Az Anthropic szerint a Claude Mythos Preview segített kidolgozni egy végponttól végpontig tartó kulcsvisszanyerő támadást a HAWK-256 ellen, valamint egy 200–800-szoros gyorsulást elérő támadást a hétkörös AES-128-cal szemben.

A HAWK elleni támadás a rácson belüli, eddig ki nem használt szimmetriát használja ki az aláírási séma mögött. Az Anthropic által közzétett megvalósítás várható teljes futási ideje nagyjából 3 óra 42 perc egy 96 magos szerveren. Az AES-eredmény egy meglévő meet-in-the-middle támadásból kiiktat egy 256-szoros tippelési lépést.

Az Anthropic szerint egyik eredmény sem érinti az éles rendszereket. A HAWK továbbra is jelölt a National Institute of Standards and Technology (NIST) posztkvantum-szabványosítási folyamatában, és a nyilvános visszanyerő kód csak a kisebb HAWK-256 paramétert célozza.

Az Advanced Encryption Standard (AES) eredmény az AES-128 tíz köréből hétre vonatkozik, és továbbra is gyakorlatban használhatatlanul sok választott nyílt szöveget igényel. A cég szerint emiatt egyetlen éles szoftveren sem kell változtatni.

Az Anthropic a két technikai cikkel és reprodukálhatósági anyagokkal együtt tette közzé az eredményeket. A vállalat azt közölte, hogy a kutatás nagy részét a Mythos Preview végezte, az emberek pedig a projekt irányát, a számítási erőforrásokat és a kiterjedt ellenőrzést biztosították.

Egy rejtett szimmetria a HAWK rácsában

A HAWK az egyetlen rácsalapú séma a kilenc jelölt között, amelyet a NIST továbbvitt a posztkvantum digitális aláírási eljárások 2026 májusában indult harmadik fordulójába. A NIST által meghatározott biztonsági szintű paraméterkészletei a HAWK-512 és a HAWK-1024; a HAWK-256 egy kihívásparaméter, amelyet kifejezetten kriptoanalitikai célpontnak adtak meg.

A közvetlen HAWK kulcsvisszanyerés a keresési modul Lattice Isomorphism Problem (smLIP) egy esete. A támadónak egy rejtett transzformációt kell visszafejtenie két rács között.

Daniël van Gent és Ludo Pulles cikke megmutatta, hogy egy nem triviális automorfizmus, vagyis a rácsot megőrző szimmetria a HAWK kulcsvisszanyerését lecsökkentené egy nagyjából fele akkora dimenziójú rácsban keresett rövid vektorra.

Ez a munka megnyitotta a támadási irányt, de a szerzők akkor azt írták, hogy ez még nem érinti a HAWK-ot. Az Anthropic szerint a Mythos Preview találta meg azt a további automorfizmust, amellyel a támadási útvonal ténylegesen kihasználhatóvá vált.

A létrejövő HAWK-n támadás a nyilvános kulcsból egy úgynevezett τ-cocycle rácsot épít fel. Ezután rácsredukciót és szitálást használ rövid vektorok visszanyerésére, majd ezekből állít össze egy titkos bázist, amellyel az eredeti nyilvános kulcshoz tartozó üzeneteket lehet aláírni.

Az Anthropic kiadott megvalósítása úgy ellenőrzi a visszanyert kulcsot, hogy aláír vele egy üzenetet, majd ezt ellenőrzi a NIST referencia-megvalósításával. Nem szerzi vissza az eredeti, 96 bájtos titkoskulcs-magot. Helyette egy 592 bájtos, dekódolt kulcsot állít elő, amely funkcionálisan egyenértékű aláíró anyagot tartalmaz.

Az Anthropic kiadott kódja csak a HAWK-256-ot támogatja, és minden más, nem HAWK-256 bemenetet elutasít. A tároló két nyilvános kulcsot is tartalmaz, amelyekről az Anthropic azt állítja, hogy sikeresen megtámadta őket. Emellett támogatja új HAWK-256 kulcsok generálását és tesztelését is.

Az Anthropic becslése szerint a HAWK-256 kulcsvisszanyerés várható munkaráfordítása 264-ről 238-ra esik vissza. Egy azonos napi NIST-fórumbejelentésben azt írta, hogy a kapuszám-becslés HAWK-512 esetén 2150-ről 2108-ra, HAWK-1024 esetén pedig 2288-ról 2182-ra csökken. A nagyobb paraméterek továbbra is gyakorlatilag támadhatatlanok.

A cikk írásakor a nyilvános információk alapján nem látszik, hogy a NIST vagy a HAWK beküldői módosítják-e a séma paramétereit, biztonsági állításait vagy a szabványosítási folyamatban elfoglalt helyét a csökkentett becslések hatására, ha egyáltalán reagálnak rájuk.

A támadás továbbra is exponenciális. Nem polinomiális idejű HAWK-feltörésről van szó, és az Anthropic szerint nem terjeszthető ki más NIST-aláírásjelöltekre vagy általában a rácsalapú kriptográfiára.

Az Anthropic szerint a Mythos Preview körülbelül 60 óra alatt dolgozta ki és ellenőrizte az eredményt egy többügynökös környezetben. Egy emberi kutató időnként projektmenedzsment-jellegű iránymutatást adott, de nem volt rács-kriptográfiai szakértő. A cég az alkalmazásprogramozási felület (API) költségét nagyjából 100 000 dollárra tette.

Gyorsabb, de még mindig nem gyakorlati

A második eredmény a tíz körösről hét körösre csökkentett AES-128-at célozza. A csökkentett körszámú rejtjelek vizsgálata bevett kriptoanalitikai gyakorlat, mert megmutatja, mekkora biztonsági tartalék marad, mielőtt egy támadás elérné a teljes konstrukciót.

A támadás feltételezi, hogy a támadó hozzá tud jutni körülbelül 2105 darab, szabadon választott, egyetlen rögzített, ismeretlen kulcs alatt titkosított nyílt szöveghez. Már ez a követelmény is messze kívül esik a valós felhasználási helyzeteken.

A korábbi meet-in-the-middle támadások memóriát cserélnek számításra: köztes rejtjelállapotokat tárolnak, és ezeket hasonlítják össze a rejtjel két végéről indított számításokkal. A korábbi támadás egyik lépésében 256 lehetséges értéket kellett kipróbálni, mielőtt a keresés elkezdődhetett a táblában.

A Mythos egy olyan invariáns lenyomatot dolgozott ki, amelyet az Anthropic Möbius Bridge-nek nevez. Mivel ez a lenyomat nem változik a tippelt értékek mentén, a támadás el tudja hagyni a 256 lehetséges érték végigpróbálását. A transzformáció költségét és más optimalizálásokat is figyelembe véve az Anthropic úgy becsüli, hogy a hétkörös AES-128 elleni támadás 200–800-szor gyorsabb, attól függően, hogyan mérik a futási időt.

A mellékelt AES-tanulmány ismerteti a matematikai konstrukciót, míg a kiadott segédanyag tartalmazza a cikkben hivatkozott kísérletek kódját.

Az Anthropic kódja teljes, feketedobozos kulcsvisszanyerést hajt végre egy kisebb, AES-szerű rejtjel ellen, 24 bites kulccsal. A valódi, hétkörös AES-128 esetében az egyes táblabejegyzéseket és az online jelölteket méri. Külön C-, Python- és Rust-megvalósítások tesztelik az egyes részállításokat, az Anthropic pedig ezekből a mérésekből vetíti ki a teljes támadás költségét. A teljes AES-128 kulcsvisszanyerést nem futtatják le elejétől a végéig.

A gyakorlati következmények szűkebbek annál, mint amit a HAWK és az AES név sugall. A teljes HAWK-kulcsvisszanyerés a HAWK-256-ot célozza, ami egy kihívásparaméter, nem pedig a NIST által meghatározott biztonsági szintek valamelyike. A hétkörös AES-128 esetében az Anthropic a részfolyamatok méréseiből becsüli a teljes támadás költségét, és a támadás reális méretek mellett továbbra is kivitelezhetetlen marad.

A cég szerint a modell eleinte elzárkózott, és ragaszkodott hozzá, hogy az AES-nél jobbat nem lehet találni. Az Anthropic közzétette a kutató nyers, helyesírási hibákkal teli további promptjait, amelyek végül rávették a modellt, hogy folytassa a keresést.

Az Anthropic szerint a Mythos Preview körülbelül három nap és több százmillió kimeneti token után találta meg a Möbius Bridge-et. A módszert az ezt követő napokban tovább csiszolták, összesen nagyjából egymilliárd kimeneti tokent generálva.

A nagyobb költséget az emberi munka jelentette. A modell futtatása körülbelül 100 000 dollárnyi API-használatba került, de a kutatók több száz órát töltöttek a módszer ellenőrzésével. Az Anthropic szerint két kutató csaknem egy hónapig dolgozott azon, hogy kellő bizonyossággal kijelenthessék: a megoldás helyes. Az Anthropic beszámolója alapján az ellenőrzés lett a legszűkebb keresztmetszet.

A mostani részletek a július 20-i CryptanalysisBench kiadását követik. Ezt a 191 feladatból álló benchmarkot az ETH Zurich, az Anthropic, a Haifai Egyetem, a Berlini Műszaki Egyetem és a Tel-avivi Egyetem kutatói fejlesztették ki. Öt modell a könnyebb, első szintű sémák 65–86%-át, valamint a második szint teljes értékű sémái közül 6–12-t tört fel.

A benchmark a Mythos 5-öt értékelte, amelyet az Anthropic a Mythos Preview legújabb frissítéseként ír le. A HAWK-ról és az AES-ről szóló közlés kifejezetten a Mythos Preview-t nevezi meg.

2026. július 29-én a NIST továbbra is harmadik fordulós jelöltként tartotta nyilván a HAWK-ot. Az Anthropic NIST-fórumos bejelentésében megköszönte a HAWK-csapatnak, hogy segítettek az eredmény ellenőrzésében és visszajelzést adtak, de nem részletezte, hogy ez a bizonyítás átnézését, a nyilvános artifact futtatását, vagy mindkettőt jelentette-e.

A nyilvános fórumszál átnézéskor még nem tartalmazott válaszokat, és a The Hacker News sem talált független reprodukciót az Anthropic HAWK-256 kulcsvisszanyerésére a cikk készítésekor.

Frissítés: visszavonták a HAWK-ot a NIST-folyamatból

Frissítés, 2026. július 29.: Aznap később a HAWK-csapat visszavonta a HAWK-ot a NIST kiegészítő posztkvantum aláírási szabványosítási folyamatából, miután megerősítették, hogy az Anthropic támadása nagyjából a felére csökkenti a rácsredukcióhoz szükséges blokkméretet egy ekvivalens titkos kulcs visszanyeréséhez. A csapat szerint az egyenes vonalú enyhítések, például a paraméterek megduplázása vagy a nagyobb rangú modulokra váltás versenyképtelenné tennék a HAWK-ot.

A NIST ezt követően frissítette a harmadik fordulós jelölteket felsoroló oldalát, és a HAWK-ot visszavontként jelölte meg.