Claude Mythos Preview 攻破 HAWK 与简化版 AES-128

Anthropic 旗下 Claude Mythos Preview 在密码分析领域迈出关键一步：它不再局限于寻找代码实现中的漏洞，而是首次对算法本身的数学结构发起攻击，并在 NIST 后量子签名候选方案 HAWK 以及简化版 AES-128 上各取得一项原创性成果。两项研究合计消耗约 20 万美元 API 成本，整个过程展示了 AI 自主进行数学发现与多智能体协作的能力。

HAWK：60 小时将有效密钥强度砍掉一半

HAWK 是 NIST 后量子密码标准化竞赛第三轮的候选方案，其安全性建立在「格同构问题」之上，过去两年间已通过两轮全球密码学专家审查。Mythos 在 HAWK 所依赖的高维格子里发现了一处此前未被利用的对称性——学术上称为「非平凡自同构」——并据此构造出有效攻击。

对于最小的 HAWK-256 参数集，原本被认为需要约 2^64 次运算才能完成完整密钥恢复，Mythos 将这一代价压缩到 2^38，降幅约 4.4 万亿倍。若 HAWK 想恢复原有安全等级，密钥长度必须翻倍，但这样一来其作为「轻量级」方案的核心优势——签名体积小、运算速度快——将不复存在。

值得注意的是，操作该项目的人类并非格密码学专家，仅承担项目管理与计算验证工作。关键思路则由两个 worker agent 在反复辩论中碰撞得出：第一个 agent 早早否定了该方向，第二个 agent 沿同一路径继续深挖，最终证明攻击成立。整个流程仅用 60 小时。

AES-128：「莫比乌斯之桥」将最强攻击提速 200–800 倍

如果说 HAWK 之战像一场外科手术，针对 7 轮 AES-128 的研究更像一部剧本。最初 Claude 认为「AES-128 r5/r6 是真的很难」，拒绝继续在原目标上浪费时间。研究人员只用了一句大白话级别的提示——「模型总觉得这事不可能，所以它们不去试」——Claude 随即自行重写了 agent harness，将设置调整为「去找真正新颖的想法」。

随后三天内，研究人员总共只发出三条提示，且均为口语化表达。Claude 自主消耗数亿 token 找到关键思路，再累计输出约十亿 token（相当于七八千本书的篇幅），将这一想法打磨为完整论文。该攻击被命名为「莫比乌斯之桥」（Möbius Bridge）。

技术上，此前攻击 7 轮 AES 的最佳方法是「中间相遇攻击」：将大量中间值存为查找表，从密码两端向中间推进匹配。瓶颈在于攻击者必须对 256 个可能值逐一猜验。Mythos 构造出一种对 256 种猜测「免疫」的数学指纹，使猜测步骤的工作量直接缩减为原来的 1/256；再通过一系列优化弥补指纹变换本身的额外开销，最终净获 200 至 800 倍的提速。

验证环节：人类用一个月确认 AI 一周的发现

两项成果今天都不影响任何生产系统：HAWK 仍是未部署的候选方案，AES 也只攻到 7 轮，完整的 10 轮 AES-128 毫发无伤，银行卡密码、HTTPS 连接与加密硬盘均安全。真正令学界警觉的是验证环节。

Mythos 自助完成 AES 攻击约耗时一周，Anthropic 两位研究员则花了将近一个月、阅读数百小时文献才敢确认结果正确。Anthropic 此前披露，Claude Mythos Preview 在一个月内发现了约 10000 个关键软件漏洞，已使人类安全团队的分类、验证、修复流程不堪重负。如今学术密码学正在迎来类似冲击：瓶颈从「发现」转向「验证」。

Anthropic 还透露，Mythos 已在 ISO 标准轻量级加密算法 LEA 上取得实用级攻击：将此前需要 2^98 组明文对与 2^86 次计算的 13 轮 LEA 密钥恢复，压缩到普通电脑上不到一小时即可完成。

尚未回答的问题

Anthropic 在文章末尾抛出一个开放问题：如果模型下一次发现的不是候选方案的缺陷，也不是简化版的漏洞，而是某个正在保护真实世界的密码系统的致命缺陷，人类该如何应对？一年前，AI 仍徘徊在密码分析门外；一年后，它在人类审了两年的方案里找出缺陷，还给发现取了名字。房间里多了一位不需要休息、不依赖灵感的选手，密码学界的研究与验证节奏正在被重新定义。

参考资料：

本文编译自微信公众号「新智元」文章《比特币慌了？Mythos 60 小时撬开后量子密码算法》，由 36 氪经授权发布。