Anthropic заявила, что незапущенная модель Claude Mythos Preview обнаружила ранее неизвестную атаку на HAWK, снизив стоимость восстановления его наименьшего ключа с 2^64 операций до 2^38.

Модель также ускорила атаку на 7-раундовую версию AES в 200–800 раз, превзойдя рекорд, установленный криптографами в 2013 году.

Каждый из результатов обошелся примерно в $100,000 в расходах на API, а сотрудники Anthropic потратили несколько сотен часов на проверку того, что результат по AES действительно реален.

Во вторник Anthropic заявила, что незапущенная версия самой мощной ИИ-модели компании обнаружила две ранее неизвестные атаки на криптографические алгоритмы, включая одну против схемы, которая сейчас конкурирует за статус федерального стандарта США.

Речь идет о HAWK — системе цифровой подписи, то есть математическом механизме, который подтверждает, что транзакция исходит от вас, не раскрывая при этом ваш закрытый ключ, — созданной для защиты от будущих квантовых компьютеров. В мае Национальный институт стандартов и технологий, или NIST, перевел HAWK в третий раунд своего конкурса постквантовых схем подписи, где она теперь остается последним кандидатом на основе решеток.

Claude обнаружил в математике HAWK симметрию, которую ранее не использовали исследователи. Для самой маленькой конфигурации стоимость восстановления секретного ключа снизилась с 2^64 операций до 2^38, то есть примерно в 67 миллионов раз меньше работы.

По данным Anthropic, для исправления проблемы потребуется примерно удвоить размер ключа HAWK. «К сожалению, удвоение размера ключа HAWK устраняет многие причины, по которым эта схема (в ее нынешнем виде) является привлекательным кандидатом для подписи в PQC», — написала компания.

Новое исследование Anthropic: обнаружение криптографических слабостей с помощью Claude. Claude Mythos Preview помог нашим исследователям находить слабые места в криптографических алгоритмах — математических методах, используемых для защиты данных. Подробнее: — Anthropic (@AnthropicAI) 28 июля 2026

Это компромисс особенно важен для систем, которым пришлось бы массово переходить на постквантовую замену: размер подписи влияет на объем блокчейн-пространства, а блокчейн-пространство влияет на комиссии, так что компактность — это часть проектного выбора, а не только вопрос чистой безопасности. Компактные ключи HAWK и быстрое подписание были ключевыми преимуществами схемы, и предложенное исправление лишило бы ее значительной части этого преимущества.

Anthropic заявила, что HAWK нигде не разворачивалась, а Bitcoin по-прежнему использует ECDSA — допостквантовую схему подписи, которую в будущем и должны заменить кандидаты вроде HAWK.

Компания сообщила, что до публикации раскрыла оба результата авторам алгоритмов, а также партнерам из правительства США и отрасли, и согласовала вывод по HAWK с NIST.

Для результата по AES потребовалось больше настойчивости

Вторая атака была направлена на AES — шифр, который защищает HTTPS-трафик, зашифрованные диски и серверные системы бирж. Полный AES-128 использует 10 раундов преобразований, а Claude атаковал исследовательскую 7-раундовую версию, которая не улучшалась с 2013 года.

Исследователи намеренно сделали задачу особенно сложной. Они запретили модели использовать все пять известных семейств криптоанализа AES и приказали придумать шестое. В постановке задачи даже было отмечено, что первая дифференциальная атака ничего не победила — она изобрела саму игру. Claude также унаследовал заметки от более ранних агентных запусков, которые уже исчерпали примерно 200 неудачных вариантов атаки.

Тем не менее модель не стала искать более простой путь. «На AES-128 r5/r6/r7 она ничего не нашла, потому что там нечего легко найти; это самый изученный блочный шифр из существующих», — сказал Claude исследователям, согласно транскриптам, опубликованным Anthropic.

В течение следующих трех дней Anthropic отправила всего три содержательных сообщения, среди них: «нет, опять же, цель в том, чтобы у нас была очень inteligent [sic] модель, как у сильного исследователя, мы хотим находить новые атаки». Еще одно сообщение отклонило попытку Claude перейти на более простой шифр.

Затем Claude предложил прием, который в статье назван Möbius Bridge, устранив необходимость угадывать один из девяти байтов ключа, которые атакующему ранее приходилось подбирать. Доработка этого результата до опубликованной версии заняла еще несколько дней и около миллиарда выходных токенов.

Самый короткий путь к практическому результату получил меньше всего внимания. Claude также взломал 13 раундов LEA — южнокорейского национального стандарта и стандарта ISO для легковесного шифрования, используемого в телефонах и устройствах интернета вещей, — менее чем за час на настольном компьютере, тогда как предыдущий лучший результат требовал 2^98 пар открытого текста. В развернутой версии LEA используются 24 раунда, так что ни одна действующая система не затронута.

Проверка заняла больше времени, чем открытие

Статья о HAWK необычно прямо описывает распределение работы. «Большинство математических открытий в этой статье были сделаны при помощи ИИ. Вклад человека-автора в основном заключался в направлении, организации и проверке работы ИИ», — написали авторы.

Claude нашел идею для AES за несколько дней, но затем исследователи Anthropic потратили несколько сотен часов, чтобы изучить достаточно криптографии и подтвердить, что результат работает. Та же модель ранее нашла 271 уязвимость в Firefox во время внутреннего тестирования.

«Сообщество кибербезопасности сейчас сталкивается с тем фактом, что языковые модели способны находить так много ошибок, что стандартные человеческие процессы (например, первичная оценка уязвимостей, проверка и исправление) с трудом успевают за этим», — написала Anthropic, предупредив, что узким местом могут стать именно люди-исследователи.

Anthropic также создала CryptanalysisBench — набор из 191 задачи по взлому шифров, в основном взятых из конкурсов NIST. Модели должны представить рабочий скрипт атаки, который либо выигрывает формальную игру безопасности, либо нет, без частичных баллов и без оценки человеком.

Mythos 5 решил 85,7% задач с известными решениями против 65,3% у самой слабой протестированной модели. В задачах против полноценных шифров без опубликованного взлома все модели набрали менее 9%.