SystemebeneAI ENGINEERING · SOFTWARE SYSTEMS · INFRASTRUCTURE

Claude Mythos halbiert die Sicherheit von HAWK: Der Angriff, die Mathematik und was die Schlagzeilen weglassen

Anthropic hat mit Claude Mythos Preview einen Key-Recovery-Angriff auf HAWK gefunden. Was die Formeln bedeuten, was der Angriff nicht kann und wie die Fachpresse das Ergebnis darstellt.

16 Min. Lesezeit

Anthropic hat am 28. Juli zwei kryptanalytische Ergebnisse veröffentlicht, die mit Claude Mythos Preview entstanden sind. Das eine betrifft eine reduzierte Variante von AES, das andere HAWK, ein Signaturverfahren aus der dritten Runde des NIST-Wettbewerbs für zusätzliche Post-Quantum-Signaturen. Beide Ergebnisse haben keine Auswirkungen auf laufende Systeme. (Anthropic)

Die Berichterstattung dazu war umfangreich und in der Wortwahl grosszügig. „Cracked”, „broke”, „AI Cracks Post-Quantum Cipher in 60 Hours”. Das ist nicht falsch, aber es lässt einiges weg. Ich gehe hier deshalb in zwei Schritten vor: zuerst die Mathematik, und zwar so, dass sie auch ohne Gitterkryptografie-Hintergrund nachvollziehbar bleibt, danach die Frage, was an der öffentlichen Darstellung präzise ist und was nicht.

Der Schwerpunkt liegt auf HAWK, weil dieses Ergebnis das überprüfbarere der beiden ist. Der Angriff läuft end-to-end und rekonstruiert einen echten HAWK-256-Schlüssel auf einem einzelnen Server. Das ist für die Bewertung wichtiger, als es zunächst klingt.

Der Kern in drei Sätzen

HAWK versteckt seinen geheimen Schlüssel in einem hochdimensionalen Punktgitter. Der öffentliche Schlüssel ist eine Art Schatten dieses Gitters: Er verrät alle Abstände und Winkel, aber nicht die Orientierung, und aus dem Schatten die Orientierung zurückzurechnen ist das schwere Problem, auf dem die Sicherheit beruht.

Mythos hat gezeigt, dass es in HAWKs Gitter eine Symmetrie gibt, die alle bisherigen Arbeiten übersehen haben. Aus dem öffentlichen Schlüssel allein lässt sich damit ein zweites, deutlich kleineres Gitter konstruieren, in dem der kürzeste Vektor direkt zum geheimen Schlüssel führt.

Weil die Kosten für die Suche nach kürzesten Vektoren exponentiell in der Dimension wachsen und diese Dimension durch den Trick etwa halbiert wird, halbiert sich auch die effektive Schlüsselstärke. Wer dieselbe Sicherheit behalten will, muss die Schlüssel verdoppeln.

Was ein Signaturverfahren leistet und was HAWK besonders macht

Ein digitales Signaturverfahren beweist, dass eine Nachricht von einem bestimmten Absender stammt, ohne dessen geheimen Schlüssel preiszugeben. Wenn der Browser prüft, ob er wirklich mit der richtigen Website spricht, prüft er eine Signatur. Die heute üblichen Verfahren wie ECDSA oder RSA fallen, sobald es einen ausreichend grossen Quantencomputer gibt. Deshalb läuft seit Jahren der NIST-Prozess zur Standardisierung von Post-Quantum-Verfahren.

HAWK ist ein gitterbasiertes Verfahren, dessen Sicherheit nicht auf LWE oder SIS beruht, sondern auf dem Modul-Gitterisomorphie-Problem (module-LIP). Der geheime Schlüssel ist eine „kurze Basis”:

B ∈ SL2(R_n)

Eine Basis ist ein Satz von Richtungsvektoren, mit dem sich jeder Punkt des Gitters durch ganzzahlige Kombination erreichen lässt. Dasselbe Gitter hat unendlich viele Basen; einige sind kurz und stehen fast rechtwinklig aufeinander, andere sind lang und schleifend. Kurze Basen sind wertvoll, weil man mit ihnen effizient rechnen kann. Das Kürzel SL2 bedeutet lediglich, dass es sich um eine 2×2-Matrix mit Determinante 1 handelt, und R_n ist der Zahlenbereich, in dem gerechnet wird: statt gewöhnlicher ganzer Zahlen sind die Einträge Polynome. Für n = 512 steckt in dieser scheinbar kleinen 2×2-Matrix ein Gitter der Dimension 1024.

Der öffentliche Schlüssel ist:

Q = B* B

Das ist die Gram-Matrix. Sie enthält alle paarweisen Skalarprodukte der Basisvektoren, also sämtliche Längen und Winkel. Der brauchbare Vergleich ist das Quadrieren: Aus x wird x² berechnet, das ist einfach; die Wurzel ist nicht eindeutig, und in hoher Dimension ist sie praktisch nicht auffindbar. Q beschreibt die Form des Gitters vollständig, aber nicht seine Lage im Raum.

Schlüsselrückgewinnung heisst deshalb: Finde irgendein B' mit B'* B' = Q. Es muss nicht der ursprüngliche Schlüssel sein. Jede Basis, die dieselbe Gram-Matrix erzeugt, kann gültige Signaturen produzieren. (Paper)

Der praktische Reiz von HAWK lag darin, dass Signieren ohne Gleitkommaarithmetik auskommt und die Schlüssel kompakt sind. Gegenüber Falcon ist das ein echter Vorteil, gerade für eingebettete Systeme. HAWK war der einzige gitterbasierte Kandidat, der es im Mai 2026 in die dritte Runde geschafft hat. Der NIST-Zwischenbericht forderte allerdings ausdrücklich weitere Analyse der smLIP-Annahme „innerhalb der spezifischen Struktur zyklotomischer Zahlkörper” und merkte an, dass bisherige module-LIP-Techniken auf die von HAWK verwendeten komplexen Kreisteilungskörper nicht anwendbar zu sein scheinen. Genau dort setzt der neue Angriff an.

Die Symmetrie, die alle übersehen haben

Der bis dahin beste bekannte Angriff war direkte BKZ-Reduktion auf dem Schlüsselgitter der Dimension 2n. BKZ ist der Standardalgorithmus, um in einem Gitter kurze Vektoren zu finden. Er arbeitet blockweise, und die Blockgrösse β bestimmt sowohl die Qualität des Ergebnisses als auch die Kosten: Die Laufzeit wächst exponentiell in β. Die HAWK-Autoren leiten daraus Blockgrössen β_key ∈ {211, 452, 940} für ihre drei Parametersätze ab.

Seit 2023 gibt es ein starkes Werkzeug von Ducas. Wenn von einem Gitter bereits bekannt ist, dass es im Grunde ein gewöhnliches Würfelgitter ist, nur verdreht und skaliert, dann findet sein Algorithmus die versteckte Orientierung mit Aufrufen in Dimension ⌊d/2⌋+1 statt d. Bildlich: Einen verschobenen Zauberwürfel zu lösen ist deutlich einfacher, wenn man weiss, dass es ein Würfel ist. Auf HAWKs Schlüsselgitter direkt angewendet bringt das nichts, weil dessen Dimension 2n beträgt und man bei n+1 landet, also keine Verbesserung gegenüber den obigen Blockgrössen.

Der eigentliche Fund liegt eine Ebene tiefer. HAWK rechnet in einem Kreisteilungskörper, aufgebaut aus einer Zahl ζ, die man sich als Zeiger auf einem Zifferblatt mit 2^ℓ Markierungen vorstellen kann. Es gibt Umformungen dieses Zifferblatts, die die gesamte Rechenstruktur unverändert lassen, also Symmetrien. Drei davon sind Involutionen, also Operationen, die zweimal angewendet wieder den Ausgangszustand ergeben:

c : ζ ↦ ζ⁻¹        Zeiger spiegeln
τ : ζ ↦ −ζ         Zeiger um eine halbe Umdrehung weiterdrehen
σ := cτ            beides kombiniert

Die gesamte bisherige module-LIP-Kryptanalyse arbeitet ausschliesslich mit c. Gentry und Szydlo hatten ihr Verfahren 2002 explizit auf den Fall beschränkt, in dem die zugrundeliegende Erweiterung die komplexe Konjugation ist, und jede spätere Arbeit ist dieser Beschränkung gefolgt. Zwanzig Jahre lang hat niemand die halbe Umdrehung ausprobiert. Das ist der gesamte Fund.

Aus τ ergibt sich das sogenannte Kozykel:

V_τ := B⁻¹ τ(B)

Es misst, wie stark sich die geheime Basis verändert, wenn man das Zifferblatt um eine halbe Umdrehung dreht. Bliebe sie unverändert, wäre V_τ die Einheitsmatrix. Weil det B = 1 gilt, folgt eine erste Bedingung, die Kozykelgleichung V_τ τ(V_τ) = I. Für sich genommen ist die wertlos, denn jede beliebige Matrix A liefert mit A⁻¹τ(A) eine Lösung. Der Suchraum wird dadurch nicht kleiner.

Entscheidend sind zwei weitere Bedingungen, die V_τ erfüllt und die sich allein aus dem öffentlichen Schlüssel aufschreiben lassen:

(C1)  τ(Y) = adj Y
(C2)  Q Y  = σ(Y)ᵀ τ(Q)

(C1) ist ein Trick zur Linearisierung. Eigentlich müsste dort τ(Y) = Y⁻¹ stehen, und eine Matrixinversion ist nichtlinear, also für ein Gleichungssystem unbrauchbar. Die Adjunkte adj Y ist eine Ersatzkonstruktion, die sich aus den Einträgen von Y durch blosses Umsortieren und Vorzeichenwechsel ergibt und für Determinante 1 mit der Inversen übereinstimmt. Damit wird aus einer nichtlinearen Bedingung eine lineare.

(C2) verknüpft den öffentlichen Schlüssel mit seiner um eine halbe Umdrehung gedrehten Version. Beide Seiten sind bekannt, Y ist die Unbekannte.

Der Punkt, auf den es ankommt: Beide Bedingungen sind linear in den Koordinaten von Y, und alle Koeffizienten lassen sich aus dem öffentlichen Schlüssel berechnen. Ein lineares Gleichungssystem zu lösen ist billig. Die ganzzahligen Lösungen bilden ein Gitter Λ der Dimension n, halb so gross wie das ursprüngliche Schlüsselgitter, und eine Basis davon lässt sich über Hermite-Normalform in Polynomzeit berechnen.

In diesem kleineren Gitter ist V_τ ein kürzester Vektor. Anders gesagt: Der Angreifer hat den Suchraum von „das gesamte Schlüsselgitter der Dimension 2n” auf „ein bekanntes Gitter der Dimension n, in dem das gesuchte Objekt der kürzeste Eintrag ist” reduziert, ohne den geheimen Schlüssel zu kennen.

Zwei Eigenschaften machen das robust. Die Länge wird gemessen über

Q(Y) := Tr_F(det Y)

und weil det V_τ = 1 gilt, ist die quadrierte Länge von V_τ immer exakt n/4. Unabhängig davon, wie der Schlüssel erzeugt wurde. Es gibt also keine Wahl bei der Schlüsselgenerierung, mit der sich der Angriff erschweren liesse. Und anders als bei den bekannten Subkörper-Angriffen auf NTRU existiert hier keine Erhaltungsgrösse, die den Gewinn wieder auffrisst.

Warum sich die Dimension halbiert

Um den kürzesten Vektor von Λ zu finden, muss man wissen, welche Form dieses Gitter hat. Das lässt sich mit einem Kniff bestimmen: Die Abbildung Y ↦ B Y τ(B)⁻¹ überführt das Kozykelgitter jedes beliebigen Schlüssels formtreu in das des trivialen Schlüssels B = I. Diese Abbildung ist geheim, weil sie B enthält, aber man braucht sie nicht auszurechnen, ihre blosse Existenz genügt, um die Form abzulesen. Man rechnet also mit dem trivialen Schlüssel und erhält:

Λ ≅ √(n/4) · Z^(n/2+1)  ⊕  √(n/2) · Z^(n/2−1)

In Worten: Das Gitter zerfällt in zwei rechtwinklig zueinander stehende Würfelgitter, eines mit n/2+1 Achsen und eines mit n/2−1 Achsen, unterschiedlich skaliert. Es ist damit „fast hyperkubisch”: kein perfektes Würfelgitter, aber nah genug dran, dass Ducas’ Algorithmus in der Fassung von Bambury und Nguyen greift. Der liefert alle 2(n/2+1) kürzesten Vektoren mit Aufrufen in Dimension n/2+1.

Aus den Kandidaten muss man den richtigen aussuchen. Nur ±V_τ führen zum Schlüssel, und diese beiden sind genau die, für die Y ≡ I (mod 2) gilt. Dieser Paritätstest kostet praktisch nichts. Der Rest ist der Abstieg von van Gent und Pulles: Aus V_τ konstruiert man ein weiteres Untergitter, das isometrisch zu √n · Z^n ist und dessen kürzeste Vektoren die Spalten von B⁻¹ sind. Ein zweiter Lauf desselben Algorithmus liefert sie. Van Gent und Pulles hatten 2025 bewiesen, dass ein solcher Automorphismus einen Angriff ermöglichen würde; offen war, ob er in HAWKs Gitter überhaupt zugänglich ist. Genau diese Lücke hat Mythos geschlossen.

Warum liefert τ einen Vorteil und c nicht? Setzt man τ = c, dann ist σ = c² = id, und (C2) schrumpft zur blossen Aussage „QY ist symmetrisch”. Man erhält ein Gitter der Dimension 3n/2. Für τ ≠ c ist σ selbst eine nichttriviale Involution, (C2) schneidet weitere n/2 Dimensionen weg, und man landet bei n. Diese Dimensionsersparnis ist die vollständige Erklärung für den Faktor zwei.

Die Zahlen und was sie bedeuten

Kosten werden in Gattern angegeben, also elementaren Rechenschritten. Die Angaben sind Zweierpotenzen, weil die Grössenordnungen sonst unhandlich werden. 2^100 liegt weit jenseits von allem, was auf diesem Planeten je gerechnet wurde; 2^128 gilt als bequeme Sicherheitsmarge.

ParametersatzSpezifikationNach dem Angriff
HAWK-5122^1502^108
HAWK-10242^2882^182
HAWK-256 (Challenge)2^642^38

Für HAWK-512 und HAWK-1024 sind das die Zahlen aus der NIST-Forumsmeldung und dem Paper. Beide Parametersätze bleiben praktisch unangreifbar: 2^108 ist nach wie vor ausserhalb jeder Reichweite. Was fällt, ist nicht die Sicherheit im Sinne von „jetzt angreifbar”, sondern die Sicherheitsaussage. HAWK-512 wurde mit einem bestimmten Niveau beworben und hält es nicht mehr.

HAWK-256 ist der Fall, den die Presse aufgegriffen hat. Der Sprung von 2^64 auf 2^38 entspricht ungefähr Faktor 67 Millionen, und Decrypt hat genau das so formuliert. Der Angriff wurde für diesen Parametersatz praktisch durchgeführt.

Die Autoren weisen ausserdem darauf hin, dass ihre bewiesenen Schranken konservativ sind. Nach dem heuristischen Modell, das die HAWK-Spezifikation selbst verwendet, erreicht progressives BKZ das Ziel bereits bei Blockgrösse 205 statt der bewiesenen Dimension 257, was für HAWK-512 auf rund 2^81 und für HAWK-1024 auf rund 2^147 Gatter hinausläuft. Der reale Angriff dürfte also günstiger sein als die publizierte Schranke.

Praktisch demonstriert wurde HAWK-256. Die Implementierung ist als Repository veröffentlicht. (GitHub) Sie baut das 256×256-Gitter über eine ganzzahlige Kernberechnung und LLL auf, reduziert mit fpylll auf Blockgrösse 44 und lässt danach ein progressives BGJ-Sieb in der AMX-Implementierung von Zhao, Ding und Yang bis Siebdimension 118 laufen. Eine Rückgewinnung dauert laut Anthropic rund drei Stunden und 42 Minuten auf einem 96-Kern-Server mit Sapphire-Rapids-CPUs, dominiert vom Sieb. Jeder Versuch war erfolgreich, jeder rekonstruierte Schlüssel wurde über einen Sign-Verify-Roundtrip gegen die offizielle Referenzimplementierung geprüft.

Was die Schlagzeilen weglassen

Die Berichterstattung hat sich weitgehend auf „AI cracks post-quantum cipher in 60 hours” eingependelt. Vier Details relativieren das, und The Hacker News ist der einzige Bericht, den ich gefunden habe, der sie sauber aufführt. (The Hacker News)

HAWK-256 ist kein NIST-Parametersatz. Die Sicherheitsniveaus, die HAWK bei NIST einreicht, sind HAWK-512 und HAWK-1024. HAWK-256 ist ein Challenge-Parameter, den die Autoren selbst als Angriffsziel für Kryptanalytiker mitgeliefert haben, klein genug, dass er für den produktiven Einsatz nie infrage kam. Der veröffentlichte Code unterstützt ausschliesslich HAWK-256 und weist jede andere Eingabe zurück. Für HAWK-512 liegt die bewiesene Orakeldimension bei 257; versucht wurde es nicht.

Der rekonstruierte Schlüssel ist nicht der Originalschlüssel. Der Angriff liefert nicht den 96-Byte-Seed, aus dem der geheime Schlüssel erzeugt wurde, sondern einen 592 Byte grossen, funktional gleichwertigen Signierschlüssel. Für die Sicherheitsaussage ist das dasselbe: Wer damit signieren kann, hat gewonnen. Für die Formulierung „den Schlüssel gestohlen” ist es ein Unterschied.

Es gibt bislang keine unabhängige Reproduktion. Anthropic hat im Juni koordiniert offengelegt, die HAWK-Autoren haben das Ergebnis geprüft und im Paper wird ihnen ausdrücklich für Rückmeldungen zur Attribution einzelner Angriffskomponenten gedankt. Der Thread auf der öffentlichen NIST-Mailingliste war beim Stand der Recherche jedoch ohne Antworten, und eine unabhängige Nachrechnung der HAWK-256-Rückgewinnung war nicht auffindbar. Ob NIST die Parameter anpasst, die Sicherheitsaussagen korrigiert oder HAWK aus dem Verfahren nimmt, ist offen.

Der AES-Angriff ist nicht ausführbar. Anthropics Code führt vollständige Schlüsselrückgewinnung nur gegen eine verkleinerte AES-ähnliche Chiffre mit 24-Bit-Schlüssel durch. Für echtes 7-Runden-AES-128 werden einzelne Tabelleneinträge und Kandidaten gemessen und die Gesamtkosten daraus hochgerechnet. Ein End-to-End-Lauf existiert nicht und wäre mit 2^105 benötigten gewählten Klartexten auch nicht durchführbar.

Bemerkenswert ist, wie unterschiedlich die Einordnungen ausfallen. CyberScoop zitiert Ellen Boehm von Keyfactor mit der Lesart, dass genau dieses Ergebnis beweise, dass der NIST-Prozess funktioniert, und leitet daraus den Ratschlag ab, Krypto-Inventar im Unternehmen laufend zu pflegen statt alle paar Jahre. (CyberScoop) TFTC zieht die Bitcoin-Linie: BIP-360 setzt auf ML-DSA und SLH-DSA, also auf bereits finalisierte NIST-Standards, und hat HAWK nie in Betracht gezogen. Die konservative Wahl sieht im Rückblick richtig aus. Deren eigentlicher Punkt ist aber ein anderer und meiner Meinung nach der interessanteste in der gesamten Berichterstattung: Eine Kampagne für 100’000 Dollar und 60 Stunden ist keine Demonstration mehr, sondern ein wiederholbares Werkzeug, und Programme mit klassifizierter Rechenkapazität veröffentlichen ihre Ergebnisse nicht. (TFTC) Decrypt betont den Signaturgrössen-Aspekt: Bei Blockchains ist Signaturgrösse gleich Blockplatz gleich Gebühren, und die kompakten Schlüssel waren HAWKs gesamtes Verkaufsargument. (Decrypt)

Grenzen des Angriffs

Der Angriff ist exponentiell und bleibt es. Er ist kein Bruch im Sinne eines Polynomzeitverfahrens.

Er braucht zwei Zutaten: eine Involution τ ≠ c und eine Halbdimensionsreduktion für die entstehende Gitterklasse. Die erste existiert genau dann, wenn (Z/m)^× nicht zyklisch ist, also für m ∉ {1, 2, 4, p^k, 2p^k} mit ungeradem p. HAWKs Zweierpotenz-Leitzahlen erfüllen diese Bedingung, Leitzahlen der Form p^k und 2p^k entgehen der Konstruktion. Falcon rechnet zwar im selben Ring und hätte damit dieselben Involutionen zur Verfügung, ist aber trotzdem nicht betroffen: Sein öffentlicher Schlüssel ist keine Gram-Matrix, sondern ein NTRU-Quotient, und seine Sicherheit hängt nicht an module-LIP. Die passende Involution allein genügt also nicht. Bei anderen zusammengesetzten Leitzahlen mit kleinem Primfaktor erwarten die Autoren, dass der Angriff greift, haben das aber nur an kleinen Parametern vorgerechnet.

Der Angriff überträgt sich nicht auf ML-DSA, ML-KEM oder gitterbasierte Kryptografie allgemein. Diese Verfahren beruhen auf LWE beziehungsweise SIS, nicht auf module-LIP, und der Angriff nutzt spezifisch die Gram-Matrix-Struktur des öffentlichen Schlüssels und det B = 1.

Die eigentliche Konsequenz für HAWK ist eher wirtschaftlich als mathematisch. Wer dieselbe Sicherheitsstufe halten will, verdoppelt die Schlüsselgrösse, und genau damit verschwindet der Grund, warum HAWK gegenüber Falcon attraktiv war. Anthropic formuliert das selbst so: Die Verdoppelung „eliminiert viele der Gründe, die das Verfahren in seiner jetzigen Form zu einem attraktiven PQC-Signaturkandidaten machen”.

Wie das Ergebnis entstanden ist

Der Angriff kam nicht aus einem Prompt. Anthropic beschreibt eine Umgebung mit mehreren zusammenarbeitenden Worker-Agenten auf Basis einer Claude-Code-ähnlichen Harness, mit Zugriff auf Python, Sage und veröffentlichte kryptografische Arbeiten in einem Sandbox-Setup. Mythos hat zuerst eine ausgedehnte Literaturrecherche durchgeführt, dann mathematisch argumentiert und rechnerisch experimentiert, und nach dem Fund die End-to-End-Verifikationspipeline selbst gebaut.

Der menschliche Operator hatte einen Hintergrund in theoretischer Informatik, war aber kein Experte für gitterbasierte Kryptografie. Sein Beitrag bestand laut Anthropic überwiegend aus Projektsteuerung: Hinweise, wie Ideen festgehalten werden sollen, welche Bibliotheken für die Verifikation zu verwenden sind. Die Danksagung des Papers ist ungewöhnlich direkt: Der Grossteil der mathematischen Entdeckungen sei KI-unterstützt entstanden, der menschliche Beitrag habe hauptsächlich im Anleiten, Organisieren und Verifizieren bestanden.

Ein Detail zur Mehr-Agenten-Dynamik ist erwähnenswert: Die Schlüsselidee entstand in einem Paar von Workern, wobei der erste sie voreilig als undurchführbar verwarf und der zweite einen Weg fand, sie auszunutzen. Die beiden tauschten weiter Nachrichten aus, bis beide überzeugt waren.

Finden, Entwickeln und Verifizieren zusammen dauerten rund 60 Stunden und kosteten etwa 100’000 US-Dollar an API-Kosten. HAWK hatte zu diesem Zeitpunkt zwei Runden Expertenreview über zwei Jahre hinter sich.

AES, LEA und der Verifikationsengpass

Das zweite Ergebnis betrifft AES-128, reduziert auf 7 von 10 Runden, im Chosen-Plaintext-Modell mit 2^105 gewählten Klartexten. Der bisherige Rekord für diese Variante stammte aus 2013. Mythos verbesserte den stärksten bekannten Meet-in-the-Middle-Angriff durch einen Fingerprinting-Schritt, den es selbst „Möbius Bridge” nannte. Eine Stufe des Vorgängerangriffs musste 256 Werte durchprobieren und in einer vorberechneten Tabelle nachschlagen; der neue Fingerabdruck ist gegenüber diesem Rateschritt invariant, was direkt Faktor 256 spart. Die Transformation selbst ist teurer, was durch weitere Optimierungen kompensiert wird. Netto ergibt sich je nach Messmethode Faktor 200 bis 800.

Dieses Ergebnis entstand fast vollständig autonom, unter erschwerten Bedingungen: Die Forscher untersagten dem Modell alle fünf etablierten Familien der AES-Kryptanalyse und forderten eine sechste, und Claude erbte Arbeitsnotizen früherer Läufe, die bereits rund 200 gescheiterte Angriffsvarianten enthielten. Claude weigerte sich zunächst trotzdem und hielt die Aufgabe für unmöglich. Insgesamt schickten die Forscher drei inhaltliche Nachrichten, mit Tippfehlern, im Kern Aufforderungen, nicht nach niedrig hängenden Früchten zu suchen. Danach lief das Modell drei Tage durch und produzierte am Ende etwa eine Milliarde Output-Tokens.

Weniger beachtet, aber praktisch relevanter: Mythos hat auch einen ausführbaren Angriff auf 13 Runden von LEA gefunden, einem koreanischen und ISO-standardisierten Leichtgewicht-Cipher für IoT-Geräte. Er läuft in unter einer Stunde auf einem Desktop und braucht unter 2^30 Klartexte, gegenüber 2^98 Klartextpaaren beim bisherigen Stand. Der eingesetzte LEA hat 24 Runden, betroffen ist also nichts im Feld.

Ein nüchterner Gegenpol kommt aus CryptanalysisBench, dem gemeinsam mit ETH Zürich, TU Berlin, Universität Haifa und Universität Tel Aviv gebauten Benchmark mit 191 Aufgaben. (arXiv) Mythos löst 85,7 Prozent der Aufgaben, für die eine Lösung bekannt ist, das schwächste getestete Modell 65,3 Prozent. Gegen Chiffren in voller Stärke ohne veröffentlichten Bruch liegt jedes Modell unter 9 Prozent. Die Modelle sind also gut darin, bekannte Angriffe zu rekonstruieren, und in der offenen Kategorie weiterhin schwach. Das macht HAWK und AES zu Ausreissern, nicht zur Regel.

Und hier liegt für mich der wichtigste Punkt des gesamten Releases. Der HAWK-Angriff ist ausführbar: Man erzeugt einen Schlüssel, startet die Pipeline, bekommt nach einigen Stunden einen Schlüssel zurück und lässt die Referenzimplementierung signieren und verifizieren. Der Beweis ist ein Exit-Code. Für den AES-Angriff gilt das nicht. Dort haben zwei Forscher fast einen Monat gebraucht, um sich von der Korrektheit zu überzeugen, bei einer Woche Modellarbeit. Anthropic schreibt selbst, dass menschliche Forscher zum Engpass werden, wenn Modelle schneller Ergebnisse produzieren, als sie geprüft werden können. Das ist keine Prognose, sondern die Beschreibung dieses Projekts.

Einordnung

Meine Einschätzung: Für die Praxis ändert sich vorerst nichts. HAWK ist nirgends im Einsatz, der AES-Angriff betrifft eine reduzierte Variante, und beide Ergebnisse sind genau das, wofür öffentliche Standardisierungsverfahren existieren. Dass ein Kandidat spät in der Runde fällt, ist normal; SIKE wurde 2022 in etwa einer Stunde auf einem Laptop erledigt.

Relevant ist etwas anderes. Der HAWK-Fund ist keine Fleissarbeit, sondern eine Beobachtung, die zwanzig Jahre lang niemand gemacht hat: dass es neben der komplexen Konjugation zwei weitere Involutionen gibt und dass eine davon ein Gitter mit halber Dimension liefert. Rückblickend wirkt das naheliegend. Bei guten kryptanalytischen Ideen ist das fast immer so.

Der Vergleich zu SIKE ist dabei die brauchbarste Kalibrierung, und er zeigt in beide Richtungen. SIKE fiel in einer Stunde auf einem Laptop, HAWK brauchte 60 Stunden und 100’000 Dollar Frontier-Compute. Der Unterschied ist, dass für SIKE ein sehr spezieller Experte nötig war und dieser Engpass hier durch Rechenzeit ersetzt wurde. Das ist die eigentliche Veränderung: Kryptanalyse wird von einer Frage nach verfügbaren Spezialisten zu einer Frage nach Budget.

Für die Bewertung von KI-erzeugten Ergebnissen würde ich eine einfache Regel mitnehmen. Ein Resultat, das sich ausführen und gegen eine Referenzimplementierung prüfen lässt, ist eine andere Kategorie als eines, das nur auf dem Papier existiert. Beim ersten kostet die Verifikation Stunden, beim zweiten Wochen. Wo immer man die Wahl hat, sollte man das Problem so zuschneiden, dass am Ende etwas läuft und nicht nur etwas behauptet wird. Das gilt für Kryptanalyse genauso wie für jede andere Arbeit, die man an Agenten delegiert.

Offen bleibt die Frage, die Anthropic am Ende selbst stellt und nicht beantwortet: Wie soll die Community reagieren, wenn ein Modell eine Schwachstelle in einem Verfahren findet, das tatsächlich produktiv im Einsatz ist. Bei HAWK gab es eine koordinierte Offenlegung an die Autoren im Juni und die öffentliche NIST-Mailingliste. Bei einem deployten Verfahren wäre das erheblich unangenehmer.

Quellen

Primärquellen

Vorarbeiten, auf denen der Angriff aufbaut

Berichterstattung

Passend dazu