Mythos击穿后量子候选算法

AI 用60小时淘汰了一套后量子签名候选方案

Anthropic 的安全模型 Claude Mythos Preview 最近找出了后量子签名算法 HAWK 的致命弱点，将 HAWK-256 的密钥恢复复杂度从约 2^64 次运算降到 2^38 次，直接让这套进入第三轮评估的候选方案失去安全实用性。

这不是在代码实现里找到越界、内存破坏或配置错误，而是攻击了算法赖以成立的数学假设。换句话说，Mythos 不是发现“锁被装歪了”，而是证明“锁芯的设计本身不可靠”。

后量子密码学（Post-Quantum Cryptography，PQC）是研究能够抵抗量子计算机攻击的公钥密码技术。它不需要量子硬件运行，而是在今天的经典计算机上，用格、哈希、编码等数学问题替代可能被 Shor 算法破解的 RSA 和椭圆曲线密码。

HAWK 是一套基于格同构问题构造的后量子数字签名候选算法，目前参与美国国家标准与技术研究院（NIST）的附加数字签名方案评估。它已经经受数年公开分析，却被仍未全面开放的 Mythos 在约60小时内找到关键突破。

从2^64到2^38，不是“快一点”而是彻底失守

Mythos 找到的是密钥恢复攻击，也就是攻击者根据公开信息推导出秘密密钥的方法。数字签名一旦遭遇可行的密钥恢复攻击，攻击者就可能伪造签名，这比单纯区分密文或制造异常严重得多。

安全复杂度中的 2^n 表示攻击所需工作量大致随 n 位指数增长。HAWK-256 原有最佳攻击约需 2^64 次运算，而 Mythos 将其压低到 2^38；两者相差 2^26 倍，也就是约 6711 万倍。

因此，“安全强度被砍掉一半”并不是一个足够准确的说法。更准确的判断是：攻击指数下降了26位，原本至少需要大规模资源的工作量，被压进了现代计算设备可以认真考虑的范围。

| 项目 | 攻击前最佳复杂度 | Mythos结果 | 变化幅度 | 实际影响 | |---|---:|---:|---:|---| | HAWK-256密钥恢复 | 约2^64 | 约2^38 | 降低2^26倍，约6711万倍 | 候选参数失去安全意义 | | AES-128缩减轮攻击 | 针对7轮的既有最佳结果 | 提速约200至800倍 | 最多接近3个数量级 | 未攻破完整AES-128 | | 13轮LEA密钥恢复 | 约2^98组明文、2^86计算 | 少于2^30组明文，普通电脑约1小时 | 数据复杂度显著降低 | 针对缩减轮版本的实用级进展 |

HAWK 的问题之所以称得上致命，是因为数字签名候选算法不能靠“多加几行防护代码”修复数学基础。设计者或许可以更换参数、修改结构，但如果核心困难问题的安全边界被重新估计，这套方案通常需要重新接受完整审查，而不是打一个补丁继续进入标准。

HAWK 尚未被部署进主流系统，因此本次攻击不会立刻造成线上证书失效、软件签名被伪造或用户资产被盗。它真正避免的是另一种代价更高的事故：算法先被标准化和大规模部署，几年后再被迫迁移。

Mythos还把AES缩减轮攻击提速了800倍

Mythos 的第二项结果指向 AES，但这不代表全球最常用的对称加密标准已经被破解。AES-128 使用10轮变换，Anthropic 披露的“莫比乌斯之桥”（Möbius Bridge）攻击针对的是7轮缩减版，而不是完整10轮AES-128。

缩减轮密码分析是密码学家通过减少算法轮数，研究其安全余量的方法。它更像是在测试一堵10米厚的墙，当前攻击能否从6米推进到7米；推进本身具有研究价值，却不能被描述成已经穿透整堵墙。

Mythos 给出的新方法将此前针对7轮AES-128的最佳攻击提速约200至800倍。这个数字足以成为一项新的密码分析结果，但距离对完整AES-128构成现实威胁仍有明显差距，企业没有理由因为这项研究紧急停用AES。

| 算法 | 当前状态 | Mythos攻击对象 | 是否影响已部署系统 | 应对建议 | |---|---|---|---|---| | HAWK-256 | NIST附加签名候选方案 | 算法核心与密钥恢复安全性 | 暂无部署影响，但候选资格实质受挫 | 停止将其视为可落地方案 | | AES-128 | 全球广泛部署的对称加密标准 | 7轮缩减版本 | 不影响完整10轮AES-128 | 继续使用合规模式与足够密钥长度 | | LEA | ISO标准中的轻量级分组密码 | 13轮缩减版本 | 不等于完整轮数失守 | 跟踪后续论文与独立验证 | | Serpent | AES竞赛决赛算法 | Anthropic仅披露初步结果 | 尚无明确生产影响 | 等待可复现材料 |

把“AI破解AES”写进标题当然很吸引流量，但在技术上并不成立。真正值得关注的不是AES明天还能不能用，而是一个模型已经能够提出此前未见的数学攻击结构，并把密码分析向前推进数轮或数个数量级。

AI一周完成发现，人类花一个月确认

Mythos 在AES任务上的自主程度比结果本身更值得警惕。Anthropic 披露，模型最初甚至判断继续改进攻击“不可行”，研究人员只用了三次简短提示，要求它继续尝试并以顶尖密码研究者的方式思考。

模型随后生成了约10亿个Token，并在大约一周内形成新的攻击思路。Anthropic 估算，每项密码分析成果消耗的推理资源成本约为10万美元，这个价格远高于常规漏洞扫描，但已经低于组织一支顶尖密码研究团队长期攻关的综合成本。

人类验证反而成了更慢的环节。研究人员用了接近一个月、阅读数百小时相关文献，才确认模型给出的结果并非重复已有工作，也不是建立在错误推导或不现实假设之上。

这揭示了AI科研代理逐渐暴露出的新瓶颈：生成候选发现可以通过并行算力扩张，同行评审、形式化验证和学术归属判断却不能同比扩容。未来密码学界可能不缺“看起来像突破”的结果，真正稀缺的是能够把结果验证到可发表、可复现、可用于标准决策的人。

Anthropic 已与苏黎世联邦理工学院、特拉维夫大学和海法大学合作建设 CryptanalysisBench。CryptanalysisBench 是用于衡量模型密码分析能力的评测基准，其意义在于把“模型会不会做密码研究”从零散案例，转化为可重复比较的任务集合。

这次突破和普通漏洞扫描不是一回事

传统AI安全工具主要解决的是实现层问题，例如检查C/C++内存安全、寻找身份验证绕过、分析依赖关系或生成模糊测试输入。此类任务虽然困难，但通常能够借助编译器、测试用例、程序执行结果和现有漏洞模式提供反馈。

密码分析面对的是更稀疏的反馈环境。模型不仅要理解算法结构，还要提出新的数学关系、估算时间与数据复杂度，并确认攻击没有偷偷使用现实中无法获得的信息。

| 能力层级 | 典型任务 | 验证方式 | Mythos目前展示的进展 | |---|---|---|---| | 代码审计 | 查找越界、注入、权限绕过 | 编译、测试、复现漏洞 | 已表现出较强能力 | | 协议分析 | 查找状态机、认证或组合缺陷 | 构造交互与攻击链 | 可参与复杂安全研究 | | 密码实现审计 | 查找侧信道、随机数或参数错误 | 测量执行与检查代码 | 属于AI安全模型的成熟方向 | | 算法密码分析 | 攻击数学结构和安全假设 | 证明、复杂度分析、同行验证 | HAWK和AES结果跨过关键门槛 |

Mythos 的价值在于把安全模型从“自动化高级工程师”推向“半自主研究员”。它还没有证明自己能稳定解决开放密码学问题，但已经证明，不能再假设前沿模型只会复述论文或拼接既有攻击套路。

HAWK出局，不代表后量子迁移路线失效

本次事件不会推翻NIST已经发布的主要后量子密码标准。NIST在2024年发布的FIPS 203、FIPS 204和FIPS 205，分别覆盖ML-KEM、ML-DSA和SLH-DSA；HAWK属于附加数字签名方案评估，并非这些已发布标准中的一员。

企业也不应该因为HAWK遭到攻击而暂停PQC迁移。恰恰相反，这次事件说明公开竞赛和对抗审查正在发挥作用：在算法进入证书系统、固件签名和长期归档之前，尽早发现问题就是标准化流程的目的。

比特币等加密资产也没有因为这次研究立刻“被AI破解”。比特币目前使用的是椭圆曲线数字签名体系，而不是HAWK；它面临的长期量子迁移问题仍然存在，但与本次针对HAWK的经典计算攻击不是同一件事。

企业真正需要做的是建立密码敏捷性。密码敏捷性是指系统能够盘点、替换和升级密码算法，而不必重写整套业务架构的能力。

具体来说，开发与安全团队现在应优先完成四件事：

1. 建立密码资产清单。 记录证书、TLS终止点、硬件安全模块、固件签名、密钥管理系统和第三方组件正在使用哪些算法与参数。
2. 避免押注单一候选算法。 在标准和实现尚未稳定时，不要把实验性PQC方案写死进长期协议或硬件。
3. 保留混合迁移能力。 在过渡阶段组合经典算法与PQC算法，降低单个新方案被攻破后的系统性风险。
4. 为AI生成研究建立验证流程。 模型给出的攻击必须经过独立复现、复杂度审计和专家评议，不能把长篇推导直接当成安全结论。

Mythos没有公开，本身就是一个信号

Claude Mythos Preview 是 Anthropic 面向防御性网络安全与漏洞研究打造的专用模型，目前并未像普通Claude产品一样全面开放。Anthropic 自2026年4月起将其能力限制在特定政府机构和组织范围内，原因并不难理解：能够自主发现高价值漏洞和密码攻击的模型，同样可能缩短攻击者寻找突破口的时间。

这种限制无法永久阻止能力扩散。只要通用模型的长上下文、工具调用、强化学习和可验证推理继续进步，密码分析能力最终会下沉到更多模型，而不只存在于一个受限预览版中。

10万美元级别的单次研究成本也不是牢固门槛。推理硬件效率、模型压缩和任务专门化通常会让同等能力的成本持续下降；今天需要大型实验室预算的攻击，几年后可能成为安全公司的标准评估项目。

防守方因此不能只讨论“要不要开放模型”。更现实的问题是，当攻击发现速度提高10倍、100倍之后，算法评审、漏洞分类和补丁部署能否跟上，以及谁来承担大量误报和不可验证结果带来的审查成本。

密码学的瓶颈将从发现转向验证

Mythos对HAWK的攻击不是“AI已经超过所有密码学家”的证明，而是一次明确的生产力拐点。它说明在边界清晰、反馈可计算、文献充足的密码分析任务上，模型可以用海量并行探索换取人类研究者难以持续投入的搜索宽度。

AI也没有让密码学家变得多余。模型可以提出攻击，但确认新颖性、判断假设是否合理、发现隐含错误，并决定一个算法是否应该退出标准化流程，仍然需要顶尖专家和公开同行评审。

这次最值得记住的数字不是800倍，而是“60小时对数年审查”。HAWK被淘汰本身是标准化体系的成功；真正改变行业的是，未来每一个密码算法候选方案，都可能面对一支不睡觉、能够生成数十亿Token并同时探索大量攻击路径的AI研究团队。

密码算法过去依靠“全世界最聪明的人多年没有攻破”建立信心。Mythos正在迫使行业更新这句话：一套算法不仅要经得住人类专家多年审查，还要经得住前沿模型以工业化算力发起的持续搜索。

参考来源

• iThome 后量子密码学专题：收录HAWK-256攻击复杂度由2^64降至2^38等事件信息，以及后量子密码标准化的持续报道。