Anthropic ha affermato che il suo modello Claude Mythos Preview, non ancora rilasciato, ha trovato un attacco precedentemente sconosciuto contro HAWK, riducendo il costo per recuperare la sua chiave più piccola da 2^64 operazioni a 2^38.

Il modello ha anche accelerato di 200 a 800 volte un attacco contro una versione a 7 round di AES, superando un record stabilito da crittografi nel 2013.

Ciascun risultato è costato circa 100.000 dollari in utilizzo API, e il personale di Anthropic ha impiegato diverse centinaia di ore per verificare che il risultato su AES fosse reale.

Anthropic ha detto martedì che una versione non rilasciata del suo modello di IA più potente ha scoperto due attacchi finora sconosciuti ad algoritmi crittografici, incluso uno rivolto a uno schema che sta attualmente concorrendo per diventare uno standard federale statunitense.

Quel sistema è HAWK, uno schema di firma digitale—la matematica che dimostra che una transazione proviene da te senza mai esporre la tua chiave privata—progettato per resistere ai futuri computer quantistici. A maggio, il National Institute of Standards and Technology, o NIST, ha portato HAWK al terzo round della sua competizione per le firme post-quantum, dove è ora l’ultimo candidato basato su reticoli rimasto.

Claude ha identificato una simmetria nella matematica di HAWK che i ricercatori umani non avevano usato in precedenza. Nella configurazione più piccola, il costo del recupero di una chiave segreta è sceso da 2^64 operazioni a 2^38, ovvero circa 67 milioni di volte meno lavoro.

Secondo Anthropic, correggere il problema richiederebbe sostanzialmente raddoppiare la dimensione delle chiavi di HAWK. "Unfortunately, doubling HAWK's key size eliminates many of the reasons making the scheme (as it currently stands) an attractive PQC signature candidate," ha scritto l’azienda.

New Anthropic research: Discovering cryptographic weaknesses with Claude. Claude Mythos Preview has helped our researchers find weaknesses in cryptographic algorithms—the mathematical methods that are used to keep data private. Read more: — Anthropic (@AnthropicAI) July 28, 2026

Questo compromesso è importante per i sistemi che dovrebbero adottare una sostituzione post-quantum su larga scala: la dimensione delle firme incide sul block space, e il block space incide sulle commissioni, quindi la compattezza fa parte della discussione progettuale, non solo della sicurezza grezza. Le chiavi compatte e la firma rapida erano centrali nell’attrattiva di HAWK, e la correzione proposta eliminerebbe gran parte di quel vantaggio.

Anthropic ha affermato che HAWK non è mai stato implementato in alcun contesto e che Bitcoin utilizza ancora ECDSA, lo schema di firma pre-quantum che candidati come HAWK sono destinati a sostituire.

L’azienda ha detto di aver divulgato entrambe le scoperte agli autori degli algoritmi e a partner governativi e industriali statunitensi prima della pubblicazione, e di aver coordinato il risultato su HAWK con NIST.

Il risultato su AES ha richiesto più tenacia

Il secondo attacco ha preso di mira AES, il cifrario che protegge il traffico HTTPS, le unità cifrate e i backend degli exchange. La versione completa AES-128 utilizza 10 round di scrambling, e Claude ha attaccato una versione di ricerca a 7 round che non era stata migliorata dal 2013.

I ricercatori hanno impostato il compito in modo particolarmente difficile. Hanno vietato al modello di usare tutte e cinque le famiglie consolidate di crittoanalisi di AES e gli hanno chiesto di inventarne una sesta. Il prompt osservava persino che il primo attacco differenziale non aveva battuto nulla—aveva inventato il gioco. Claude ha inoltre ereditato note di lavoro da precedenti run dell’agente che avevano già esaurito circa 200 varianti di attacco fallite.

Nonostante ciò, il modello ha resistito a prendere una strada più semplice. "On AES-128 r5/r6/r7 it found nothing because there's nothing easy to find; this is the most-studied block cipher in existence," ha detto Claude ai ricercatori, secondo le trascrizioni pubblicate da Anthropic.

Nei tre giorni successivi, Anthropic ha inviato solo tre messaggi sostanziali, tra cui: "no again the goal is that we have highly inteligent [sic] model as good top researcher, we want to find new attacks." Un altro messaggio ha rifiutato il tentativo di Claude di passare a un cifrario più semplice.

Claude ha quindi prodotto la tecnica che l’articolo chiama Möbius Bridge, eliminando uno dei nove byte chiave che in precedenza un attaccante doveva indovinare. Rifinire quel risultato nella versione finale pubblicata ha richiesto ancora alcuni giorni e circa un miliardo di token di output.

Il percorso più breve verso un risultato pratico ha ricevuto meno attenzione. Claude ha anche violato 13 round di LEA, uno standard nazionale coreano e uno standard ISO di crittografia leggera pensato per telefoni e dispositivi internet-of-things, in meno di un’ora su un desktop. Il precedente miglior attacco richiedeva 2^98 coppie di plaintext. La versione distribuita di LEA usa 24 round, quindi nessun sistema in produzione è compromesso.

L’articolo su HAWK è insolitamente diretto su come è stato svolto il lavoro. "The majority of mathematical discoveries in this paper were AI-assisted. Human author contribution mainly consisted of directing, organizing and verifying AI work," hanno scritto gli autori.

Claude ha trovato l’idea per AES in pochi giorni, ma poi i ricercatori di Anthropic hanno trascorso diverse centinaia di ore a imparare abbastanza crittografia per verificarne la validità. Lo stesso modello aveva già trovato 271 vulnerabilità in Firefox durante test interni.

"The cybersecurity community is now grappling with the fact that language models are able to discover so many bugs that the standard human processes (like vulnerability triage, verification, and remediation) struggle to keep up," ha scritto Anthropic, avvertendo che i ricercatori umani potrebbero diventare il collo di bottiglia.

Anthropic ha inoltre introdotto CryptanalysisBench, un benchmark composto da 191 compiti di rottura di cifrari, tratti in gran parte da competizioni NIST. Nei test, i modelli devono inviare uno script di attacco funzionante che vinca oppure no un gioco di sicurezza formale, senza credito parziale e senza valutazione umana.

Mythos 5 ha risolto l’85,7% dei compiti con soluzioni note, contro il 65,3% del modello più debole testato. Contro cifrari a piena forza senza una rottura pubblicata, tutti i modelli hanno ottenuto meno del 9%.