当AI开始审查数学：Claude Mythos攻破NIST后量子签名候选方案的密码学拐点

2026年7月28日Anthropic公布了一项震动密码学界的成果其前沿AI模型Claude Mythos Preview在约60小时、10万美元API成本的投入下对NIST后量子签名候选方案HAWK开发出有效的密钥恢复攻击将其有效密钥强度从2^128降至2^64次操作。与此同时该模型还独立发现了一种针对7轮AES-128的攻击方法速度提升200至800倍。这两项成果之所以意义深远不在于它们当下威胁任何生产系统——HAWK尚未部署AES攻击也未触及完整的10轮加密。而在于一个根本性的跃迁AI从发现代码实现错误转向攻击算法本身的数学基础。一、HAWK一个“已通过审查”的方案为何在60小时内被攻破HAWK是一种基于模格同构问题的数字签名方案是NIST后量子签名第三轮征集中唯一的格基候选方案。NIST发起这一竞赛旨在替换RSA和ECDSA等未来可能被量子计算机攻破的方案。HAWK已通过了两轮、历时两年的人类专家评审。然而Mythos发现了一条人类专家错过的路径。攻击的核心在于HAWK格结构中一个此前未被利用的对称性——非平凡自同构。先前的理论研究曾指出这种对称性理论上可能实现更快的攻击但无人能证明HAWK的设计中确实存在这种结构。Mythos不仅证明了它的存在还将其转化为可操作的攻击路径。具体而言Mythos从公钥出发构造了一个τ-cocycle格然后利用格约简和筛法恢复短向量最终重构出一个能够为原始公钥签署消息的秘密基。Anthropic发布的实现代码验证了恢复的密钥——它能够签署一条消息并用NIST参考实现完成验证。结果令人震惊破解HAWK-256的预期成本从2^64次操作降至2^38次操作。Anthropic估计HAWK-256的密钥恢复工作因子从2^64降至2^38对于HAWK-512和HAWK-1024门计数估计也相应降低。将密钥尺寸加倍可以恢复安全性但这将大大削弱HAWK作为紧凑型后量子方案的核心优势。攻击仍是指数级的对较大密钥无法在实际时间内完成且不影响其他NIST候选方案或一般的格密码。但它揭示了一个令人不安的事实一个经过两年人类专家评审的方案其安全性宣称与实际情况存在显著偏差。二、“莫比乌斯桥”AI自主发明的密码分析技术第二项成果同样引人注目。Mythos针对7轮AES-128完整AES-128使用10轮发明了一种名为“莫比乌斯桥”Möbius Bridge的指纹识别技术。在中途相遇方法的基础上Mythos消除了此前需要检查256个值的一个猜测步骤使得攻击速度比先前最佳方法快200至800倍。这一发现几乎完全自主完成仅在几天内接受了少量人工提示。随后研究人员花费数百小时验证了相关结论。Anthropic还透露该模型在针对减轮版LEA和Serpent的早期研究中取得了有希望的结果并在Salsa20、Poseidon和SHA-1上获得了较小改进。三、从“实现漏洞”到“数学缺陷”密码学审查范式的根本转变这两项成果的意义需要放在更广阔的背景下理解。此前Claude Mythos Preview主要发现的是密码库中的实现错误——程序员在使用算法时编码失误所引入的漏洞。而这次AI攻击的是算法本身的数学基础。这一跃迁的意义怎么强调都不为过。密码算法的安全性建立在数学难题之上——格问题的计算复杂性、离散对数问题的难解性等。如果AI能够系统性地发现这些数学结构中的弱点那么整个密码学的基础假设都将面临重新审视。更值得注意的是Mythos的工作方式。在60小时的研究过程中Mythos自主完成了文献综述、数学推理和实验验证。人类研究者的主要干预是鼓励它不要放弃并“找到值得发表的东西”。正如Anthropic在博客中坦言研究人员的提示包括“模型倾向于认为这不可能解决所以它们不会尝试”。这揭示了一个深层悖论AI不知道什么是“不可能”因此它做到了人类认为不可能的事情。四、密码学的新瓶颈AI发现太快人类验证太慢Anthropic在公告中提出了一个警示密码学界可能面临与软件漏洞领域相似的瓶颈——AI生成的研究成果远超人类的验证能力。这并非危言耸听。Mythos在60小时内完成了人类专家两年未能完成的突破而研究人员随后花费了数百小时来验证其结论。随着模型能力不断增强这种“发现-验证”的剪刀差只会越来越大。为应对这一挑战Anthropic与苏黎世联邦理工学院、特拉维夫大学和海法大学合作推出了CryptanalysisBench——一个用于评估语言模型密码分析能力的新基准。该公司还计划举办关于语言模型在安全研究中角色的学术研讨会。同时Anthropic遵循了标准的披露流程在6月通知了HAWK的设计者通过NIST邮件列表协调公开披露并提前向政府和行业合作伙伴做了简报。五、从后量子到“后AI密码学”HAWK攻击的象征意义远超其实际影响。它标志着密码学进入了一个新时代——AI不仅是密码分析的工具而是密码分析的“同行”乃至“对手”。Keyfactor战略与AI创新高级副总裁Ellen Boehm对此评论道Anthropic的研究证明NIST的后量子密码评估流程正在发挥作用同时“提升了组织对企业内部密码位置、所连接的业务系统和流程的可见性的重要性的认识”。这一判断切中了要害。如果说量子计算机对密码学的威胁是“未来时”那么AI对密码学的挑战已经是“现在进行时”。量子计算机尚未建成但AI已经在这里并且正在以人类难以企及的速度审查数学结构。Anthropic明确表示随着AI能力的提升未来可能会发现针对已部署系统的实际攻击因此需要提前建立响应机制。这不再是一个理论问题而是一个时间问题。六、结语密码学的“图灵测试”HAWK被攻破的教训是双重的。一方面它证明了AI驱动的密码分析是真实且强大的——60小时、10万美元一个AI模型完成了一项人类专家两年未能完成的突破。另一方面它提醒我们后量子密码的“后量子”不等于“后AI”——在量子计算机到来之前AI可能已经改写了密码安全的游戏规则。对于整个密码学界而言Claude Mythos的这一成果提出了一个根本性的问题当AI能够系统性地发现数学结构中的弱点时我们如何证明任何密码方案是安全的答案或许不是停止前进而是重新定义“审查”本身——让AI成为审查流程的一部分而非仅仅是被审查的对象。正如Anthropic所展示的AI既可以成为攻击者也可以成为防御者。密码学的未来取决于我们能否在这场AI驱动的攻防竞赛中保持领先。而在更广阔的视角下这一事件与同日1100余名AI从业者联名呼吁调控AI发展速度的公开信形成了意味深长的呼应——当AI开始攻破人类设计的最复杂的数学结构时“掌控前沿技术”不再只是一个政治口号而是一个关乎数字世界根基的技术命题。