropic 研究员促使 Mythos 改进了对算法的最佳已知攻击，该攻击有效地将密钥强度降低了一半。

HAWK 的数学安全性依赖于格同构问题（Lattice Isomorphism Problem）的计算难度，与当今最常用的数字签名方案不同，该问题被认为能够抵御量子计算攻击。目前最著名的经典计算攻击方法是通过寻找所谓的自同构对称性来解决问题。Mythos 输出了一种此前未知的寻找此类对称性的方法，该成果使密钥长度缩短了一半。

该弱点可以通过将密钥尺寸加倍来缓解，但增加的计算成本使 HAWK 相比现有的抗量子计算（PQC）签名算法吸引力下降。在学术领域，当弱点使得攻击者能够比暴力破解更快地推导出密钥时，密码算法会被认为是已破解的。

约翰霍普金斯大学密码学专家 Matthew Green 表示，这项发现令人印象深刻之处在于其依赖于多个现有方法，而这些方法此前从未被尝试组合使用。

Green 在文中写道：“特别令人担忧（也特别适合 AI 应用）的是，该攻击并未发明全新的数学理论。它只是将一些已知的工具进行扩展，最终取得了良好的效果。”

Anthropic 补充说明：

为发现该攻击，Claude Mythos Preview 在代理式框架中半自主运行，偶尔接受人工指导和非技术性指令。Mythos 在深入查阅文献以了解当前技术前沿的基础上，通过大量数学推理和计算实验发现了该攻击。发现攻击后，Mythos 实施了端到端验证流程，以向自身和人工操作者证明攻击的正确性。

为找到改进方法，Mythos 部署了两个独立运行的代理。其中一个最初认为该方法不可行，第二个代理则找到了使其生效的途径。最终两个代理协同工作，直至达成一致认为改进后的攻击有效。（如同本文后面对 AES 攻击的描述，HAWK 攻击方法已做简化。如需完整细节，请参见 Anthropic 博客或分别关于 HAWK 和 AES 攻击的两篇长文。）

谷歌抗量子计算专家 Sophie Schmieg 表示，HAWK 本身就被怀疑存在最终会被发现的弱点。不过，通过 Mythos 找到的将密钥强度减半的方法，使该候选算法相比现有 PQC 数字签名方案（如 ML-DSA 和 FN-DSA）竞争力下降。

她写道：“基本上，这篇论文让 HAWK 宣告死亡。”

更少戏剧性，但仍颇具趣味性

针对 AES 的攻击结果相对不那么戏剧化。该攻击基于 Mythos 找到的一种改进方法，用于执行“中间相遇”攻击，这是在选择明文威胁模型下推导密钥的最佳已知攻击方法。该技术将大量已知明文输入加密系统，并分析加密输出中的线索，通过足够多的输入最终揭示未知密钥。此前，针对 AES 的最佳“中间相遇”攻击需要约 2^105 个明文输入，这一数量级使得该方法难以实施。

Mythos 帮助发现了一种新的中间相遇技术，该技术依赖于 Möbius Bridge（一种用于中间相遇攻击的更复杂的指纹算法）。Green 表示，使用该技术，Mythos 生成的代码能够将所需输入的数量减少到 2^89。Anthropic 表示，这种节省可以将此类攻击所需的时间减少 200 到 800 倍。

生成如此多输入的能力使得这种攻击在实验室之外难以实现。此外，实际加速效果尚不清楚，因为测试的弱化 AES 算法仅使用了七轮。Green 表示，符合规范的 AES 根据密钥大小使用 10、12 或 14 轮。

Anthropic 谨慎地明确说明了这些注意事项中的大部分。然而，周一的博客文章进一步指出，这些结果仍然具有重要意义，最终可能彻底颠覆密码分析的过程，或对密码系统的对抗性测试造成影响。

“网络安全社区现在正努力应对这样一个事实：语言模型能够发现如此多的漏洞，以至于标准的人类流程（如漏洞分类、验证和修复）难以跟上，”Anthropic 表示。“我们预测，学术密码学研究很快也会出现同样的情况。随着语言模型越来越多地自主生成新颖的研究成果，人类研究人员在研究和验证这些结果的技术有效性、新颖性和实用性时可能会遇到瓶颈。”

Anthropic 的报告中并未提及，其研究人员是否使用 Mythos 攻击过更成熟的密码系统，如椭圆曲线密码学和 RSA。对这些系统的攻击改进将更加令人印象深刻。通过在仍处于早期阶段的算法上取得最令人印象深刻的成果，尚不清楚 Mythos 真正提供了多少优势。无法确定使用传统密码分析技术的研究人员是否已经接近发现相同的攻击。

最终，这项研究的教训很简单。AI 辅助的密码分析仍未经验证，这些平台的提供者有动机夸大其优势。同时，越来越多的证据表明，LLMs 可能在发现密码弱点方面具有显著优势。得出 LLMs 不会在未来在保护和破坏我们最关键资产的竞争中发挥重要作用的结论是错误的。

本文的标题和正文已更新，以反映 HAWK 的撤回。

高级安全编辑

Dan Goodin 是 Ars Technica 的高级安全编辑，负责监督恶意软件、计算机间谍活动、僵尸网络、硬件黑客攻击、加密和密码的报道。在空闲时间，他喜欢园艺、烹饪和关注独立音乐场景。Dan 基于旧金山。关注他：

here

在 Mastodon 上和

在 Bluesky 上。通过 Signal 联系他：DanArs.82。

68 条评论