Antropisch zegt Claude Mythos-preview hielp bij het realiseren van een end-to-end sleutelherstelaanval op HAWK-256 en een 200- tot 800-voudige versnelling voor een aanval op AES-128 met zeven ronden.
De HAWK-aanval maakt gebruik van een voorheen ongebruikte symmetrie in het rooster achter het handtekeningschema. De vrijgegeven implementatie van Anthropic levert een verwachte end-to-end runtime op van ongeveer drie uur en 42 minuten op een server met 96 cores. Het AES-resultaat verwijdert een 256-voudige gokstap uit een bestaande meet-in-the-middle-aanval.
Anthropic zei dat geen van beide resultaten de productiesystemen beïnvloedt. HAWK blijft een kandidaat in een post-kwantumstandaardisatieproces van het National Institute of Standards and Technology (NIST), en de openbare herstelcode richt zich alleen op de kleinere HAWK-256-parameter.
Het resultaat van de Advanced Encryption Standard (AES) is van toepassing op zeven van de tien ronden van AES-128 en vereist nog steeds een onpraktisch aantal gekozen leesbare teksten. Het bedrijf zei dat er daardoor geen productiesoftware hoeft te veranderen.
Anthropic publiceerde de bevindingen naast twee technische artikelen en reproduceerbaarheidsartefacten. Het bedrijf zei dat Mythos Preview het onderzoek grotendeels zelf heeft uitgevoerd, waarbij mensen de projectleiding, computerbronnen en uitgebreide verificatie leverden.
Een symmetrie verborgen in het rooster van HAWK
HAWK is het enige op roosters gebaseerde schema onder de negen kandidaten die NIST in mei 2026 doorbracht naar de derde ronde van zijn aanvullende post-kwantum digitale handtekeningproces. De NIST-parametersets op beveiligingsniveau zijn HAWK-512 en HAWK-1024; HAWK-256 is een uitdagingsparameter die wordt aangeboden als een cryptanalytisch doelwit.
Direct HAWK-sleutelherstel is een exemplaar van de zoekmodule Lattice Isomorphism Problem (smLIP). Een aanvaller moet een verborgen transformatie tussen twee roosters herstellen.
Een artikel van Daniël van Gent en Ludo Pulles toonde aan dat een niet-triviaal automorfisme, een symmetrie die het rooster behoudt, het herstel van de HAWK-sleutel zou terugbrengen tot het vinden van een korte vector in een rooster van ongeveer de helft van de oorspronkelijke afmeting.
Dat werk opende het aanvalspad, maar de auteurs zeiden dat het HAWK toen niet beïnvloedde. Anthropic zegt dat Mythos Preview het extra automorfisme heeft gevonden dat nodig is om het pad te exploiteren.
De resulterende HAWK-n-aanval construeert wat de onderzoekers een τ-cocycle-rooster noemen op basis van de publieke sleutel. Vervolgens maakt het gebruik van roosterreductie en zeven om korte vectoren te herstellen voordat een geheime basis wordt gereconstrueerd die berichten voor de oorspronkelijke openbare sleutel kan ondertekenen.
De vrijgegeven implementatie van Anthropic verifieert de herstelde sleutel door een bericht te ondertekenen en dit te controleren met de NIST-referentie-implementatie. Het herstelt niet de oorspronkelijke geheime sleutel van 96 bytes. In plaats daarvan produceert het een gedecodeerde sleutel van 592 bytes die functioneel gelijkwaardig ondertekeningsmateriaal bevat.
De vrijgegeven code van Anthropic ondersteunt alleen HAWK-256 en wijst elke niet-HAWK-256-invoer af. De repository bevat twee openbare sleutels die volgens Anthropic met succes zijn aangevallen. Het ondersteunt ook het genereren en testen van nieuwe HAWK-256-sleutels.
Anthropic schat dat de verwachte sleutelherstelfactor van HAWK-256 daalt van 264 naar 238. In een aankondiging op het NIST-forum van dezelfde dag werd gezegd dat de schatting van het aantal poorten daalt van 2150 naar 2108 voor HAWK-512 en van 2288 naar 2182 voor HAWK-1024. Beide grotere parameters blijven onpraktisch om aan te vallen.
Op het moment van deze beoordeling blijkt uit het openbare register niet of NIST of de HAWK-indieners de parameters van het schema, de veiligheidsclaims of de status in het standaardisatieproces zullen wijzigen als reactie op deze lagere schattingen, of helemaal niet.
De aanval blijft exponentieel. Het is geen polynomiale tijdsonderbreking van HAWK, en Anthropic zei dat het zich niet uitstrekt tot andere NIST-handtekeningkandidaten of roostercryptografie in het algemeen.
Anthropic zei dat Mythos Preview het resultaat gedurende ongeveer 60 uur in een omgeving met meerdere agenten heeft ontwikkeld en geverifieerd. Een menselijke onderzoeker gaf af en toe begeleiding bij het projectmanagement, maar was geen specialist in roostercryptografie. Het bedrijf schat de kosten van de API (Application Programming Interface) op ongeveer $ 100.000.
Sneller, maar nog steeds onpraktisch
Het tweede resultaat richt zich op AES-128 teruggebracht van tien naar zeven ronden. Het bestuderen van gereduceerde ronde cijfers is een standaard cryptanalytische praktijk, omdat het meet hoeveel veiligheidsmarge er overblijft voordat een aanval de volledige constructie bereikt.
De aanval gaat ervan uit dat een tegenstander ongeveer 2105 gekozen leesbare teksten kan verkrijgen, gecodeerd onder één vaste, onbekende sleutel. Die vereiste alleen al zorgt ervoor dat het ver buiten het gebruik in de echte wereld ligt.
Eerdere meet-in-the-middle-aanvallen ruilen geheugen in voor berekeningen door tussenliggende cijferstatussen en bijpassende berekeningen op te slaan die zijn gemaakt vanaf tegenovergestelde uiteinden van het cijfer. Eén fase in de eerdere aanval vereiste het testen van 256 mogelijke waarden voordat de tabel werd doorzocht.
Mythos ontwikkelde een onveranderlijke vingerafdruk die Anthropic de Möbiusbrug noemt. Omdat de vingerafdruk niet over die geraden waarde heen verandert, kan de aanval de 256-voudige opsomming verwijderen. Na rekening te hebben gehouden met de kosten van de transformatie en andere optimalisaties, schat Anthropic dat de zeven ronden tellende AES-128-aanval 200 tot 800 keer sneller is, afhankelijk van hoe de runtime wordt gemeten.
Het begeleidende AES-artikel presenteert de wiskundige constructie, terwijl het vrijgegeven artefact code biedt voor elk experiment dat in het artikel wordt aangehaald.
De code van Anthropic voert een volledig black-box-sleutelherstel uit tegen een kleiner AES-achtig cijfer met een 24-bits sleutel. Voor echte AES-128 met zeven ronden meet het individuele tafelinzendingen en online kandidaten. Afzonderlijke C-, Python- en Rust-implementaties testen de componentclaims, en Anthropic projecteert deze metingen op de volledige aanval. Het voert het volledige AES-128-herstel niet van begin tot eind uit.
Het praktische resultaat is beperkter dan de namen HAWK en AES zouden kunnen impliceren. Het volledige HAWK-herstel is gericht op HAWK-256, een uitdagingsparameter in plaats van een van de NIST-parametersets op beveiligingsniveau. Voor AES-128 met zeven ronden schat Anthropic de volledige aanvalskosten op basis van componentmetingen, en de aanval blijft op realistische schaal onhaalbaar.
Het bedrijf zei dat het model aanvankelijk weigerde mee te doen, en benadrukte dat het verbeteren van AES onmogelijk was. Anthropic publiceerde de botte vervolgaanwijzingen van de onderzoeker, typefouten en dergelijke, die het model ertoe aanzetten te blijven zoeken.
Anthropic zei dat Mythos Preview de Möbius-brug na ongeveer drie dagen en enkele honderden miljoenen outputtokens vond. Het verfijnde de methode in de daaropvolgende dagen en genereerde uiteindelijk ongeveer een miljard outputtokens.
De hogere kosten waren menselijk. De uitvoering van het model kostte ongeveer $100.000 aan API-gebruik, maar onderzoekers besteedden honderden uren aan het controleren van de methode. Anthropic zei dat twee onderzoekers er bijna een maand over deden om er vertrouwen in te krijgen dat het juist was. Volgens Anthropic was verificatie het zichtbare knelpunt.
De onthullingen volgen op de release van 20 juli van CryptanalysisBench, een benchmark met 191 taken, ontwikkeld door onderzoekers van ETH Zürich, Anthropic, de Universiteit van Haifa, Technische Universität Berlin en de Universiteit van Tel Aviv. Vijf modellen braken tussen 65% en 86% van de eenvoudigere regelingen van het eerste niveau, en zes tot twaalf volledige regelingen van het tweede niveau.
Die benchmark evalueerde Mythos 5, dat Anthropic beschrijft als de nieuwste update van Mythos Preview. De HAWK- en AES-openbaarmaking noemt Mythos Preview specifiek.
Vanaf 29 juli 2026 bleef NIST HAWK vermelden als kandidaat voor de derde ronde. In de aankondiging op het NIST-forum van Anthropic werd het HAWK-team bedankt voor het helpen verifiëren van het resultaat en het geven van feedback, maar werd niet gezegd of dat het beoordelen van het bewijs, het uitvoeren van het openbare artefact of beide inhield.
De openbare thread bevatte geen antwoorden toen deze werd gecontroleerd, en The Hacker News heeft tijdens deze beoordeling geen onafhankelijke reproductie van het HAWK-256-herstel van Anthropic gevonden.
