Citação de Simon Willison sobre Anthropic revela o verdadeiro teste da criptoanálise por IA

A cobertura de Anthropic por Simon Willison traz agora um alerta mais contundente: Claude encontrou dois avanços criptográficos, mas nenhum dos ataques compromete sistemas em operação hoje. O conflito está em outro lugar. A criptoanálise por IA está melhorando enquanto governos e engenheiros escolhem as bases matemáticas que precisarão proteger sistemas digitais por décadas.

Em 28 de julho de 2026, a Anthropic afirmou que Claude Mythos Preview aprimorou ataques contra HAWK e uma versão de AES-128 com número reduzido de rodadas. HAWK é um esquema proposto de assinatura pós-quântica. AES é a cifra simétrica consolidada por trás de incontáveis aplicações seguras, embora a Anthropic tenha testado apenas uma variante deliberadamente enfraquecida.

Simon Willison destacou o trabalho antes de citar o criptógrafo da Johns Hopkins Matthew Green em 29 de julho. Green argumentou que a criptoanálise por IA está chegando em um momento excepcionalmente útil. O setor está migrando de assinaturas RSA e de curva elíptica para problemas mais recentes, concebidos para resistir a computadores quânticos.

Esse momento cria a tensão central. Os resultados de Claude podem fortalecer a revisão pública antes de os padrões chegarem à produção. No entanto, uma criptoanálise automatizada mais rápida também pode sobrecarregar as instituições humanas responsáveis por validar descobertas, coordenar divulgações e substituir projetos comprometidos.

A pesquisa Anthropic Simon mudou a referência da criptoanálise

A mudança importante não é que Claude tenha quebrado a criptografia em uso, porque não quebrou. Claude produziu avanços em nível de pesquisa contra dois alvos cuidadosamente delimitados.

O primeiro resultado da Anthropic dizia respeito ao HAWK, um esquema de assinatura digital baseado em reticulados que está sendo considerado no processo adicional de assinaturas pós-quânticas do NIST. Uma assinatura digital permite que o software verifique identidades e detecte alterações não autorizadas sem expor uma chave privada de assinatura.

O HAWK já havia passado por duas rodadas de avaliação pública ao longo de aproximadamente dois anos. Segundo a pesquisa criptográfica da Anthropic, Mythos aprimorou o melhor ataque conhecido após cerca de 60 horas de trabalho.

O modelo identificou um automorfismo não trivial, isto é, uma simetria matemática dentro da estrutura de reticulado subjacente do HAWK. Pesquisas anteriores haviam estabelecido que encontrar tal simetria possibilitaria um ataque. Elas não haviam demonstrado que a simetria relevante era acessível no HAWK.

A Anthropic afirma que o ataque de enumeração resultante reduziu a segurança efetiva do menor parâmetro de desafio HAWK-256. O custo esperado de recuperação de chave caiu de aproximadamente 2^64 operações para 2^38 operações.

A diferença é substancial. Um fator de 2^26 separa essas estimativas, o que representa cerca de 67 milhões de vezes menos trabalho no modelo declarado. Ainda assim, HAWK-256 é um parâmetro de desafio pequeno, não uma configuração de produção.

O ataque continua exponencial, portanto seu custo cresce rapidamente com chaves maiores. A Anthropic afirma que os parâmetros maiores do HAWK continuam impraticáveis de atacar. A fraqueza também é específica do HAWK, e não da criptografia baseada em reticulados como um todo.

O segundo resultado teve como alvo o AES-128 de sete rodadas. O AES-128 em produção aplica dez rodadas de transformações repetidas, enquanto pesquisadores removem rodadas intencionalmente para estudar como sua margem de segurança se comporta.

Mythos desenvolveu um método de fingerprinting chamado Möbius Bridge. A Anthropic afirma que ele eliminou uma etapa de adivinhação de 256 possibilidades de um ataque meet-in-the-middle existente, que troca armazenamento adicional por menos computação.

Outras otimizações produziram um aumento de velocidade estimado entre 200 e 800 vezes em relação a ataques anteriores. Ainda assim, o experimento pressupunha acesso a 2^105 textos simples escolhidos, um volume impossível para qualquer operação prática.

Portanto, o modelo não quebrou o AES como é implantado. Ele avançou uma linha de pesquisa especializada envolvendo uma versão de laboratório mais fraca. Essa distinção separa um resultado científico significativo de uma emergência imediata de cibersegurança.

Ambas as linhas de pesquisa foram caras. A Anthropic estimou aproximadamente US$ 100.000 em uso de API para cada resultado principal. A investigação sobre AES gerou cerca de um bilhão de tokens de saída antes de alcançar seu método publicado.

A discussão Anthropic Simon importa porque Willison se concentrou em quão pouco prompting especializado pareceu necessário. Operadores humanos instruíram repetidamente o modelo a buscar resultados mais difíceis, em vez de aceitar sua conclusão inicial de que a tarefa era inviável.

Essas intervenções foram importantes, mas não continham a percepção matemática final. O modelo propôs transformações candidatas, descartou abordagens malsucedidas, testou alternativas e desenvolveu a impressão digital central por meio de um processo de pesquisa agêntico.

Isso leva o debate além de saber se uma IA consegue reformular a literatura criptográfica conhecida. A questão mais difícil é se inferência sustentada de modelos, ferramentas computacionais e uma orientação básica de pesquisa podem produzir novos ataques úteis.

Por que Matthew Green considera o momento quase ideal

A criptoanálise por IA está surgindo enquanto a comunidade de segurança substitui suas bases de chave pública mais importantes, dando à revisão defensiva um valor excepcionalmente alto.

O argumento de Green começa com a transição pós-quântica. Os sistemas atuais de chave pública geralmente dependem de RSA ou de criptografia de curva elíptica, cuja segurança se apoia em problemas matemáticos que computadores quânticos suficientemente capazes poderiam resolver de forma eficiente.

Essa ameaça não significa que exista hoje um computador quântico criptograficamente relevante. Significa que sistemas de longa duração precisam de algoritmos substitutos antes que tal máquina se torne disponível.

A migração leva anos porque a criptografia está profundamente inserida em sistemas operacionais, navegadores, serviços de identidade, dispositivos embarcados, certificados, infraestrutura de pagamentos e software empresarial. Informações criptografadas armazenadas também podem enfrentar ataques de “coletar agora, descriptografar depois”.

O NIST iniciou a padronização formal pós-quântica em 2016. A instituição finalizou seus três primeiros padrões pós-quânticos principais em agosto de 2024, cobrindo criptografia geral e assinaturas digitais.

A agência continuou avaliando abordagens adicionais de assinatura. A diversidade importa porque as organizações têm restrições de desempenho diferentes, enquanto depender de uma única família matemática pode concentrar riscos sistêmicos.

O HAWK entrou nessa busca mais ampla como um projeto de assinatura compacto baseado em isomorfismo de reticulados. Ele tinha características que poderiam torná-lo atraente onde tamanho de assinatura, tamanho de chave ou compromissos de implementação fossem relevantes.

O resultado de Claude desafia esse equilíbrio. A Anthropic argumenta que restaurar a margem de segurança pretendida exigiria chaves HAWK maiores, eliminando várias qualidades que tornavam a proposta atraente.

Esse resultado não é evidência de que a padronização pública falhou. Competições abertas expõem deliberadamente algoritmos candidatos à análise adversarial antes que fornecedores de software e governos dependam deles.

O histórico mostra o motivo. SIKE, outro candidato pós-quântico, sobreviveu a anos de estudo antes de pesquisadores encontrarem um ataque clássico devastador em 2022. A quebra teria sido executada em um laptop comum.

Green vê a IA como uma forma de expandir essa capacidade adversarial durante o período em que ela oferece o maior retorno defensivo. A citação de Matthew Green por Simon Willison descreve este momento como um “momento perfeito” para a criptoanálise pública por IA.

O benefício vai além de eliminar candidatos fracos. Ataques repetidos e críveis podem ajudar pesquisadores a identificar quais premissas merecem confiança e quais padrões de projeto criam exposição oculta.

A criptografia não conquista confiança porque ninguém encontrou um ataque ainda. A confiança cresce com anos de tentativas públicas, falhas publicadas, ataques aprimorados, provas corrigidas e reprodução independente.

A IA pode aumentar o número de hipóteses exploradas durante esse processo. Ela pode buscar artigos obscuros, transformar condições matemáticas em experimentos, escrever código de verificação e manter vários ramos de pesquisa ativos.

Essa capacidade importa porque a atenção de especialistas é escassa. Muitos algoritmos recebem muito menos análise do que AES, cujo projeto enfrenta exame contínuo desde que o NIST o selecionou em 2001.

O melhor argumento defensivo se assemelha a testes automatizados contínuos para a matemática. Modelos propõem ataques, ferramentas computacionais descartam ideias fracas, especialistas validam os sobreviventes e projetistas revisam seus esquemas.

Desenvolvedores que acompanham esse trabalho não devem interpretar cada resultado de rodadas reduzidas como motivo para abandonar primitivas aprovadas. Em vez disso, devem distinguir o impacto em produção das evidências sobre a futura capacidade de pesquisa.

A gestão do conhecimento torna-se relevante aqui porque a verificação exige preservar prompts, artigos-fonte, hipóteses fracassadas, código, comentários de revisores e decisões de divulgação. Uma base de conhecimento de engenharia pesquisável pode manter essas evidências conectadas durante revisões longas.

A transição pós-quântica dá à criptoanálise por IA um alvo defensivo claro. Os sistemas candidatos são públicos, a implantação continua limitada e as instituições já têm processos para receber análises críticas.

Esse alinhamento favorável não durará para sempre. Quando uma primitiva vulnerável se torna amplamente implantada, identificar sua fraqueza cria custos urgentes de substituição e um problema de divulgação potencialmente perigoso.

A verdadeira disputa é descoberta por IA versus verificação humana

O principal oponente não é Claude versus criptógrafos humanos. É a velocidade da descoberta automatizada versus a capacidade humana limitada necessária para estabelecer a verdade.

A Anthropic descreve Mythos como majoritariamente autônomo durante ambas as investigações. No entanto, descoberta e aceitação permaneceram etapas separadas, e a segunda avançou muito mais lentamente.

O ataque ao HAWK foi comparativamente simples de validar porque os pesquisadores puderam implementar o pipeline de recuperação de chave de ponta a ponta. Um verificador podia gerar uma chave, executar o ataque e confirmar se ele recuperava o segredo.

O resultado sobre AES apresentou um desafio diferente. Seus requisitos permanecem muito além da execução prática, portanto os revisores não podiam simplesmente executar todo o ataque na escala alegada.

Em vez disso, precisaram inspecionar a matemática, testar instâncias menores, analisar a complexidade e confirmar que cada redução se comportava como descrito. A Anthropic afirma que dois pesquisadores dedicaram várias centenas de horas a esse trabalho.

O modelo desenvolveu a ideia sobre AES em aproximadamente uma semana. Pesquisadores humanos então precisaram de quase um mês para alcançar confiança, apesar de se concentrarem intensamente na alegação.

A Anthropic também reconheceu que seus pesquisadores não eram especialistas em criptografia. Eles precisaram aprender o suficiente da área para validar o método e preparar um artigo.

Essa divulgação sustenta duas leituras. Ela mostra que um modelo pode ajudar não especialistas a alcançar resultados avançados. Também mostra por que a revisão independente de especialistas continua necessária antes que a área aceite esses resultados.

Um modelo pode gerar uma prosa matemática convincente junto de erros sutis. Uma derivação longa pode depender de uma premissa injustificada, de um artigo anterior ignorado ou de uma estimativa de complexidade que falha sob custos realistas de memória.

A novidade traz outro problema. Redescobrir um resultado obscuro pode parecer novo quando a busca na literatura é incompleta. Esse risco aumenta na criptografia, onde trabalhos relevantes podem abranger décadas, idiomas, workshops, preprints e notação especializada.

O estudo independente CryptanalysisBench oferece um contexto mais amplo. Seus autores reuniram 191 tarefas em seis famílias criptográficas e três níveis de dificuldade.

Cinco modelos de ponta supostamente romperam entre 65% e 86% dos esquemas com ataques práticos conhecidos. Eles também resolveram entre seis e doze tarefas completas de força total de um segundo nível mais difícil.

Esses números não estabelecem uma capacidade especializada irrestrita. Benchmarks simplificam o ambiente, problemas selecionados podem diferir da pesquisa aberta, e o desempenho depende de estruturas de apoio, orçamentos de inferência e regras de avaliação.

No entanto, os resultados sustentam a afirmação mais restrita da Anthropic de que modelos modernos podem realizar trabalho criptanalítico genuíno. A questão relevante já não é mais se essa capacidade existe.

O gargalo agora se desloca para a revisão de um volume crescente de resultados plausíveis. A Anthropic prevê que a criptografia acadêmica pode enfrentar a mesma pressão de triagem que já emerge na pesquisa de vulnerabilidades de software.

Isso não é apenas uma preocupação administrativa. Uma alegação falsa pode desperdiçar semanas do tempo de especialistas, abalar a confiança em um padrão sólido ou provocar pânico público em torno de sistemas que continuam seguros.

Uma alegação válida pode ser ainda mais difícil de administrar. Revisores precisam reproduzi-la, localizar os sistemas afetados, contatar os projetistas, coordenar com organismos de padronização e decidir quando os detalhes técnicos devem se tornar públicos.

Grandes orçamentos de inferência aprofundam o desequilíbrio. O trabalho com AES consumiu um bilhão de tokens de saída, enquanto humanos não conseguem ler ou auditar diretamente esse volume.

Pesquisadores precisam de evidências estruturadas, e não de transcrições brutas dos modelos. Sistemas úteis devem registrar quais alegações sobreviveram aos testes, quais códigos as sustentam e onde o julgamento humano mudou a investigação.

Laboratórios de IA também precisam de incentivos que recompensem descobertas negativas cuidadosas. Publicar manchetes dramáticas de “IA quebrou a criptografia” pode atrair atenção mesmo quando o alvo não está implantado ou foi deliberadamente enfraquecido.

Simon Willison evitou essa armadilha ao enfatizar a limitação explícita da Anthropic: nenhum dos resultados afeta sistemas de produção atuais. Seu enquadramento manteve o foco no método de pesquisa e em suas consequências futuras.

A disputa será, portanto, decidida pela infraestrutura de verificação. Modelos mais rápidos, por si só, não podem tornar a criptografia mais segura se as filas de revisão crescerem mais rápido do que especialistas confiáveis conseguem atendê-las.

O Que a Narrativa Anthropic-Simon Não Deve Exagerar

Os ataques do Claude merecem atenção, mas não demonstram que a criptografia da internet está entrando em colapso ou que a IA derrotou a criptografia moderna.

O resultado relacionado ao HAWK afeta um esquema de assinatura proposto. Ele não enfraquece os algoritmos pós-quânticos padronizados já selecionados pelo NIST, outros candidatos a assinaturas ou toda construção baseada em reticulados.

O HAWK também não tem presença estabelecida em produção. Removê-lo ou revisá-lo durante a avaliação representaria o processo de padronização funcionando antes de uma implantação ampla.

O resultado sobre AES é ainda mais fácil de distorcer. O AES-128 completo usa dez rodadas, enquanto o Mythos atacou sete. Remover três rodadas altera o objeto sob análise.

Pesquisadores estudam cifras com número reduzido de rodadas porque avanços podem revelar insights estruturais. Ainda assim, um ataque contra sete rodadas não se estende automaticamente a oito, nove ou dez.

Seu requisito de dados também importa. O ataque anterior assumia 2^105 textos claros escolhidos, e a melhoria da Anthropic não tornou esse requisito operacionalmente plausível.

Para efeito de escala, 2^105 equivale aproximadamente a 40 undecilhões de entradas. Nenhum atacante consegue coletar, transmitir, armazenar ou processar tantas criptografias escolhidas contra um serviço real.

A própria nota de rodapé da Anthropic afirma que implementar o ataque de rodadas reduzidas ainda custaria centenas de milhões de dólares. Mesmo essa estimativa diz respeito a uma cifra enfraquecida, e não ao AES-128 implantado.

A empresa merece crédito por declarar esses limites de forma destacada. Cobertura secundária e publicações nas redes sociais ainda podem apagá-los, transformando “ataque acadêmico aprimorado” em “IA quebrou o AES”.

Também há questões sem resposta sobre atribuição. A Anthropic divulgou materiais que mostram atividade do modelo, mas qualquer fluxo de trabalho agêntico complexo mistura a saída do modelo com o design da estrutura de apoio, acesso a ferramentas, seleção de alvos e feedback humano.

Os prompts humanos foram breves, por vezes consistindo principalmente em encorajamento. Ainda assim, humanos selecionaram o alvo de pesquisa, construíram o ambiente, revisaram os resultados e decidiram quais ramificações mereciam computação contínua.

Portanto, chamar o trabalho de totalmente autônomo exageraria as evidências. Uma descrição mais precisa é pesquisa agêntica sustentada, com orientação substantiva limitada e ampla validação humana.

O custo também limita a generalização. Cerca de US$ 100.000 por resultado é administrável para um laboratório de ponta ou programa governamental. Não é um gasto rotineiro para a maioria dos grupos universitários ou equipes de padronização.

Modelos futuros podem reduzir esse custo. Por enquanto, o resultado demonstra o que um orçamento grande e concentrado de inferência pode alcançar, e não o que todo desenvolvedor pode reproduzir em uma curta sessão de chat.

As evidências de benchmark merecem cautela semelhante. O sucesso em quebras conhecidas confirma capacidade de busca e raciocínio, mas não prova que os modelos identificarão com confiabilidade falhas desconhecidas em criptografia de produção.

A seleção de pesquisas pode criar viés de visibilidade. Investigações bem-sucedidas se tornam artigos, enquanto execuções fracassadas, resultados duplicados e alegações não verificáveis recebem menos atenção pública.

A Anthropic observou que muitas sessões não produziram descobertas. Esse detalhe deve permanecer central ao avaliar a eficiência e a confiabilidade da abordagem.

A confirmação independente fornecerá o teste mais forte. Os autores do HAWK, participantes do NIST e criptógrafos externos precisam examinar as estimativas de segurança e as implicações do ataque.

O relato técnico da CyberScoop informou que a Anthropic coordenou com acadêmicos e divulgou a descoberta relacionada ao HAWK antes da publicação. Esse processo aumenta a confiança, mas a publicação ainda inicia, em vez de encerrar, a revisão pública.

A maior incerteza diz respeito ao que acontece quando o alvo muda. Esquemas propostos e cifras com rodadas reduzidas são objetos de pesquisa mais seguros do que algoritmos implantados que protegem comunicações atuais.

Uma falha gerada por IA em um protocolo comum criaria deveres conflitantes. Pesquisadores precisariam de transparência suficiente para verificação independente, mas a publicação prematura poderia entregar aos atacantes um método operacional.

Provedores de modelos também poderiam possuir capacidades materiais antes que instituições externas tivessem acesso comparável. Essa assimetria levantaria questões sobre supervisão, cronogramas de divulgação e quem decide qual pesquisa é publicada.

Esses problemas de governança não invalidam a justificativa defensiva. Eles mostram por que a capacidade de pesquisa e a capacidade institucional precisam crescer juntas.

Três Sinais Mostrarão se a IA Torna a Criptografia Mais Segura

A próxima fase depende de reprodutibilidade, adoção por padrões e de saber se os sistemas de verificação escalam junto com as descobertas geradas por modelos.

O primeiro sinal é a reprodução independente do ataque ao HAWK. Pesquisadores externos devem confirmar o automorfismo não trivial, a estimativa de 2^38 para HAWK-256 e o efeito sobre parâmetros maiores.

A reprodução fortaleceria a alegação de que um modelo agêntico encontrou uma fraqueza significativa ignorada durante uma extensa revisão pública. Correções substanciais enfraqueceriam as alegações sobre a confiabilidade do Claude como pesquisador.

O segundo sinal é o tratamento dado pelo NIST ao HAWK e a candidatos semelhantes. Revisores podem rejeitar o HAWK, revisar seus parâmetros, solicitar análises adicionais ou decidir que outras vantagens justificam a continuidade de sua consideração.

O resultado exato importa menos do que o processo. Organismos de padronização precisam de uma forma repetível de aceitar submissões assistidas por IA sem reduzir os requisitos de evidência.

A criptoanálise gerada por IA deve enfrentar o mesmo escrutínio matemático que o trabalho humano. Ela também pode exigir registros adicionais que cubram configurações de inferência, estruturas de apoio, acesso a ferramentas, caminhos fracassados e intervenções humanas.

O terceiro sinal é a expansão prometida pela Anthropic da avaliação pública. A empresa disse que planejava um workshop acadêmico e novas divulgações cobrindo ataques contra outras cifras com rodadas reduzidas.

A Anthropic relatou um ataque preliminar contra LEA de 13 rodadas que é executado em menos de uma hora em um desktop moderno. O LEA completo usa 24 rodadas, portanto esse resultado também não tem impacto imediato em produção.

Ela também descreveu um ataque contra seis rodadas do Serpent-128, cujo design completo usa 32 rodadas. Melhorias adicionais limitadas supostamente envolveram Salsa20, Poseidon e SHA-1.

Essas alegações subsequentes precisam de artigos, código, revisão externa e modelos de ameaça precisos. Um fluxo constante de resultados confirmados de forma independente sustentaria a leitura otimista de Green.

Uma enxurrada de alegações pouco claras ou duplicadas apontaria, em vez disso, para o gargalo de verificação. O campo então precisaria de melhor filtragem antes de expandir o volume bruto de descobertas.

No longo prazo, pesquisadores devem observar se os modelos avançam de ataques a variantes reduzidas para a avaliação de projetos candidatos completos. Primitivas de produção com todas as rodadas estabelecem um patamar muito mais elevado.

Eles também devem medir com que frequência a IA encontra falhas antes dos revisores humanos. Histórias individuais de sucesso são informativas, mas comparações sistemáticas revelariam se os modelos ampliam a cobertura ou principalmente duplicam o trabalho de especialistas.

A especificação do HAWK e os materiais públicos associados oferecem o ambiente certo para esse teste. Especificações abertas permitem que equipes independentes questionem tanto o design quanto a análise da Anthropic.

As organizações não precisam alterar o AES implantado por causa desta pesquisa. Elas devem continuar seguindo orientações criptográficas aprovadas, inventariar dependências legadas de chaves públicas e preparar planos de migração pós-quântica.

Líderes de segurança também devem estabelecer procedimentos para receber descobertas assistidas por IA. Esses procedimentos precisam de triagem técnica, requisitos de reprodutibilidade, canais de divulgação e propriedade clara das decisões de remediação.

Pesquisadores devem preservar resultados negativos. Abordagens fracassadas podem evitar trabalho duplicado, revelar limitações dos modelos e mostrar se um sucesso alegado surgiu de busca sistemática ou de sorte excepcional.

A troca entre Anthropic e Simon captura, em última análise, um raro alinhamento entre capacidade e necessidade. A IA está melhorando em matemática adversarial justamente quando o mundo precisa de uma análise mais ampla de pressupostos de segurança pouco familiares.

O otimismo de Green continua condicional. A criptoanálise por IA fortalece a segurança somente quando humanos conseguem validar sua saída, revisar projetos fracos e coordenar divulgações antes que atacantes obtenham uma vantagem.

As organizações de padronização desenvolverão essa capacidade enquanto os alvos ainda não estão implantados? Desenvolvedores, pesquisadores e equipes de segurança devem acompanhar de perto os três sinais: reprodução independente, a resposta do NIST e a qualidade das próximas divulgações da Anthropic.

Esses sinais revelarão se o trabalho do Claude inaugura uma era mais segura de revisão criptográfica contínua ou simplesmente cria uma fila mais rápida de alegações aguardando julgamento humano.