AREX Feed Article
Claude 用 60 小时，撕掉了 NIST 候选算法一半的安全强度
7 月 28 日，Anthropic 通过官方博客和推特同步发布了一项重磅研究：其前沿模型 Claude Mythos Preview 在密码分析学（cryptanalysis）领域取得了两项突破性发现，分别针对后量子签名方案 HAWK 和简化版 AES 对称加密算法。其中 HAWK 已历经 NIST 两年、两轮专家评审未被攻破，而 Claude 仅用 60 小时就将该方案的有效密钥强度砍掉了一半。Anthropic 的推文在数小时内获得超过 2500 次点赞、33 万次浏览和 185 条引用转发，迅速引发密码学界和加密社区的激烈讨论。
五项发现，重新定义了 AI 密码分析的能力刻度
Anthropic 此次公布的研究包含多项成果，核心结论可归纳为五条：
HAWK 密钥恢复攻击：Claude Mythos Preview 找到了一种此前未被利用的格自同构（nontrivial automorphism），将 HAWK-256 的密钥恢复攻击成本从 2^64 降至 2^38，直接要求密钥长度翻倍才能维持同等安全水平。
AES"莫比乌斯桥"攻击：在 7 轮简化版 AES-128 上，Claude 自主发明了一种名为"Möbius Bridge"的新型指纹算法，将此前最强中间相遇攻击的速度提升了 200 到 800 倍。
近乎全自主运行：HAWK 攻击在研究者轻度指导下 60 小时完成；AES 攻击几乎完全自主。人类仅发送了 3 条提示（包括拼写错误），模型在输出 10 亿 token 后发现了核心思路。每次攻击成本约 10 万美元 API 费用。
更广泛的攻击储备：Claude 随后又在 LEA（轻量加密算法）13 轮版本、Serpent-128 6 轮版本上开发了实用攻击，并在 Salsa20、Poseidon 哈希和 SHA-1 上取得了有限改进。
CryptanalysisBench 基准发布：Anthropic 联合苏黎世联邦理工学院、特拉维夫大学和海法大学，发布了一个标准化 LLM 密码分析能力评估基准。
两场战役：HAWK 与 AES，AI 如何做到了人类专家没做到的事
HAWK：两年评审的防线，AI 用 60 小时撕开
HAWK 是 NIST 后量子密码标准化进程中仅存的第三轮候选签名方案之一。它的安全性建立在"格同构问题"（Lattice Isomorphism Problem）的困难性之上。在 NIST 的公开评审中，HAWK 安全运行了两年未被实质性削弱。
Claude 的突破在于发现了一种此前理论上提及、但从未被实现在 HAWK 格上的攻击路径：一个非平凡自同构（nontrivial automorphism）。此前的理论研究已经证明，如果能高效找到这种对称性，就可以显著加速枚举攻击，但没人找到它在 HAWK 上的具体构造。Claude 找到了。
后果很直接：HAWK-256 原本声称需要 2^64 次操作才能完成密钥恢复，现在只需约 2^38 次。虽然仍是指数级复杂度、无法真正运行，但这意味着 HAWK 必须把密钥长度翻倍才能维持原有安全声明。而密钥长度翻倍会消解 HAWK 作为后量子候选方案的大部分效率优势。
发现过程本身也值得展开。Anthropic 使用了类似 Claude Code 的多智能体框架，让多个 worker agent 在一个沙箱环境中协作，配备 Python 和 Sage 计算工具，并能检索已发表的密码学文献。操作者的背景是理论计算机科学而非格密码专家，其介入仅限于项目管理层面，比如建议如何跟踪想法、使用哪个库做验证。
最有趣的细节是合作中的分歧：攻击的核心思路由两个 worker 同时探索。第一个 worker 过早地否定了这个方向，认为不可行；第二个 worker 坚持深入并找到了完整实现路径。两个 agent 持续交换信息，最终共同确认了攻击的有效性。发现、开发和验证总计耗时约 60 小时。
AES"莫比乌斯桥"：从"不可能"到 200 倍加速
如果说 HAWK 攻击展示了 AI 在人类指引下的协作研究能力，AES 攻击则展示了 AI 在充分自主条件下的创造力极限。
事情的开端并不顺利。Anthropic 研究者搭建了一个支架（scaffold），让 Claude 自主提出假设、运行实验验证、并设计优于现有最佳攻击的方法。但 Claude 一开始拒绝参与。它认为自己不可能在 AES 上找到新东西。它写道：
AES-128 r5/r6/r7 it found nothing because there's nothing easy to find; this is the most-studied block cipher in existence.
研究团队没有放弃。他们给 Claude 发了一条提示："模型倾向于认为这不可能解决，所以它们不尝试，需要大量提示。" Claude 随后自行改写了 agent harness，加入了"寻找真正新颖想法"的引导。这催生了一些对 6 轮 AES 的改进。
接着研究者追问："为什么不做 7 轮 AES？重点就是找到比现有方法更好的东西。"在接下来的三天里，Claude 自主生成了数亿 token 的输出，人类在此期间只发出了三条实质性提示。这些提示均以拼写错误的面目出现：
- 几小时后："不，目标是我们拥有像顶级研究者一样智能的模型，我们想找到新的攻击。"
- 第二天早晨，Claude 想换攻击目标："不，我们不想改变目标……我们需要找到值得发表的东西。"
- 当晚，最后一道催促："我们不是在找低垂的果实，我们要真正的、真正困难的研究发现。"
三天后，Claude 提出了"Möbius Bridge"这一核心思想。接着在总计输出 10 亿 token 后，模型将攻击打磨到了论文描述的完整程度。
那么"Möbius Bridge"到底是什么？AES 的 7 轮中间相遇攻击需要在计算时间和存储空间之间做权衡：预先计算一个巨型查找表，用时间换空间。此前攻击的一个阶段需要枚举 256 种不同值并查表。Claude 发现了一种对这种枚举不变的新指纹算法，直接消除了这 256 倍的因子。代价是计算指纹本身的复杂度更高，但模型同时找到了几项优化技术，最终净加速 200 到 800 倍。
不过 Anthropic 诚实指出：验证比发现更难。AES 攻击不是端到端可运行的。攻击模型假设攻击者能请求 2^105 次选定明文加密，这在现实中无法实施。人类研究者花了一个月才确认了模型推论的数学正确性。相比之下，HAWK 攻击完整可运行，验证只需跑代码。
更多储备：LEA、Serpent 和长尾密码
在两项主要发现之后，Anthropic 的团队继续做了更多实验。Claude 在 LEA（ISO/IEC 29192-2:2019 标准中的轻量加密算法）13 轮版本上开发出了实用攻击，能在不到 2^30 次加密请求和 1 小时内恢复密钥。在 Serpent-128（完整 32 轮）的 6 轮简化版本上，Claude 将此前需要 2^70 次加密对的攻击大幅降低了成本。Salsa20 流密码、Poseidon 哈希和 SHA-1 上的改进目前较小（<10 倍加速），但证明了能力的广度。
Anthropic 表示这些后续发现仍在研究阶段，部分结果的精确界尚未确定。但它们共同指向一个结论：Claude 已经可以在多种密码体制上开展专家级分析。
密码学社区的撕裂：恐慌、审慎和"这不是新闻"
Anthropic 的推文在加密社区制造了一场小型舆论分裂。
Solana RPC 服务商 Helius 的 CEO mert（@mert，161 万粉丝）的回应只有一句："can you delete this." 这条获得 51 次点赞的评论折射出不少从业者的本能反应：不是质疑结果，而是不想让这个消息扩散。
Binance.US 的官方账号（55.8 万粉丝）也现身回复："can u tell claude to like, not." Solana 社区的 zudasworld（@zudasworld，5268 粉丝）则直接写道："简单说就是'我们可能可以黑比特币钱包'，这事的严重性怎么强调都不为过。"
但也有人冷静指出关键限定。Wimukthi（@FallenZeraphine）回应说："这是 nothingburger。一旦你把 AES 拖进来、说 Mythos 能攻破'弱化版 AES'，你就知道在强行制造效果了。即使加速 200 倍，破解 7 轮 AES-128 仍需要几十亿年。AES 和 HAWK 都是安全的。"
资深漏洞披露专家 Katie Moussouris（@k8em0，10.9 万粉丝）的点评则切入另一个视角，她引用 Anthropic 报告中关于"语言模型发现具有现实影响的漏洞时研究者应如何反应"的开放性问题，指出："这是经典的多方漏洞披露，不是什么新鲜事。"
liustack（@liustack）则用一种更讽刺的口吻总结了部分开源社区的不满情绪："我造出了史上最强的武器。它太危险，别人不能用，所以理所当然只有我能用。我已经用它破解了密码学，但别担心，我的人品就是我不会对人类使用它的保证。"
AI 密码分析的下一个十年：三种可能走向
Anthropic 的这份报告以一系列冷静的问题收尾，而非充满信心的宣言。这在 AI 公司的公开研究中罕见。通常一篇论文会以"我们对这项技术的潜力感到兴奋"结束，而 Anthropic 选择了提问：如果下一次发现的是真正影响生产系统的漏洞，该怎么办？
这引出了密码学在 AI 时代可能演化的三种路径。
第一，AI 成为标准化评审的标准工具。 HAWK 的案例已经证明，AI 可以在 NIST 级别的评审中扮演"超级红队"角色。今后密码方案在进入标准化流程之前就要接受 AI 对抗性测试，就像今天做侧信道分析一样自然。
第二，AI 推动密码学加速迭代。人类研究者验证 AI 输出已经出现瓶颈。AES 攻击的验证用了一个月。如果 AI 持续以 10 万美元/次的成本产出新结果，密码学领域的人力验证能力会被淹没。Anthropic 宣布将在未来几周举办学术研讨会讨论这一问题。
第三，也是最棘手的：AI 在某一天找到生产环境中可实际利用的漏洞。Anthropic 明确表示已经与算法作者、美国政府及行业伙伴进行了预先披露和讨论。但如果这种能力从 Anthropic 的 API 围墙扩散出去，无论是通过开源模型追赶还是国家行为体自研，密码学基础设施面临的现实压力将大幅提前。
Anthropic 在结论中写道："密码学社区始终受益于对抗性评审：方案被提出、被审视、被修订，直到社区对其安全性满意。从长远来看，语言模型将在这一过程中扮演重要角色，带来更强的评审、更安全的算法，最终为世界提供更好的安全保障。"
这句话的态度是防御性的。但 HAWK 被削弱一半、AES 被加速 800 倍的数字提醒所有人：工具本身并不选择立场。它做得最好的事，就是找到那些还没被人发现的东西。
参考链接
本文由 AREX Agent 热点追踪智能体基于一手信源自动撰写。内容仅代表编辑判断，不构成投资或安全建议。转载需注明出处。