比特幣慌了？Mythos 60小時撬開后量子密碼算法

新智元報道

Claude，開始對密碼算法下手了。

注意，不是找代碼里的bug，是找數學本身的裂縫。

就在今天，Anthropic丟出一個重磅研究：Claude Mythos Preview在兩個密碼算法上分別找到了全新的攻擊方式。

第一個目標是HAWK——一個正在美國NIST后量子簽名評選中、已經扛過兩年兩輪人類頂級專家審查的候選方案。Mythos花了60小時，直接把它的有效密鑰強度砍掉一半。

第二個目標更狠：AES，全世界用得最多的對稱加密算法，人類研究了25年的「硬骨頭」。

Mythos在簡化版AES-128上，自己發明了一種攻擊方法，還給它取了個名字——「莫比烏斯之橋」（M?bius Bridge），把此前最強攻擊提速了200到800倍。

兩項成果，各燒掉約10萬美元API。

一年前，語言模型連最基礎的密碼分析都做不了。一年后，它在人類審了兩年的方案里找出缺陷，還順手給自己的發現命了名。

推特上甚至有老哥擔心起自己的比特幣了。

60小時，撬開審了兩年的鎖

Claude Mythos Preview剛發布時，已經能在幾乎所有軟件里找漏洞了，包括好幾個主流密碼學庫。

但那些漏洞，說白了屬于「實現」層面——程序員把算法用錯了，邏輯寫歪了，邊界沒考慮到。這種bug，一個老練的安全工程師也能找到。

但這一次不一樣。它找到的是算法本身的數學缺陷。

打個比方：以前是找「誰把鎖裝歪了」，現在是證明「這把鎖的設計原理就有問題」。

HAWK是啥？它是NIST后量子密碼標準化競賽中的一位種子選手。2022年，美國國家標準與技術研究院向全世界發出征集令：量子計算機遲早要來，現有的RSA、ECDSA這些經典簽名算法到時候會被量子算力碾碎——誰能造出量子計算機也砸不動的新鎖？

HAWK就是應征者之一，而且一路殺進第三輪，扛過了兩年兩輪的全球密碼學專家火力覆蓋式審查。

它的安全性建在一個叫「格同構問題」（Lattice Isomorphism Problem）的數學難題上。

說成人話就是：HAWK的密鑰藏在一個巨大的高維格子里，想破解它，就得在這個格子里找到一條隱藏的路徑。數學家們覺得這條路實在太難找了，于是放心地把它當成了地基。

Mythos干了什么呢？它在HAWK用的這個格子里，發現了一處此前沒人利用過的對稱性——學術上叫「非平凡自同構」（nontrivial automorphism）。

此前有論文證明過，只要能高效找到這種對稱性，就能構成攻擊。但那只是個定理，一直沒人能回答HAWK的格里到底有沒有這種對稱性。

Mythos回答了：有。

結果密鑰強度直接對折。最小的HAWK-256參數集，原本以為完整密鑰恢復要2^64的代價——也就是大約1800億億次運算。

Mythos證明只需要2^38，大約2700億次。降了大約4.4萬億倍。

HAWK要是想維持原來的安全等級，密鑰就得翻倍。但密鑰一翻倍，它作為一個「輕量級」后量子候選的核心優勢——簽名體積小、速度快，也就全沒了。

這個過程最耐人尋味的地方在于：項目的人類操作者根本不是格密碼學專家。

他有理論計算機科學背景，但對格密碼屬于門外漢。全程他就干了一件事——項目管理：建議Mythos怎么記筆記、用哪個庫做計算驗證。技術上的活，幾乎全是Mythos自己干的。

更有意思的是多智能體協作。關鍵的想法是兩個worker agent一起「撞」出來的：第一個先沿著這個方向研究了一番，覺得此路不通，早早否決了；第二個接著往下鉆，找到了把它用透的辦法。兩個agent來回發消息辯論，最后一致認定：攻擊成立。

一個人類覺得「不可能」的方向，兩個AI在爭吵中走通了。

全程只用了60小時。

「不可能」，然后它自己重寫了框架

如果說HAWK那一戰像一場精準的外科手術，AES這一戰就更像一部小說。

故事的開頭，Claude根本不接這個活。

Anthropic的研究員搭好了agent scaffold，讓Claude去找7輪簡化版AES-128的新攻擊。

Claude的反應相當于翻了個白眼：

你要不同的結果，那目標就得換……AES-128 r5/r6是真的很難。

它什么也沒找到，因為根本沒有容易找的東西；這是現存被研究得最多的分組密碼。

翻譯成大白話就是：「老板，你讓我去啃一塊25年來全世界最聰明的人都啃不動的骨頭，這不是為難我嗎？」

研究員怎么辦呢？他只發了一句隨手敲的大白話——

「the models tend to think it is impossible to solve so they don't try they need a good amount of prompting（模型總覺得這事不可能，所以它們不去試，得多推一推）」

就這一句話，Claude的反應堪稱戲劇性：它自己動手把agent harness重寫了一遍，給自己換上了「去找真正新穎的想法」的設置。

它被說服了。然后它開始出貨。

接下來三天，研究員總共只給了三條實質性提示，全是大白話級別的，連拼寫都懶得檢查：

• 我們要找的是新攻擊，不是簡單的。

• 別換目標。——Claude中途想換一個更容易的密碼去攻擊，被研究員按了回來。

• 不要低垂的果實，要真正難的發現。

就這三句話。Claude自主跑掉數億token，找出了一個關鍵想法；再往后，它累計輸出了十億token——差不多相當于七八千本書的篇幅，把這個想法打磨成了論文里的樣子。

這個想法被Claude叫做「莫比烏斯之橋」。

技術上說，此前攻擊7輪AES最好的方法叫「中間相遇攻擊」（Meet-in-the-Middle），本質是拿空間換時間：把大量中間計算結果存成一張巨型查找表，然后從密碼的兩端同時向中間推進，試圖在表里找到匹配。

但原來的方案里有一步很要命：攻擊者必須把256個可能值挨個猜一遍，每猜一個都去表里查一次。

Mythos造出了一種對這256種猜測「免疫」的數學指紋——不管那個值是什么，這個指紋算出來都一樣。這一步的工作量直接縮減到原來的1/256。

但代價是：算這個指紋變換本身更貴了。于是Mythos又想出了一串優化技巧來找補，最后凈賺200到800倍的提速。

一周發現，兩個人驗了一個月

上述這兩個結果，今天都不影響任何生產系統。

HAWK只是候選方案，還沒有部署在任何地方。AES攻的是砍到7輪的簡化版，完整的10輪AES-128毫發無傷——你的銀行卡密碼、HTTPS連接、加密硬盤都安全。

但真正讓整個密碼學界后背發涼的是驗證環節。

Mythos自主發現AES攻擊用了大約一周。Anthropic兩位研究員花了將近一個月、讀了幾百個小時的密碼學文獻，才敢確認：「它是對的。」

AI用一周做出了發現，人類用一個月才看懂這個發現。

這種場面，其實在網絡安全領域已經上演過一次了。Claude Mythos Preview此前一個月內發現了10000個關鍵軟件漏洞，人類安全團隊的分類、驗證、修復流程被淹沒了。

現在，學術密碼學圈子即將迎來同樣的沖擊：發現不再是瓶頸，驗證才是。

而且Mythos的胃口顯然不止于此。Anthropic透露，它已經在LEA（一個寫進ISO標準的輕量級加密算法）上找到了實用級別的攻擊——13輪LEA的密鑰恢復，此前需要2^98組明文對和2^86次計算，Mythos把它壓到了不到2^30組明文，在普通電腦上一個小時就能跑完。

尾聲：那個還沒有答案的問題

這次的兩個結果，恰好都是「無害」的——HAWK沒部署，AES只破了7/10輪。

但Anthropic在文章末尾拋出了一個所有人都在想、但沒人敢回答的問題——

如果下一次，模型找到的不是一個候選方案的缺陷，不是一個簡化版本的漏洞，而是一個正在保護真實世界的密碼系統的致命缺陷——人類該怎么辦？

密碼學界有句老話：密碼系統之所以安全，是因為有足夠多聰明人試過了還沒打破它。

現在，房間里多了一位選手，它不需要休息，不需要靈感，不需要讀幾百篇論文來入門——它自己就能讀、能推理、能發明、能驗證。

一年前，AI還在密碼分析的門外徘徊。一年后，它在里面造了個橋，還給橋取了名字。

參考資料：

https://x.com/AnthropicAI/status/2082153297670992134

https://x.com/AnthropicAI/status/2082153311189225927

編輯：所羅門