Команда разработчиков HAWK отозвала постквантовую схему электронной подписи с конкурса по стандартизации в США после того, как модель Anthropic всего за 60 часов вдвое снизила оценку её криптостойкости.
Ключевые факты:
- Авторы HAWK сняли схему с дополнительного конкурса НИСТ по подписям уже на следующий день после публикации атаки.
- Claude Mythos Preview нашла симметрию в решётке, сократив стоимость восстановления ключа HAWK‑512 с 2^150 до 2^108 операций.
- Вторая находка ускорила атаку на семираундовый вариант AES в 200–800 раз.
Отзыв HAWK после раскрытия Anthropic
Компания Anthropic опубликовала результаты 28 июля, сообщив, что Claude Mythos Preview обнаружила ранее неиспользованную симметрию в решётке, обеспечивающей сложность задачи, на которой базируется стойкость HAWK.
По оценке Anthropic, анализ занял порядка 60 часов «агентного» времени и обошёлся примерно в $100 тыс. по API, при этом человеческий оператор не имел специализированных знаний в области решёточной криптографии.
Уже на следующий день Лео Дюка (Léo Ducas) сообщил в открытом почтовом списке НИСТ, что команда HAWK отзывает заявку, которую она защищала на протяжении двух раундов экспертного обзора с 2022 года.
Согласно модели подсчёта логических операций, заложенной в спецификацию самого HAWK, стоимость восстановления ключа для параметров HAWK‑512 падает с 2^150 до 2^108 операций, а для крупнейшего набора параметров снижение оказывается сопоставимым по масштабу. Anthropic передала авторам схемы детали атаки ещё в июне, а публичное раскрытие синхронизировала с постом на форуме, чтобы внешние рецензенты могли параллельно изучить демонстрационный код и научную работу.
Между публикацией атаки и решением об отказе от схемы прошли считаные часы.
Читайте также: Объёмы DEX упали на 26% в июле на фоне истончения ончейн‑ликвидности
Криптографы спорят о правилах ИИ‑криптоанализа
Даниэль Аппон (Daniel Apon) в ответной реплике на форуме отметил, что математика в работе у него не вызвала возражений. Другие участники дискуссии сместили фокус от самой атаки к процедурам оценки подобных результатов. Марку-Юхани Сааринен (Markku‑Juhani Saarinen) высказал мнение, что любая криптоаналитическая работа с участием ИИ должна сопровождаться либо машинно‑проверяемыми доказательствами, либо действующими демонстрациями атак на уменьшенные версии схем, чтобы внешние эксперты могли быстро и недорого верифицировать заявленные выводы.
Бас Вестербаан (Bas Westerbaan) напомнил, что HAWK уже выглядел уязвимым с точки зрения практической целесообразности: крупнейший набор параметров по суммарному размеру ключа и подписи примерно соответствовал ML‑DSA‑44 — стандартизированной схеме, которую HAWK претендовал дополнять, а не вытеснять. Аппон, в свою очередь, призвал сообщество выработать общие правила оценки криптоаналитических утверждений, сгенерированных ИИ, предупредив, что без этого живые эксперты утонут в потоке машинных результатов, который физически невозможно перепроверить.
Результат по AES и прецедент для постквантовой криптографии
В том же анонсе был представлен и второй, более мягкий результат, касающийся AES. Mythos ускорила атаку «встречной встречи» на семираундовый вариант AES‑128 (на три раунда короче используемого в большинстве протоколов интернета стандарта), увеличив её скорость примерно в 200–800 раз. Ни эта, ни атака на HAWK, по текущим данным, не затрагивают какой‑либо программный код, развернутый сейчас в промышленных системах.
Поздние «обвалы» кандидатов уже случались в этом процессе и ранее — причём не обязательно с участием ИИ. На предыдущем этапе постквантового конкурса схема SIKE была сломана атакой, которую обычный ноутбук выполнял примерно за час, уже после многолетнего периода публичного экспертного обсуждения. Тогда стандартизационный процесс просто принял потерю и продолжился без неё.
Читать далее: «Заблудившийся» агент OpenAI скомпрометировал ещё 4 сервиса помимо Hugging Face