一个通过了两轮专家评审、被寄予「抗量子」厚望的加密算法，被 AI 用 60 个小时撕开了口子。

7 月 28 日，Anthropic 发布研究报告称，其研究模型 Claude Mythos Preview 在密码学研究中取得两项突破：一是找到了针对后量子数字签名候选方案 HAWK 的改进攻击，将其有效密钥强度直接砍半；二是发明了一种新技术，把针对减轮版 AES 的攻击速度提升了 200 到 800 倍。

Anthropic 特别强调，这次 AI 发现的是算法本身的数学缺陷，而不是以往常见的代码实现漏洞——这类工作过去往往需要顶尖密码学家花费数年时间。

60小时，攻破两年评审没守住的防线

第一项成果针对的是 HAWK。这是美国国家标准与技术研究院（NIST）后量子密码征集计划的第三轮候选方案之一。由于未来的量子计算机可能攻破现有的 RSA、ECDSA 等签名方案，NIST 于 2022 年发起征集，寻找能抵御量子攻击的替代算法，HAWK 正是其中的热门候选，此前已经受住了两轮、历时两年的人类专家评审。

而 Claude 以半自主方式运行约 60 小时，就改进了针对 HAWK 的已知最佳密钥恢复攻击。它利用了 HAWK 格结构中一个此前未被发现的非平凡自同构——先前理论曾推测这种对称性可能带来更快的攻击，但一直无人能证明它真实存在。

攻击效果相当惊人：以 HAWK-256 为例，破解的预期成本从 2^64 次运算骤降至 2^38 次，有效密钥强度直接减半。虽然把密钥尺寸加倍可以恢复安全性，但这将大幅削弱 HAWK 作为「紧凑型后量子方案」的核心卖点。这一实验消耗的 API 成本约为 10 万美元。

「莫比乌斯桥」：AI 自创的密码分析技术

第二项成果针对 AES——全球使用最广泛的对称加密标准，网络流量、硬盘加密、即时通讯背后都有它的身影。密码学界研究 AES 的惯常做法，是攻击它的「减轮」版本来检验算法的安全冗余。

Claude 在经典的中途相遇攻击基础上，发明了一种名为「莫比乌斯桥」（Möbius Bridge）的指纹识别技术，省去了此前需要遍历 256 个值的一个猜测步骤，使针对 7 轮 AES-128（完整版为 10 轮）的攻击速度比先前最佳方法快 200 至 800 倍。

更值得注意的是发现过程：这项攻击几乎完全由 AI 自主完成。研究人员仅在三天内给出三次实质性提示，模型生成了超过 10 亿个 token 的分析后提出核心创新思路。有趣的是，模型一开始还多次「拒绝尝试」，理由是「AES 已被研究得太透了」——直到研究人员调整了实验框架，它才重写自己的方案并最终找到突破口。

不影响现实系统，但改变了游戏规则

需要明确的是，这两项攻击目前都不会影响任何生产系统：HAWK 只是候选方案，尚未实际部署；针对 AES 的攻击也没有破解完整的 10 轮版本，现有软件无需任何修改。Anthropic 已按照负责任披露流程，于 6 月将结果告知 HAWK 作者，并通过 NIST 邮件列表协调公开。

但研究的延伸信号更值得关注。Anthropic 透露，团队随后在减轮版 LEA、Serpent 等算法上也取得了初步成果，并在 Salsa20、Poseidon 和 SHA-1 上获得小幅改进。该公司还与苏黎世联邦理工学院、特拉维夫大学和海法大学合作推出了 CryptanalysisBench 基准，供学术界评估大模型的密码分析能力。

Anthropic 同时发出警告：AI 产生研究成果的速度，可能很快超过人类专家的验证能力——这次的两项成果，模型各花了几天到一周，而人类研究员的验证工作耗费了数百小时。随着模型能力继续提升，未来不排除发现针对已部署系统的实际攻击，密码学界需要提前建立应对机制。

用 AI 给全世界的加密算法做「压力测试」，在漏洞被坏人找到之前先一步补上——这正是密码学研究的意义所在，只是这一次，跑在最前面的换成了机器。

来源：Anthropic 官方研究博客、FreeBuf