2026 年 7 月底，Anthropic 公布了两项由 Claude Mythos Preview 发现的密码学成果：一是对后量子签名候选方案 HAWK 的密钥恢复攻击，二是对 7 轮 AES-128 的改进攻击。消息传出后，不少标题把焦点放在“AI 破解加密”上。密码学家 JP Aumasson 很快给出了一份冷静的技术评估：大语言模型不会攻破 AES、ChaCha、SHA-3 等成熟对称密码。

先看 Anthropic 的实际发现。HAWK 是美国国家标准与技术研究院后量子签名标准化流程“附加数字签名”赛道中的候选方案，基于格同构问题。Claude 找到一种新的数学对称性，使密钥搜索空间被“折叠”。对于最小参数集 HAWK-256，完整密钥恢复所需的运算量从 2^64 降到 2^38；对于 HAWK-512，安全级别从设计目标 128 位最多降至 108 位，论文附录甚至推测可能低至 81 位。Aumasson 认为这是一次真实且有意义的安全折损。

另一项针对 7 轮 AES-128 的攻击则完全不同。完整 AES-128 有 10 轮，7 轮版本是密码学界常用的“削轮”研究对象，用来试探安全余量，而非真实部署场景。Claude 提出的“Möbius Bridge”技术消除了此前攻击中需要枚举 256 个可能值的步骤，使整体速度提升 200 到 800 倍。但 Aumasson 援引 Anthropic 自身表述：这次攻击“完全不实用”，对日常使用的完整 AES-128 不构成威胁。

Aumasson 从四个角度解释为什么大语言模型难以撼动成熟对称密码。第一，这些方案的高层结构已被证明安全，例如 AES 的 CTR、GCM 模式，以及 SHA-3 的海绵结构。第二，它们刻意避免数学结构，设计目标就是把计算变成“陷在流沙里的拖拉机”——每轮操作简单，但多次迭代后极难逆向。第三，对称密码分析的主流手段是差分分析，这条路已被人类和机器反复挖掘。第四，AES、ChaCha、BLAKE3 等经过数千小时密码学审查，没有发现能动摇完整结构的攻击。

更值得注意的或许是流程本身。Anthropic 披露，Claude 用约一周时间提出 7 轮 AES 的攻击思路，但两名研究人员花了近一个月才确认其正确性；每项成果大约消耗 10 万美元 API 费用。Aumasson 的判断是，大语言模型的价值可能更多体现在发现候选方案弱点、验证证明漏洞、构建 CryptanalysisBench 这类基准上，而真正的瓶颈正在从“发现”转向“验证”。

来源：JP Aumasson 博客 / Anthropic 官方研究公告 / The Hacker News