Anthropic：Claude Mythos Preview計畫幫助推導出針對HAWK-256的端對端金鑰恢復攻擊，並將針對七輪AES-128的攻擊速度提升200到800倍。HAWK攻擊利用簽章方案背後格中一個先前未被利用的對稱性。Anthropic公司發布的實作方案在96核心伺服器上的端到端運作時間預計約為3小時42分鐘。AES的攻擊結果則從現有的中間相遇攻擊中移除一個256路猜測步驟。這兩項成果均不會影響生產系統。HAWK仍然是美國國家標準與技術研究院（National Institute of Standards and Technology, NIST）後量子時代標準化過程中的候選方案，而公開的恢復程式碼僅針對參數較小的HAWK-256。進階加密標準(Advanced Encryption Standard, AES)的結果適用於 AES-128十輪加密中的七輪，但仍需要數量龐大的明文樣本。因此無需對任何生產軟體進行更改。
HAWKlattice隱藏的對稱性
在 NIST於2026年5月推進的後量子數位簽章流程第三輪的九個候選方案中，HAWK是唯一基於格的方案。其NIST安全等級參數集為HAWK-512和HAWK-1024；HAWK-256是一個挑戰參數，作為密碼分析目標提供。直接恢復HAWK金鑰是搜尋模組格同構問題 (smLIP) 的一個實例。駭客必須恢復兩個lattice之間的隱藏變換。一個非平凡的自同構（即保持lattice不變的對稱性）可以將HAWK密鑰恢復簡化為在一個維度約為原始維度一半的lattice中找到一個短向量。由此產生的HAWK-n攻擊利用公鑰來建構τ-上循環lattice。然後，使用lattice約簡和篩選來恢復短向量，最後重建一個可用於對原始公鑰資訊進行簽署的秘密基底。
Anthropic發布的實作透過對資訊進行簽署並將其與NIST參考實作進行比對來驗證復原的金鑰。不會恢復原始的96位元組秘密密鑰種子。相反，它產生一個592位元組的解碼金鑰，其中包含功能等效的簽名材料。發布的程式碼僅支援HAWK-256，並拒絕所有非 HAWK-256輸入。該程式碼庫包含兩個Anthropic聲稱已成功攻擊的公鑰。它還支援產生和測試新的HAWK-256密鑰。HAWK-256密鑰恢復的預期工作因子從264降至238。HAWK-512的門數估計值從2150降至2108，HAWK-1024的門數估計值從2288降至2182。這兩個較大的參數仍然難以攻擊。公開記錄尚未顯示NIST或HAWK提交者是否會根據這些較低的估計值更改方案的參數、安全聲明或在標準化過程中的地位。該攻擊仍然是指數級的。它並非對HAWK的多項式時間破解，Anthropic：不適用於其他NIST簽名候選方案或一般的lattice密碼學，Mythos Preview在多AI Agent環境下，耗時約60小時開發並驗證該結果。估計應用程式介面（API）的成本約為10萬美元。
速度更快但仍不切實際
第二個目標是將AES-128的輪數從十輪減少到七輪。研究輪數減少的密碼是標準的密碼分析實踐，因為它可以衡量在攻擊達到完整構造之前還剩下多少安全邊距殘留。此攻擊假設駭客能夠獲得約 2105個使用一個固定的未知金鑰加密的選定明文。僅此要求就使其遠遠超出實際應用範圍。先前的中間相遇攻擊透過儲存中間密碼狀態並匹配從密碼兩端進行的計算來以記憶體換取計算。先前攻擊的一個階段需要在搜尋表之前測試256個可能的值。
Mythos開發一種不變指紋，Anthropic稱之為Möbius Bridge（莫比烏斯橋）1。由於指紋在猜測值處保持不變，因此該攻擊可以消除 256路列舉。考慮到變換成本和其他最佳化措施，Anthropic估計七輪AES-128攻擊的速度比傳統攻擊快200到800倍，具體速度提升幅度取決於運行時間的測量方式。
Anthropic的程式碼針對一個較小的、類似AES的密碼演算法（使用24位元金鑰）執行完整的黑箱金鑰復原。對於真實的七輪AES-128攻擊，它會測量各個表項和線上候選密鑰。 Anthropic使用 C、Python和Rust分別實現不同的元件，測試其效能，並將這些測量結果推算到完整的攻擊中。它不會從頭到尾執行完整的AES-128復原過程。實際結果比HAWK和AES這兩個名稱所暗示的範圍要窄。完整的HAWK復原目標是HAWK-256，這是一個挑戰參數，而不是 NIST安全等級參數集。對於七輪AES-128攻擊，Anthropic根據組件測量結果推導出完整攻擊的成本，結果表明，在實際規模下，該攻擊仍然不可行。該模型最初拒絕參與，並堅稱改進AES是不可能的。人類學雜誌刊登研究人員直截了當的後續提示，包括其中的拼字錯誤，這些提示促使模型繼續尋找答案。
Anthropic：Mythos Preview模型在運行約三天並產生數億個輸出代幣後，找到Möbius Bridge（莫比烏斯橋）。隨後幾天，模型不斷改進方法，最終產生約10億個輸出代幣。成本最高的是人工成本。模型運行的API使用費約為10萬美元，但研究人員花費數百小時來驗證該方法。 Anthropic：兩位研究人員花了近一個月的時間才確信該方法正確，驗證是明顯的瓶頸。
2026年7月20日首次披露發布CryptanalysisBench之後進行的。CryptanalysisBench是一個包含191個任務的基準測試，由來自ETH Zurich（蘇黎世聯邦理工學院）、Anthropic、University of Haifa（海法大學）、Technische Universität Berlin and Tel Aviv University（柏林工業大學和特拉維夫大學）的研究人員共同開發。五個模型破解其一級簡單加密方案的65%到86%，以及二級複雜加密方案的6到12個。該基準測試評估Mythos 5，Anthropic將其描述為Mythos Preview的最新更新版本。HAWK和AES的披露明確提到Mythos Preview。
截至2026年7月29日，NIST仍將HAWK列為第三輪候選演算法。 Anthropic在NIST 論壇上發布的公告感謝HAWK團隊協助驗證結果並提供回饋，但並未說明回饋內容是審查證明、運行公開的測試案例，還是兩者兼有。
更新HAWK退出NIST流程
2026年7月29日更新：當天晚些時候，HAWK團隊在確認Anthropic的攻擊將恢復等效金鑰所需的格約簡區塊大小減少了近一半後，宣布HAWK退出NIST的後量子簽章標準化流程。團隊表示，簡單的緩解措施，例如將參數加倍或遷移到更高階的模組，都會使HAWK失去競爭力。
註1:Möbius Bridge（莫比烏斯橋）:是人工智慧公司Anthropic 的前沿 AI 模型在2026年7月進行密碼學研究時，自主提出並命名的一項新型指紋演算法與攻擊優化技術。該技術針對簡化版（7 輪）的對稱加密標準AES-128進行分析，成功將傳統「中間相遇攻擊」的速度加快了 200到800倍。
本文參考自：https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html