O ataque Claude Mythos HAWK da Anthropic expõe a lacuna de segurança que a PQC não corrigirá
O ataque Claude Mythos HAWK da Anthropic reduziu a força estimada da chave do esquema de assinatura candidato após cerca de 60 horas de pesquisa assistida por IA. O HAWK já havia passado por dois anos e duas rodadas de revisão especializada. Esse contraste, e não uma violação imediata de criptografia implantada, é o acontecimento importante.
A Anthropic divulgou o resultado em 28 de julho de 2026, juntamente com um ataque separado contra uma versão reduzida do AES. A equipe do HAWK então retirou seu algoritmo da competição de assinaturas pós-quânticas do National Institute of Standards and Technology. Nenhum padrão pós-quântico finalizado pelo NIST foi afetado.
O episódio cria um problema de segurança mais difícil do que a manchete sugere. A criptografia pós-quântica, ou PQC, protege sistemas contra futuros ataques quânticos. Ela não protege um novo algoritmo contra vulnerabilidades matemáticas ainda não descobertas, análises automatizadas mais rápidas ou capacidade inadequada de revisão humana.
Isso deixa criptógrafos, órgãos de padronização, fornecedores de software e compradores empresariais diante de um descompasso. A IA agora pode explorar alguns espaços técnicos de ataque com maior rapidez, enquanto a validação e a remediação ainda dependem de especialistas humanos escassos.
O ataque Claude Mythos HAWK mudou uma competição de padronização
Claude Mythos não rompeu um padrão de segurança implantado, mas mudou qual candidato poderia se tornar um de forma crível.
O HAWK era uma proposta de assinatura digital no processo Additional Digital Signatures do NIST. Assinaturas digitais permitem que sistemas verifiquem quem assinou uma mensagem e se alguém a alterou. O HAWK foi projetado para resistir a ataques de computadores clássicos e de futuros computadores quânticos.
O esquema dependia da suposta dificuldade de um problema de reticulados. Um reticulado é uma disposição matemática de pontos cuja estrutura pode sustentar construções criptográficas. As assinaturas compactas e as características de desempenho do HAWK faziam dele um candidato atraente para avaliação adicional.
A Anthropic afirma que um pesquisador utilizou Claude Mythos Preview em uma estrutura de pesquisa baseada em agentes. O sistema revisou literatura, raciocinou sobre estruturas matemáticas, executou experimentos e trocou descobertas com o pesquisador.
O processo encontrou um automorfismo não trivial, uma simetria que preserva uma estrutura matemática. Trabalhos anteriores haviam mostrado que encontrar tal simetria poderia viabilizar um ataque. A questão não resolvida era se existia uma versão explorável dentro da construção específica do HAWK.
Segundo a divulgação de pesquisa da Anthropic, o processo assistido pelo modelo encontrou essa conexão ausente. Ele permitiu um método mais rápido de recuperação de chave baseado na busca em um espaço efetivo menor.
Para os parâmetros do desafio HAWK-256 de pequeno porte, a Anthropic relatou que o custo esperado do ataque caiu de 2^64 operações para 2^38. Essa redução é enorme, embora os parâmetros do desafio não fossem destinados à implantação.
O resultado também afetou conjuntos de parâmetros maiores do HAWK. A Anthropic concluiu que manter o nível de segurança esperado exigiria chaves substancialmente maiores. Essa mudança eliminaria vantagens importantes de eficiência que sustentavam a candidatura do HAWK.
Os projetistas do HAWK posteriormente retiraram a proposta do processo do NIST. A retirada impediu que um candidato enfraquecido avançasse rumo à padronização ou à implantação.
Esse resultado é evidência de que a revisão funcionou antes da adoção. A competição pública do NIST expõe deliberadamente propostas à análise adversarial. Espera-se que os candidatos falhem quando pesquisadores descobrem vulnerabilidades.
Ainda assim, a velocidade e a origem dessa descoberta importam. O HAWK havia sobrevivido a ampla atenção especializada antes de um fluxo de trabalho assistido por IA encontrar uma via decisiva em aproximadamente 60 horas.
A Anthropic estimou que desenvolver e validar o ataque exigiu cerca de US$ 100.000 em uso de modelos. Isso é caro para um pesquisador individual. É modesto em comparação com o valor potencial de quebrar criptografia amplamente confiada.
Portanto, o evento muda mais do que uma lista de candidatos. Ele altera as expectativas sobre quanta exploração criptoanalítica um laboratório bem financiado pode realizar em pouco tempo.
Por que a criptografia pós-quântica não pode fechar essa lacuna de segurança
A PQC aborda as capacidades do computador do atacante, enquanto o episódio do HAWK diz respeito a vulnerabilidades no projeto matemático do defensor.
Algoritmos pós-quânticos são construídos com base em problemas que se acredita resistirem tanto à computação clássica quanto à quântica. Eles substituem sistemas vulneráveis de chave pública, como RSA e criptografia de curva elíptica, em funções selecionadas.
Essa proteção tem um limite definido. Uma premissa resistente a computadores quânticos não pode compensar um atalho negligenciado, uma simetria estrutural, um erro de implementação, uma chave roubada, um endpoint comprometido ou uma integração defeituosa de protocolo.
Claude Mythos atacou a primeira categoria. Ele não utilizou um computador quântico nem simulou um ataque quântico prático. Encontrou uma rota clássica mais eficiente pela estrutura matemática do HAWK.
Essa distinção explica por que o resultado não enfraquece o argumento mais amplo em favor da migração para PQC. Os atuais sistemas de chave pública ainda precisam de substitutos antes da chegada de computadores quânticos criptograficamente relevantes.
O NIST finalizou seus três primeiros padrões principais de PQC em 2024. Eles incluem ML-KEM para estabelecer segredos compartilhados e ML-DSA e SLH-DSA para assinaturas digitais. O NIST afirma que a descoberta relacionada ao HAWK não afeta esses padrões finalizados.
As organizações podem confirmar esse limite na página de padrões PQC do NIST. ML-KEM e ML-DSA usam construções diferentes do mecanismo específico do HAWK visado pelo ataque.
A lição não é que a criptografia resistente a computadores quânticos falhou. É que “resistente a computadores quânticos” descreve resistência a uma ameaça computacional específica, e não imunidade contra toda forma de criptoanálise.
A mesma distinção se aplica a sistemas implantados. Uma organização pode concluir uma migração para PQC enquanto deixa chaves privadas expostas por meio de controles de acesso fracos. Ela pode proteger o tráfego de rede enquanto um agente de IA vaza dados por uma ferramenta autorizada.
Um algoritmo de assinatura válido também não consegue determinar se a instrução assinada é maliciosa. Ele verifica autenticidade e integridade, não se um sistema confiável tomou uma decisão segura.
Portanto, a PQC representa uma camada de segurança. Ela precisa de gerenciamento de chaves, implementações seguras, atualizações autenticadas, controles de acesso, monitoramento e substituição rápida de algoritmos ao seu redor.
A criptoagilidade torna-se especialmente importante nessas condições. Criptoagilidade significa projetar sistemas para que as equipes possam substituir algoritmos e chaves sem reconstruir a aplicação ao redor.
Essa capacidade sempre foi útil. A criptoanálise assistida por IA torna-a operacionalmente urgente porque o intervalo entre a descoberta e o conhecimento disseminado pode encolher.
As empresas também precisam de um inventário criptográfico preciso. As equipes devem saber onde um algoritmo aparece, quais fornecedores o controlam, quais dados ele protege e com que rapidez podem substituí-lo.
Uma migração que instala um novo algoritmo em toda parte pode criar outro risco de concentração. Se esse algoritmo posteriormente desenvolver uma vulnerabilidade, todos os sistemas dependentes entram juntos na fila de remediação.
Projetos híbridos podem reduzir essa exposição durante a transição. Eles combinam componentes clássicos e pós-quânticos para que uma camada permaneça disponível se a outra enfrentar um problema inesperado.
A criptografia híbrida não é uma garantia permanente. Ela acrescenta complexidade, mensagens maiores, exigências de interoperabilidade e mais oportunidades para erros de integração. Ainda assim, pode fornecer diversidade útil enquanto algoritmos mais novos acumulam escrutínio.
O ataque Claude Mythos HAWK reforça que a segurança depende de componentes substituíveis e controles em camadas. Ele não apoia o congelamento da implantação de PQC até que toda incerteza matemática desapareça.
Esperar preservaria a exposição a riscos quânticos conhecidos. Avançar sem planos de substituição criaria uma forma diferente de fragilidade. As equipes de segurança precisam administrar ambas as pressões ao mesmo tempo.
A IA está comprimindo o cronograma da criptoanálise
A mudança mais consequente não é que a IA encontrou um ataque, mas que ela pode buscar repetidamente vulnerabilidades em escala de máquina.
A criptoanálise tradicional combina especialização profunda, intuição, revisão de literatura, experimentos e verificação meticulosa. O progresso pode levar meses ou anos, com muitos caminhos improdutivos entre ideias úteis.
O fluxo de trabalho da Anthropic automatizou partes desse ciclo. Claude Mythos pesquisou artigos, propôs conexões, escreveu código experimental, examinou resultados e revisou sua abordagem com orientação humana limitada.
O trabalho sobre o HAWK não foi totalmente autônomo. Um pesquisador forneceu orientação e ajudou a determinar se o resultado emergente era significativo. Especialistas humanos e os projetistas afetados também participaram antes da divulgação.
Ainda assim, a divisão do trabalho importa. A IA pode criar mais argumentos e experimentos candidatos do que uma pessoa conseguiria explorar manualmente no mesmo período. Os humanos podem então se concentrar na validação e nas consequências.
O segundo resultado relatado pela Anthropic ilustra esse potencial de escala. Uma estrutura separada permitiu que Claude Mythos desenvolvesse autonomamente um ataque mais rápido contra AES-128 de sete rodadas.
O AES-128 normalmente utiliza dez rodadas de transformação. Pesquisadores examinam variantes de rodadas reduzidas para entender a margem de segurança em torno do algoritmo completo. Quebrar sete rodadas não significa que atacantes possam quebrar o AES-128 de produção.
A Anthropic relatou uma melhoria de 200 a 800 vezes em relação a ataques anteriores contra essa versão reduzida. A empresa também afirmou que o ataque continuaria impraticavelmente caro e não ameaçaria o AES completo.
Essas ressalvas são essenciais. Sem elas, um resultado de pesquisa restrito se transforma na falsa alegação de que a IA quebrou a criptografia que protege sistemas modernos.
O valor está no processo de pesquisa. HAWK e AES de rodadas reduzidas envolvem estruturas criptográficas diferentes, mas a mesma classe de sistema de IA contribuiu para ambas as análises.
A Anthropic e pesquisadores acadêmicos introduziram desde então o CryptanalysisBench, uma coleção de 191 tarefas em seis famílias criptográficas. Os agentes devem explorar implementações reais e satisfazer testes formais de segurança.
Os resultados iniciais do benchmark mostram que modelos de ponta conseguem reproduzir muitos ataques conhecidos contra esquemas deliberadamente vulneráveis. Pesquisadores também relataram descobertas inéditas envolvendo outros projetos criptográficos experimentais.
Um benchmark não mede todas as habilidades necessárias para criptoanálise aberta. Suas tarefas têm ambientes definidos, implementações acessíveis e condições mensuráveis de sucesso.
A pesquisa real começa com maior ambiguidade. Um modelo precisa decidir quais premissas importam, identificar literatura útil, evitar provas inválidas e distinguir uma vulnerabilidade genuína de ruído experimental.
O caso HAWK é notável porque atravessou parte dessa lacuna. O sistema fez mais do que redescobrir uma resposta escondida em um exercício de treinamento. A Anthropic afirma que ele desenvolveu um ataque antes desconhecido e forneceu código de demonstração funcional.
O escrutínio independente continua necessário. A Anthropic desenvolveu o modelo, conduziu o projeto e publicou as principais alegações de desempenho. Isso cria incentivos para enfatizar o sucesso e minimizar sessões malsucedidas.
A empresa reconhece que muitas sessões não produziram nenhuma descoberta nova. Ela também relata uma verificação humana substancial, o que dificulta alegações simples de que o modelo resolveu todo o problema de forma independente.
Uma avaliação independente destacou tanto a importância do resultado quanto a incerteza em torno da narrativa de marketing mais ampla da Anthropic. Esse é o equilíbrio correto.
O ataque pode ser tecnicamente significativo sem provar que a IA se tornou uma criptoanalista mestra autônoma. Um único resultado bem-sucedido não revela a taxa de falhas do sistema em problemas de pesquisa inéditos.
Ainda assim, os atacantes não precisam de genialidade confiável em todas as tentativas. Eles podem executar buscas paralelas, manter os caminhos bem-sucedidos e descartar milhares de falhas.
Essa assimetria pressiona os defensores. Um órgão de padronização precisa examinar cuidadosamente cada resultado crível. Um atacante precisa de apenas um caminho que funcione.
O Verdadeiro Gargalo É a Verificação Humana
Uma descoberta mais rápida só se torna um benefício de segurança quando os defensores conseguem verificar, priorizar e corrigir as descobertas com rapidez suficiente.
A pesquisa de vulnerabilidades com IA produz um problema conhecido de escala. Gerar um relatório plausível é mais barato do que confirmar sua correção, medir seu impacto, coordenar a divulgação e lançar uma correção segura.
A criptografia intensifica esse problema porque pequenos erros matemáticos podem invalidar um ataque inteiro. Uma explicação convincente do modelo não pode substituir uma prova, código reproduzível ou revisão especializada.
Falsos positivos consomem atenção escassa. Se laboratórios gerarem milhares de fragilidades especulativas, equipes de manutenção e de padrões precisarão separar descobertas genuínas de erros apresentados com confiança.
Verdadeiros positivos criam outra carga. Cada um pode exigir análise independente, comunicação com os projetistas, novos parâmetros, implementações atualizadas, testes de interoperabilidade e orientações de conformidade revisadas.
A resposta ao HAWK ocorreu em condições favoráveis. O algoritmo permanecia em um processo aberto de padronização, e nenhum sistema de produção dependia dele.
Seus projetistas puderam retirar o candidato sem obrigar organizações a rotacionar chaves ou substituir certificados. Isso não será verdade quando a IA encontrar fragilidades em software ou protocolos amplamente implantados.
A criptografia de produção possui longas cadeias de dependência. Sistemas operacionais, navegadores, plataformas de nuvem, módulos de hardware, dispositivos embarcados, serviços de identidade e bibliotecas de terceiros podem compartilhar a mesma primitiva.
Uma substituição matematicamente sólida ainda pode levar anos para alcançar todos os endpoints. Dispositivos sem suporte e dependências codificadas de forma fixa podem manter componentes vulneráveis em operação depois que os fornecedores publicarem correções.
A IA pode tornar essa lacuna de remediação visível com mais frequência. Ela também pode ampliá-la se usuários ofensivos obtiverem as mesmas capacidades antes que os defensores criem capacidade adequada de triagem.
A Anthropic descreve o projeto HAWK como pesquisa responsável. A empresa afirma que compartilhou o ataque com os autores do HAWK em junho e coordenou a publicação por meio dos canais do NIST.
Esse processo reduziu o risco imediato porque o HAWK não estava implantado. Resultados futuros podem envolver sistemas que não podem receber correções seguras dentro de uma janela curta de divulgação.
A política de acesso passa então a fazer parte da arquitetura de segurança. Laboratórios precisam decidir quem pode usar capacidades cibernéticas avançadas, quais atividades exigem monitoramento e quando um resultado precisa de revisão obrigatória.
Restringir um único modelo não resolverá a questão. As capacidades se difundem por novos modelos, pesquisa aberta, sistemas destilados e frameworks especializados de agentes.
A defesa mais duradoura é ampliar a capacidade de verificação. Órgãos de padronização precisam de submissões reproduzíveis, ambientes automatizados de teste, revisores independentes e requisitos claros de evidência.
Fornecedores precisam de sistemas capazes de receber relatórios gerados por máquinas sem sobrecarregar equipes humanas de resposta. Os relatórios devem incluir código, configurações afetadas, pressupostos do ataque e medições reproduzíveis de impacto.
A IA pode ajudar no lado defensivo dessa fila. Sistemas separados podem reproduzir experimentos, comparar correções, inspecionar dependências e agrupar descobertas duplicadas.
No entanto, usar o mesmo modelo para propor e aprovar um resultado cria um conflito óbvio. A verificação independente deve envolver ferramentas diferentes, prompts separados e julgamento humano qualificado.
As equipes de segurança também devem resistir a tratar todo avanço matemático como emergência. O ataque ao HAWK alterou a estimativa de segurança de um candidato, mas parâmetros maiores continuaram impraticáveis de atacar.
Da mesma forma, o resultado sobre AES com número reduzido de rodadas não justifica rotacionar chaves AES de produção. Uma reação excessiva desperdiçaria recursos e enfraqueceria a confiança em futuras divulgações.
A resposta correta depende das evidências, do status de implantação, do custo do ataque e das premissas de segurança afetadas. Esses fatores devem permanecer explícitos em todo relatório gerado por IA.
O Que os Líderes de Segurança Devem Observar em Seguida
Três sinais mostrarão se o ataque Claude Mythos HAWK foi um sucesso isolado ou o início de uma mudança duradoura na pesquisa de segurança.
O primeiro sinal é a reprodução independente. Pesquisadores fora da Anthropic precisam validar a técnica HAWK, suas estimativas de complexidade e seu impacto entre diferentes escolhas de parâmetros.
Código funcional de demonstração aumenta a confiança porque os pesquisadores podem observar uma chave de desafio recuperada. Ele não valida automaticamente toda extrapolação para instâncias maiores.
Criptógrafos independentes também devem testar se construções relacionadas contêm simetrias comparáveis. Um padrão mais amplo aumentaria a pressão sobre outros projetos baseados em reticulados, enquanto um resultado específico do HAWK restringiria o impacto.
A forma como o NIST conduzirá a retirada fornece o segundo sinal. Seu processo adicional de assinaturas existe, em parte, para selecionar algoritmos com diferentes propriedades de desempenho e segurança.
A questão relevante é se a revisão assistida por IA se tornará uma parte padrão da avaliação de candidatos. O NIST já expõe propostas ao escrutínio público por meio de seu projeto de assinaturas.
Requisitos formais de avaliação por IA fortaleceriam o argumento de que os processos de padronização estão se adaptando. A experimentação informal, por si só, deixaria a cobertura dependente de laboratórios individuais e de acesso desigual a modelos caros.
O terceiro sinal é o desempenho em problemas criptoanalíticos inéditos. Benchmarks públicos se tornam menos úteis quando modelos ou desenvolvedores podem otimizar diretamente para suas tarefas conhecidas.
Os pesquisadores precisam de testes controlados que preservem problemas ocultos, documentem tentativas malsucedidas e separem a produção do modelo das contribuições humanas. Custo e tempo decorrido devem ser relatados juntamente com o sucesso.
Resultados inéditos repetidos em algoritmos não relacionados sustentariam a alegação mais ampla da Anthropic. A incapacidade de reproduzir esses ganhos sugeriria que o HAWK correspondia a uma estrutura de problema favorável.
Os líderes de segurança não devem esperar que esse debate seja resolvido antes de agir. Eles podem mapear dependências criptográficas, exigir caminhos de substituição em aquisições e testar a rapidez com que serviços críticos podem rotacionar algoritmos.
Também devem separar a preparação para a computação quântica da segurança geral de IA. A PQC protege dados e autenticação contra uma capacidade computacional futura específica. Ela não regula o que um agente de IA autorizado faz com informações descriptografadas.
Uma organização segura precisa dos dois programas. Um reduz a exposição à descriptografia quântica. O outro gerencia acesso a modelos, permissões de ferramentas, fluxo de dados, monitoramento e autorização humana.
Portanto, a decisão de curto prazo não é escolher entre PQC ou defesas de IA. É saber se as operações de segurança existentes conseguem absorver descobertas mais rápidas enquanto concluem uma difícil migração criptográfica.
Faça uma pergunta prática na próxima revisão de arquitetura: se um sistema de IA invalidasse amanhã um algoritmo confiável, sua equipe conseguiria localizar cada dependência e substituí-la com segurança?
O ataque Claude Mythos HAWK sugere que os ciclos de descoberta estão ficando mais curtos. As organizações agora precisam de ciclos de substituição, verificação e governança capazes de acompanhar esse ritmo.
