Anthropic Schneier Watch: LLM-Kryptanalyse fand neue Angriffe, doch moderne Chiffren halten stand

Forscher von Anthropic halfen beim Test eines neuen Benchmarks, bei dem KI-Spitzenmodelle bislang nicht gemeldete kryptografische Angriffe fanden, obwohl sie an den schwierigsten produktiven Zielen scheiterten. Das anthropic schneier-Signal ist relevant, weil Bruce Schneier die Ergebnisse als etwas hervorhob, das Sicherheitsfachleute beobachten sollten, statt es als weitere Reasoning-Demo abzutun.

CryptanalysisBench prüft, ob ein KI-Agent mathematische Analyse in einen ausführbaren Angriff auf ein kryptografisches Verfahren umsetzen kann. Seine 191 Aufgaben umfassen sechs Familien kryptografischer Primitive, darunter Blockchiffren, Hash-Funktionen, authentifizierte Verschlüsselung und Public-Key-Systeme.

Der zentrale Zielkonflikt ist nun messbar. KI-gestützte Kryptanalyse kann defensive Prüfungen vor der Einführung stärken, während dieselbe Fähigkeit Angreifern letztlich helfen könnte, Systeme in einem Umfang zu untersuchen, den menschliche Experten nicht erreichen können. Aktuelle Modelle sind noch weit davon entfernt, AES in voller Stärke oder ähnlich ausgereifte Chiffren zu brechen, doch der Benchmark zeigt, dass sie bereits originäre Beiträge leisten können.

CryptanalysisBench macht Forschungsbehauptungen zu ausführbaren Angriffen

Der Benchmark verändert die Debatte über KI-Reasoning, indem er funktionierenden Angriffscode verlangt – keine überzeugenden Erklärungen oder Bewertungen durch ein anderes Modell.

Die Forscher stellten CryptanalysisBench in einem Preprint vom Juli 2026 vor. Die Autoren stammen von der ETH Zürich, Anthropic, der Universität Haifa, der Technischen Universität Berlin und der Tel Aviv University.

Der Benchmark stützt sich hauptsächlich auf vier Wettbewerbe des National Institute of Standards and Technology. Diese Programme bewerteten Kandidaten für AES, SHA-3, Lightweight Cryptography und Post-Quantum Cryptography.

Die Sammlung enthält 191 Aufgaben aus sechs Familien kryptografischer Primitive. Ein Primitiv ist ein grundlegender kryptografischer Algorithmus, der Eigenschaften wie Verschlüsselung, Authentifizierung, Kollisionsresistenz oder digitale Signaturen bereitstellt.

Jede Aufgabe gibt einem KI-Agenten Quellcode, Dokumentation und Zugang zu einem formalen Sicherheitsspiel. Ein Sicherheitsspiel definiert genau, welche Abfragen ein Angreifer stellen kann und was als Erfolg gilt.

Das Modell muss ein Angriffsziel auswählen und ein eigenständiges Skript erstellen. Ein separater Controller verwaltet die geheimen Schlüssel und beantwortet über eine Schnittstelle nur erlaubte Anfragen.

Die Verifikation führt das Skript dann mit neuer Zufälligkeit aus. Angriffe zur Schlüsselwiederherstellung, Fälschung und Kollisionsfindung müssen ihre jeweiligen Erfolgsbedingungen ohne manuelle Eingriffe erfüllen.

Einige probabilistische Spiele erfordern mehr als einen erfolgreichen Versuch. Für diese Aufgaben führt der Benchmark 20 unabhängige Instanzen aus und verlangt mindestens 17 Erfolge. Das Paper schätzt, dass zufälliges Raten diese Schwelle in etwa 0,1 Prozent der Fälle erreichen würde.

Diese Struktur verringert ein hartnäckiges Problem bei KI-Benchmarks. Ein Modell kann plausible Mathematik formulieren, bekannte Angriffe zitieren oder einen Sprachmodell-Juror überzeugen, ohne ein gültiges Ergebnis zu liefern.

CryptanalysisBench stellt stattdessen eine binäre operative Frage. Besiegt der eingereichte Angriff das Verfahren unter den angegebenen Regeln?

Die Aufgaben sind in zwei Stufen und ein Challenge-Set gegliedert. Stufe 1 enthält 49 Algorithmen mit bekannten praktischen Angriffen und misst damit, ob Modelle etablierte Schwächen reproduzieren oder unabhängig wiederentdecken können.

Stufe 2 umfasst 142 Algorithmen ohne bekannten praktischen Bruch oder mit Angriffen, deren Ausführung zu teuer wäre. Die Forscher testen sowohl Designs voller Stärke als auch reduzierte Varianten mit weniger Runden, kürzeren Schlüsseln oder veränderten Parametern.

Das Challenge-Set umfasst produktionsreife Chiffren nahe der Grenze veröffentlichter Kryptanalyse. Dazu gehören AES, ChaCha, Katan-32, Present-80, Simon-32/64, Speck-32/64 und Skinny-64/64.

Diese Unterscheidung ist entscheidend. Das Brechen eines alten Wettbewerbskandidaten, einer Chiffre mit reduzierter Rundenzahl oder fehlerhaften Referenzcodes bedeutet nicht, dass eine KI die Verschlüsselung gebrochen hat, die den heutigen Webverkehr schützt.

Schneiers Sicherheitsbewertung traf den angemessenen Ton. Er bezeichnete die Ergebnisse als frühe Entwicklung und betonte zugleich, dass der Benchmark beobachtenswert sei.

Die Nachricht ist nicht, dass moderne Verschlüsselung plötzlich versagt hat. Sie lautet vielmehr, dass automatisierte Systeme den Schritt von der Diskussion über Kryptanalyse hin zur Erzeugung einiger überprüfbarer und offenbar originärer Angriffe gemacht haben.

Das Anthropic-Schneier-Signal ist originäre Arbeit, kein AES-Bruch

Das stärkste Ergebnis ist ein Beleg für einen originären kryptanalytischen Beitrag; die wichtigste Einschränkung bleibt, dass produktive Chiffren voller Stärke weiterhin ungebrochen sind.

Fünf Spitzenmodelle wurden bewertet: Claude Opus 4.8, Claude Sonnet 5, Claude Mythos 5, GPT-5.5 und das Open-Weights-Modell GLM-5.2. Anthropic stellte über seine Zusammenarbeit mit den Forschern Zugang zu Mythos 5 bereit.

Die Leistung in Stufe 1 reichte von 65,3 Prozent für GLM-5.2 bis 85,7 Prozent für Mythos 5. Opus 4.8 erreichte 73,5 Prozent, während Sonnet 5 und GPT-5.5 jeweils 75,5 Prozent erzielten.

Diese Ergebnisse zeigen breite Kompetenz bei Verfahren mit dokumentierten Schwächen. Sie belegen für sich genommen nicht, dass die Modelle diese Schwächen unabhängig hergeleitet haben.

Ein LLM kann einen Angriff aus Trainingsdaten erinnern, ihn aus vertrauten Mustern rekonstruieren oder anhand des Quellcodes einen anderen Weg finden. Die Forscher prüften Ausführungsspuren, räumen jedoch ein, dass sich anhand solcher Spuren Erinnerung und Wiederentdeckung nicht vollständig trennen lassen.

Die folgenreichereren Ergebnisse stammten aus Verfahren voller Stärke in Stufe 2. Mythos 5 und Sonnet 5 erzeugten unabhängig voneinander einen vollständigen Angriff zur Wiederherstellung eines 128-Bit-Schlüssels gegen SpoC, einen Kandidaten für authentifizierte Verschlüsselung aus dem NIST-Prozess für Lightweight Cryptography.

Authentifizierte Verschlüsselung mit zugehörigen Daten, allgemein AEAD genannt, schützt sowohl die Vertraulichkeit als auch die Integrität einer Nachricht. Der gemeldete SpoC-Angriff nutzte zwei Oracle-Abfragen, um eine Schwachstelle auf Designebene im unveränderten Verfahren auszunutzen.

Mythos 5 erzeugte außerdem einen Decryption-Reaction-Angriff gegen KINDI. Diese Methode gewinnt Informationen daraus, wie ein System reagiert, wenn es speziell konstruierte Chiffretexte entschlüsseln soll.

Laut dem Paper deckte der Angriff einen Fehler in KINDIs veröffentlichter Sicherheitsbeweisführung für Chosen-Ciphertext-Angriffe auf. Die Autoren erklären, dass ihnen sowohl das KINDI-Problem als auch der SpoC-Angriff zur Schlüsselwiederherstellung zuvor unbekannt gewesen seien.

Diese Formulierung verdient Vorsicht. Die Angriffe erscheinen auf Grundlage der Literaturrecherche der Forscher neu, doch ein Preprint kann nicht belegen, dass keine Person sie privat entdeckt hat.

Die betroffenen Verfahren sind zudem nicht mit AES, ChaCha oder den heutigen standardisierten Post-Quantum-Gewinnern gleichzusetzen. SpoC war ein nicht erfolgreicher Wettbewerbskandidat, während KINDI nicht zu einem eingesetzten NIST-Standard wurde.

Dennoch sind gescheiterte oder ausgeschiedene Kandidaten wertvolle Forschungsziele. Menschliche Kryptografen haben viele von ihnen während öffentlicher Wettbewerbe untersucht, wodurch der Benchmark anspruchsvoller ist als bewusst verwundbare Rätsel.

Der Benchmark verzeichnete für Stufe 2 bei voller Stärke zudem Erfolgsraten zwischen 4,4 und 8,9 Prozent. Mythos 5 lag mit 8,9 Prozent vorn, gefolgt von GPT-5.5 mit 7,4 Prozent und Sonnet 5 mit 6,7 Prozent.

Diese Prozentsätze erfordern Kontext. Einige erfolgreiche Angriffe zielten auf Implementierungsfehler, unzureichend spezifiziertes Verhalten oder Schwachstellen, die das beabsichtigte mathematische Design nicht beeinträchtigten.

Das Paper trennt Kryptanalyse auf Designebene von solchen Ergebnissen. Es identifiziert außerdem Skalierungsartefakte, bei denen Skripte zur Parameterreduktion versehentlich Schwächen einführten, die nichts mit dem ursprünglichen Primitiv zu tun hatten.

Die am besten vertretbare Schlussfolgerung ist daher eng gefasst. Spitzenmodelle können reale Schwachstellen finden, gelegentlich offenbar neue Angriffe erzeugen und Analysen in funktionierenden Code umsetzen.

Sie haben AES in voller Stärke nicht besiegt. Sie haben nicht gezeigt, dass weit verbreitete kryptografische Standards generell für automatisierte Angriffe anfällig sind.

Warum agentische Kryptanalyse Sicherheitsprüfungen unter Druck setzt

Der unmittelbare Druck trifft kryptografische Prüfprozesse, weil KI mehr parallele Untersuchungen durchführen, vernachlässigte Kandidaten erneut analysieren und ausführbare Hypothesen kontinuierlich testen kann.

Traditionelle Kryptanalyse hängt von einer kleinen Gruppe von Spezialisten ab. Sie untersuchen ein Design, vergleichen es mit bekannten Konstruktionen, entwickeln eine mathematische Hypothese und investieren erhebliche Zeit in die Implementierung eines Angriffs.

Der Benchmark gibt einem Agenten eine komprimierte Version dieses Arbeitsablaufs. Er kann Code inspizieren, Spezifikationen lesen, ein Sicherheitsspiel auswählen, Oracle-Verhalten testen, mathematische Software verwenden und sein Angriffsskript überarbeiten.

Das ist mehr als einen Chatbot um eine Erklärung zu bitten. Das Modell arbeitet innerhalb eines Harness mit Werkzeugen, Laufzeitumgebung, Zustand und wiederholten Möglichkeiten, Fehler zu korrigieren.

Die Studie ergab, dass Modelle die richtige Schwachstelle oft erkannten, bevor sie scheiterten. Viele Misserfolge entstanden durch mangelhafte Ausführung, etwa durch die Wahl eines unnötig schwierigen Ziels oder die Übergabe einer unpraktischen Suche an einen allgemeinen Solver.

Dieses Ergebnis macht künftigen Fortschritt leichter vorstellbar. Bessere Planung, längere Laufzeit, verbesserte Werkzeugnutzung und effizientere Koordination können die Erfolgsraten bei Angriffen erhöhen, ohne dass eine völlig neue kryptografische Einsicht erforderlich ist.

Der Vorteil von Mythos 5 schien besonders ausgeprägt, wenn der Benchmark mehr Test-Time-Compute zuließ. Test-Time-Compute bezeichnet das Verarbeitungsbudget, das ein Modell während der Arbeit an einem Problem nutzt, einschließlich Tokens, Tool-Aufrufen und parallelen Versuchen.

Dadurch entsteht ein Spannungsverhältnis zwischen Fähigkeiten und Risiko. Verteidiger können dieselben Systeme einsetzen, um Kandidatenverfahren zu prüfen, Referenzimplementierungen zu durchsuchen und vor der Einführung Angriffe zu erzeugen.

Angreifer können sie nutzen, um obskure Algorithmen, proprietäre Protokolle oder schlecht geprüfte Produkte erneut zu untersuchen. Sie müssen AES nicht brechen, wenn ein System von einem schwächeren eigenen Primitiv oder einer fehlerhaften Implementierung abhängt.

Anthropic hat fortgeschrittene Cybermodelle im Rahmen kontrollierter defensiver Bereitstellung eingeordnet. Seine kryptografische Forschung beschreibt Arbeiten zu Schwächen in Hawk und AES mit reduzierter Rundenzahl sowie die breiteren Benchmark-Bemühungen.

AES mit reduzierter Rundenzahl entfernt zu Forschungszwecken einige der wiederholten Transformationsrunden der Chiffre. Angriffe auf diese geschwächte Variante helfen, Fortschritte zu messen, brechen jedoch nicht Standard-AES-128 mit allen 10 Runden.

Diese Grenze geht in der öffentlichen Diskussion leicht verloren. Eine Schlagzeile wie „KI greift AES an“ kann ein bedeutendes akademisches Ergebnis beschreiben und zugleich einen praktischen Bruch suggerieren, der nie stattgefunden hat.

Kryptografen untersuchen seit Langem Varianten mit reduzierter Rundenzahl, um die Sicherheitsmarge eines Designs zu kartieren. Fortschritte gegen sieben Runden können das analytische Verständnis verbessern, ohne AES mit voller Rundenzahl entschlüsselbar zu machen.

Der Druck ist daher organisatorisch, bevor er katastrophal wird. Standardisierungsgremien, Modellentwickler und Softwareanbieter brauchen Verfahren, um KI-generierte Angriffe zu validieren und echte Schwachstellen offenzulegen.

Prüfteams werden zudem eine größere Menge plausibler Befunde priorisieren müssen. Ein Modell, das Hunderte Angriffe vorschlägt, kann knappe Expertenzeit beanspruchen, selbst wenn die meisten Versuche scheitern.

Automatische Verifikation hilft innerhalb des Benchmarks, weil jede Aufgabe ein formales Spiel und eine kontrollierte Implementierung besitzt. Reale Systeme bieten solche klaren Bedingungen selten.

Ein produktives Protokoll kombiniert kryptografische Primitive mit Serialisierung, Schlüsselmanagement, Authentifizierungsabläufen, Hardwareverhalten und Betriebsrichtlinien. Ein Angriff kann über diese Grenzen hinweg erfolgreich sein, ohne den Kernalgorithmus ungültig zu machen.

Umgekehrt kann ein scheinbar erfolgreicher Laborangriff von einer Schnittstellen- oder Implementierungsentscheidung abhängen, die in eingesetzten Produkten nicht vorhanden ist. Eine menschliche Prüfung bleibt notwendig, um die praktische Auswirkung zu bestimmen.

Das offene Repository des Benchmarks ermöglicht unabhängigen Forschern, Aufgaben zu prüfen und künftige Modelle zu vergleichen. Reproduzierbarkeit wird entscheidend sein, wenn Anbieter stärkere Fähigkeitsansprüche erheben.

Unter dem größten Druck stehen nicht nur KI-Labore. Projekte für kryptografische Standards müssen entscheiden, wann Agententests zu einem routinemäßigen Bestandteil der Bewertung werden.

Anbieter mit eigener Kryptografie sehen sich einer noch deutlicheren Warnung gegenüber. Modelle können die Lücke zwischen den behaupteten Sicherheitsmerkmalen eines Designs und dem tatsächlichen Verhalten seines Codes durchsuchen.

Was der Benchmark nicht belegt

CryptanalysisBench misst eine reale Fähigkeit, doch Memorierung, reduzierte Parameter, Implementierungsfehler und große Rechenbudgets begrenzen weitreichende Schlussfolgerungen.

Die erste Unsicherheit betrifft die Trainingsdaten. Angriffe der Stufe 1 sind bereits öffentlich, daher kann ein Modell Texte, Formeln oder Code-Muster reproduzieren, auf die es während des Trainings gestoßen ist.

Die Forscher führten Audits auf Trace-Ebene durch, um festzustellen, ob Modelle Papers zitierten, bekannte Angriffe abriefen oder andere Wege entwickelten. Eine scheinbar neue Herleitung kann jedoch weiterhin auf nicht erkannter Memorierung beruhen.

AIMer bot eine teilweise Kontrolle, weil ein effizienter Angriff aus dem Jahr 2026 nach den gemeldeten Trainings-Stichtagen mehrerer Modelle erschien. Kein getestetes Modell reproduzierte die veröffentlichte Eliminierungsmethode unter den Bedingungen des Benchmarks.

Einige Modelle rekonstruierten das Geheimnis unter großzügigeren Einstellungen und verwendeten dabei mehr Initialisierungsvektoren, als der jüngste Angriff benötigte. Das deutet auf nützliches Schlussfolgern hin, zeigt aber auch die Lücke zwischen dem Finden eines Angriffs und dem Erreichen der Effizienz von Experten.

Die zweite Einschränkung betrifft reduzierte Varianten. Die Forscher schwächten viele Algorithmen der Stufe 2 ab, um Angriffe rechnerisch erreichbar zu machen.

Das ist gängige kryptanalytische Praxis, doch Parameteränderungen können künstliche Schwachstellen erzeugen. Die Arbeit berichtet Fälle, in denen ein Reduktionsskript die Verarbeitung abschnitt oder abhängige Puffer in inkonsistenten Größen beließ.

Diese Erfolge beschreiben eine fehlerhafte Benchmark-Variante, keinen Fortschritt gegenüber dem ursprünglichen Design. Die Autoren trennten je Modell acht oder neun solcher Artefakte von echten kryptanalytischen Ergebnissen.

Die dritte Einschränkung betrifft Referenzimplementierungen. Vier von 24 Aufgaben der Stufe 1, die von jedem Modell gelöst wurden, beruhten auf Codefehlern statt auf Schwächen der zugrunde liegenden Primitive.

Implementierungsangriffe bleiben in der realen Sicherheitsarbeit wertvoll. Sie beantworten jedoch eine andere Frage als die, ob die mathematische Konstruktion einer Chiffre solide ist.

Die vierte Einschränkung ist der Ressourceneinsatz. Leistungsstarke Agenten können bei der Untersuchung eines einzelnen Ziels lange Laufzeiten und enorme Token-Budgets verbrauchen.

Das Ergebnis ist weiterhin als Fähigkeitsdemonstration relevant, zeigt aber nicht, dass jeder Angreifer Expertenkryptanalyse kostengünstig automatisieren kann. Modellzugang, Inferenzinfrastruktur, Verifikation und menschliche Aufsicht bleiben Einschränkungen.

Die fünfte Einschränkung ist die Benchmark-Abdeckung. Der Aufgabensatz umfasst mehrere produktionsreife Chiffren, kann jedoch nicht jedes in der Praxis verwendete Protokoll, jede Implementierung, jeden Seitenkanal oder jede Konfiguration abbilden.

Seine formalen Spiele beschränken die Interaktion bewusst auf ein definiertes Bedrohungsmodell. Das verhindert, dass Agenten durch versehentlichen Zugriff auf geheime Dateien oder nicht zusammenhängende Schwächen von Containern gewinnen.

Diese Isolation verbessert die Messung. Sie entfernt jedoch auch die unübersichtlichen Bedingungen, unter denen reale Angreifer häufig erfolgreich sind.

Schutzmaßnahmen bringen eine weitere Komplikation mit sich. Die Forscher berichteten, dass sie GPT-5.6 oder Claude Fable 5 nicht bewerten konnten, weil diese Modelle die kryptanalytischen Aufgaben blockierten.

Eine Sicherheitsverweigerung deutet nicht auf eine geringere zugrunde liegende Fähigkeit hin. Sie bedeutet, dass Benchmark-Ergebnisse sowohl von der Kompetenz eines Modells als auch von den Zugriffsrichtlinien rund um diese Kompetenz abhängen.

Dadurch entsteht ein Vergleichsproblem. Ein leistungsfähigeres Modell kann schwächer wirken, wenn es sich verweigert, während ein weniger eingeschränktes Modell mehr Aufgaben erledigen kann.

Dies wirft auch eine Governance-Frage auf. Defensiv arbeitende Kryptografen benötigen Zugang zu fortgeschrittener Analyse, doch uneingeschränkter Zugang kann offensive Fähigkeiten verbreiten.

Der Benchmark entscheidet nicht, wo diese Grenze liegen sollte. Er liefert Daten für eine Debatte, die zuvor stark von Anekdoten abhing.

Eine weitere Unsicherheit ist die Übertragbarkeit. Die Leistung bei historischen Wettbewerbskandidaten sagt möglicherweise nicht die Leistung gegen ausgereifte, intensiv geprüfte Standards voraus.

AES wurde über Jahrzehnte hinweg kontinuierlich untersucht. Dass ein Modell eine Schwäche in einem weniger erforschten Kandidaten findet, bedeutet nicht, dass die Skalierung desselben Ansatzes AES brechen wird.

Die Challenge-Stufe der Arbeit soll diese Grenze nachzeichnen. Die aktuellen Ergebnisse sind noch weit davon entfernt, sie auszureizen, was beruhigend und wissenschaftlich nützlich ist.

Die Interpretation von anthropic schneier sollte daher beide Extreme vermeiden. Die Arbeit ist aussagekräftiger als eine Demonstration mit einer Spielzeugchiffre, aber schwächer als ein Beleg dafür, dass eingesetzte Verschlüsselung unmittelbar vor dem Zusammenbruch steht.

Die defensive Chance kommt vor dem Worst-Case-Risiko

Organisationen können schon jetzt profitieren, indem sie KI-generierte Angriffe in menschliche Prüfungen einbeziehen – vorausgesetzt, sie sichern Verifikation, Offenlegung und kryptografische Agilität.

Kandidatenalgorithmen sind ein naheliegender Ausgangspunkt. Standardisierungsteams können mehrere Modelle vor der Auswahl Designs prüfen lassen und reproduzierbare Angriffe anschließend an unabhängige Kryptografen weitergeben.

Dadurch lässt sich die Abdeckung über Einreichungen hinweg erweitern, die unterschiedlich viel menschliche Aufmerksamkeit erhalten. Kandidaten früher Runden werden oft weniger intensiv geprüft, nachdem stärkere Alternativen auftauchen.

Die Erkenntnisse zu SpoC und KINDI verdeutlichen diesen Wert. Selbst wenn ein Verfahren nie in den Einsatz gelangt, kann ein neu identifizierter Fehler die künftige Entwurfspraxis verbessern.

Referenzimplementierungen sind ein weiteres praktisches Ziel. Agenten können formale Sicherheitseigenschaften mit Codepfaden vergleichen, die Authentifizierung überspringen, leere Eingaben falsch behandeln oder Nachrichtenkomponenten auslassen.

Diese Arbeit überschneidet sich mit konventioneller Schwachstellensuche, doch kryptografischer Code erfordert spezialisiertes Schlussfolgern. Ein allgemeiner Scanner kann Speicherfehler erkennen und dennoch eine Fälschung auf Protokollebene übersehen.

KI kann zudem helfen, Regressionstests zu erstellen, nachdem eine Schwäche gefunden wurde. Ein gültiges Angriffsskript wird zu einem konkreten Artefakt, das Entwickler zusammen mit gepatchtem Code bewahren können.

Organisationen sollten ein Modell nicht seine eigenen Ergebnisse bestätigen lassen. Unabhängige Reproduktion bleibt notwendig, insbesondere wenn das Ergebnis einen Standard oder eine weit verbreitete Bibliothek betrifft.

Eine sinnvolle Prüfkette beginnt mit einem automatisch ausführbaren Angriff. Anschließend stellt ein menschlicher Kryptograf fest, ob er das Design, die Implementierung oder eine künstliche Benchmark-Bedingung angreift.

Danach können Maintainer das Ergebnis in der betroffenen Codebasis reproduzieren. Erst dann sollten Teams die Exposition eingesetzter Systeme bewerten und die Offenlegung koordinieren.

Diese Struktur begrenzt Fehlalarme, ohne modellgenerierte Forschung zu verwerfen. Sie hält das Modell zudem in der Rolle, in der der Benchmark den deutlichsten Nutzen zeigt: beim Erzeugen und Implementieren von Hypothesen.

Kryptografische Agilität wird wichtiger, je besser die automatisierte Analyse wird. Der Begriff beschreibt den Entwurf von Systemen, in denen Algorithmen und Schlüssel ersetzt werden können, ohne ein ganzes Produkt neu aufzubauen.

Der NIST-Standardisierungsprozess zeigt bereits, warum Migrationsplanung wichtig ist. Die Auswahl eines Algorithmus ist nur der Anfang; die Einführung in Protokollen, Hardware und langlebigen Systemen dauert Jahre.

KI verändert diese operative Realität nicht. Sie kann die Zeit zwischen der Veröffentlichung eines Designs und der Entdeckung von Schwächen verkürzen und langsame Migration dadurch kostspieliger machen.

Teams sollten erfassen, wo kryptografische Primitive eingesetzt werden, welche Bibliotheken sie implementieren und ob Protokolle sicherere Ersatzlösungen aushandeln können. Eigene Algorithmen verdienen sofortige Aufmerksamkeit, weil ihnen die Prüfungshistorie etablierter Standards fehlt.

Organisationen sollten jedoch keine ausgereifte Kryptografie ersetzen, nur weil ein Modell eine beunruhigende Analyse erzeugt. Überhastete Änderungen können neue Implementierungsfehler und Interoperabilitätsprobleme einführen.

Die defensive Chance hängt von belastbaren Belegen ab. Ein Angriff, der ein formales Spiel gewinnt, verdient Untersuchung, während unbelegte Prosa Skepsis verdient.

Das Verifikationsmodell des Benchmarks bietet eine nützliche Vorlage über die Kryptografie hinaus. KI-Sicherheitsbewertungen sollten reproduzierbare Artefakte verlangen, wann immer die Aufgabe dies zulässt.

Das ist wichtig, weil Behauptungen über Frontier-Modelle zunehmend Zugriffsregeln, Kaufentscheidungen und öffentliche Politik prägen. Messungen müssen zwischen Schlussfolgern, Memorierung, Implementierungsfähigkeit und Brute-Force-Ressourceneinsatz unterscheiden.

CryptanalysisBench löst diese Messprobleme nicht vollständig. Er macht sie in einem Bereich sichtbar, in dem Erfolg eine ungewöhnlich klare Definition hat.

Drei Signale werden zeigen, ob sich die KI-Kryptanalyse beschleunigt

Die nächste Phase hängt von schwierigeren Benchmark-Erfolgen, unabhängiger Reproduktion neuartiger Angriffe und der routinemäßigen Übernahme durch Standardisierungsteams ab.

Das erste Signal sind Fortschritte beim ungelösten Challenge-Set. Forscher sollten verfolgen, ob künftige Modelle nichttriviale Angriffe auf höher-rundige Varianten von AES, ChaCha oder anderen Produktionschiffren erzeugen.

Ein Ergebnis ist bedeutsamer, wenn es die veröffentlichte kryptanalytische Grenze voranbringt, ohne auf einem Fehler im Harness zu beruhen. Unabhängige Experten sollten Komplexität, Datenanforderungen und praktische Bedeutung bestätigen.

Kein einzelnes Ergebnis bei einer Variante mit reduzierter Rundenzahl bedeutet, dass Verschlüsselung in voller Stärke versagt hat. Ein anhaltendes Muster über stärkere Varianten hinweg würde zeigen, dass modellgestützte Forschung sich der Expertenkryptanalyse nähert.

Das zweite Signal ist die unabhängige Reproduktion der Erkenntnisse zu SpoC und KINDI. Andere Kryptografen müssen die Angriffe überprüfen, die bisherige Literatur durchsuchen und bewerten, ob die betroffenen Annahmen andernorts auftreten.

Eine erfolgreiche Reproduktion würde die Behauptung stärken, dass Frontier-Agenten zu originärer Kryptanalyse beitragen können. Eine frühere Veröffentlichung oder benchmark-spezifische Abhängigkeit würde diese Schlussfolgerung einschränken.

Künftige Benchmark-Versionen sollten zudem neue, private oder frisch veröffentlichte Ziele enthalten, die nach dem Training der Modelle entstanden sind. Das würde Memorierung zu einer weniger plausiblen Erklärung machen.

Das dritte Signal ist die Übernahme durch Standardisierungsgremien und Sicherheitslabore. Der Benchmark wird operativ wichtig, wenn Agententests neben Code-Review und menschlicher Kryptanalyse zu einem normalen Schritt vor dem Einsatz werden.

Diese Veränderung sollte Regeln zur Offenlegung einschließen. Modelle können Ergebnisse schneller erzeugen, als Experten sie validieren können; eine größere Warteschlange ohne Triage könnte die defensive Arbeit daher verlangsamen.

Beobachten Sie, ob Modellentwickler Transkripte, Ressourcenbudgets, fehlgeschlagene Versuche und Verifikationscode veröffentlichen. Ergebnissen lässt sich leichter vertrauen, wenn Außenstehende einen neuen mathematischen Angriff von einem Codierungsfehler unterscheiden können.

Beobachten Sie auch die Zugriffsrichtlinien. Anthropic hat sein leistungsfähigstes Cyber-Modell auf ausgewählte Partner beschränkt, was Bedenken hinsichtlich offensiver Nutzung widerspiegelt.

Eingeschränkter Zugang kann Missbrauch verlangsamen, aber auch fortgeschrittene defensive Fähigkeiten auf wenige Labore konzentrieren. Eine breitere Forschungsbeteiligung wird kontrollierte Umgebungen und verantwortungsvolle Offenlegungsprozesse erfordern.

Bruce Schneiers zurückhaltende Reaktion ist der richtige Bezugspunkt. Dies sind frühe Ergebnisse, doch sie beschreiben eine Fähigkeit mit direkten Auswirkungen auf die digitale Infrastruktur.

Die nützliche Frage lautet nicht, ob ein LLM abstrakt „Verschlüsselung brechen“ kann. Entscheidend ist, ob jede Modellgeneration unter überprüfbaren Regeln schwierigere, sauberere und aktuellere Ziele besiegen kann.

Sicherheitsverantwortliche sollten diese Entwicklung verfolgen und ihre eigenen Systeme auf schnellere kryptografische Prüfungen vorbereiten. Erfassen Sie die Algorithmen, von denen Ihre Organisation abhängt, entfernen Sie eigene Designs und testen Sie, ob kritische Protokolle Ersatz unterstützen.

Für Forschende ist der unmittelbare Handlungsbedarf ebenso konkret: die neuen Angriffe reproduzieren, die Annahmen des Benchmarks hinterfragen und stärkere Zielvorgaben einreichen, bevor Fähigkeitsbehauptungen der Evidenz davoneilen.

Die Geschichte um anthropic schneier bleibt ein Warnsignal, keine Erklärung zum Zusammenbruch der Kryptografie. Ihr Wert liegt darin, die Distanz zwischen den begrenzten Erfolgen von heute und den Angriffen zu messen, die die gesamte Branche zum Handeln zwingen würden.