Anthropic Claude 发现了密码学弱点，但并未攻破现代加密

尽管相关目标已历经多年人工审查，Anthropic Claude 仍发现了两种新的密码攻击。一种削弱了实验性后量子签名方案 HAWK，另一种则改进了针对 AES 特意降轮版本的攻击；AES 是用于保护数字信息的标准。

这一进展很重要，但也很容易被表述失真。Anthropic 表示，Claude Mythos Preview 产出了有实质意义的数学研究，而不只是软件漏洞报告。然而，这两项成果均未危及当前网站、银行、消息服务或设备所使用的加密保护。

这一差别划清了可信的研究里程碑与加密恐慌之间的界线。Anthropic Claude 挑战了专家密码分析在速度与规模上的传统边界，同时并未触及生产系统。真正承受压力的是未来标准所依赖的人工审查流程，而非如今使用加密服务的人们。

Anthropic Claude 实际发现了什么

这项研究改变了 AI 能为密码分析作出的贡献，同时并未影响已部署的加密。

Anthropic 于 2026 年 7 月 28 日发布了其密码学研究。该公司介绍了由 Claude Mythos Preview 开发的两种攻击；这是一款受限模型，专为高级网络安全与科学研究工作设计。

第一种攻击针对 HAWK，这是一种实验性数字签名方案。数字签名让接收者能够验证身份，或确认数据未被篡改。HAWK 面向这样一个未来而设计：届时能力足够强的量子计算机可能威胁到广泛使用的签名系统。

HAWK 仍在美国国家标准与技术研究院针对额外签名方案的评审流程中。它并非已获批准、部署于生产系统的标准。公开评估的存在，正是为了在采纳前发现弱点。

Anthropic 表示，HAWK 此前已经历了两轮、历时两年的专家审查。在一个智能体研究环境中，Claude Mythos Preview 约在 60 小时内发现了一种此前未被利用的数学对称性。

这种对称性带来了一种更快的密钥恢复方法。密钥恢复是指重构冒充签名者所需的秘密信息。Anthropic 表示，这一结果实际上将 HAWK 的密钥强度减半。

较小的 HAWK-256 参数体现了这一变化的幅度。研究人员此前估计，完整密钥恢复约需要 2^64 个工作单位。Anthropic 报告称，Claude 的方法将这一估计降至 2^38。

这一降幅对于小参数而言很严重，但并未形成通用捷径。该攻击仍是指数级的，这意味着随着密钥长度增加，所需工作量依然会迅速增长。针对更大 HAWK 参数的攻击仍不具备可行性。

这一弱点也仅限于 HAWK。Anthropic 表示，它无法迁移到其他后量子签名候选方案，也不会使基于格的密码学作为更广泛领域失效。

第二项发现涉及七轮 AES-128。AES，即高级加密标准，是一种对称密码，使用同一把秘密密钥来加密和解密信息。NIST 于 2001 年将AES 规范标准化。

生产环境中的 AES-128 使用十轮变换，反复处理数据，以隐藏输入、输出与密钥之间的关系。密码学家经常研究降轮版本，因为它们提供了一种受控方式，用于衡量每一轮增加了多少安全性。

Claude Mythos Preview 改进了一种已知的、针对七轮 AES 的中间相遇攻击。这种方法会存储中间计算结果，然后搜索从密码两端方向生成的匹配值。

该模型提出了一种名为 Möbius Bridge 的指纹技术。Anthropic 表示，这项技术从攻击中消除了一个猜测步骤，使其比此前方法快 200 到 800 倍。

若忽略关键限制，这听起来会令人不安。该攻击假设能够获取 2^105 个选择明文，也就是说，攻击者可以反复要求使用未知密钥对指定数据进行加密。这一要求使攻击完全不具备现实可行性。

它针对的也是七轮，而不是 AES-128 使用的十轮。Claude 并未攻破完整 AES、削弱生产实现，或暴露加密的客户数据。

因此，这条消息的范围有限，但意义重要。一款模型针对两个经过谨慎挑选的研究目标，开发出了可发表的攻击。它并未为现代互联网生成一把万能钥匙。

为什么 Claude 的密码学研究会给人工审查带来压力

Claude 的主要优势并非某种神奇捷径，而是能够在文献、数学、代码与失败思路之间持续开展广泛搜索。

针对 HAWK 的成果，Anthropic 将 Mythos Preview 置于一个沙箱化的多智能体框架中。框架结合了提示词、工具、代码与运行环境，帮助 AI 系统追求更大的目标。

该模型能够审阅已发表研究、进行数学推理、运行计算实验，并在工作智能体之间进行通信。人类操作员具备理论计算机科学经验，但并非格密码学专家。

Anthropic 称，人类指导主要聚焦于项目管理。操作员提出了追踪思路的方法，并确定了用于验证的库。Claude 的工作智能体则开发并测试了底层攻击。

一次互动展示了这一过程为何不同于单次聊天机器人回答。两名工作智能体研究了最终促成攻击的对称性。一名过早否定了该思路，另一名则找到了利用它的方法。

这些智能体交换各自结论，直到双方都接受结果。这种模式类似于研究团队开展内部审查，尽管每位参与者均来自同一底层模型家族。

AES 实验所需的直接指导较少。一名研究人员搭建了脚手架，使模型能够提出假设、测试假设、舍弃失败方案，并寻找相对于已发表密码分析的改进。

Claude 起初抗拒这项任务。它反复认为目标已被研究得过于彻底，几乎没有容易突破的空间。研究人员则通过强化对新颖成果的要求予以回应。

随后，该模型在数日内生成了数亿个 token。在输出达到十亿个 token 后，Anthropic 表示，它已开发并完善了配套论文所描述的攻击。

单纯的持续运行并不足以解释这一成果。自动化暴力破解系统可以在不了解结构的情况下搜索巨大空间。Claude 则连接研究文献、提出变换方法、编写实验代码、评估异议，并为后续智能体保留有用结论。

Claude 的密码学研究正是在这里给传统实践带来压力。专家审查通常依赖少数专业人士，而他们还需在教学、实现、标准化工作与同行评审之间分配时间。

AI 研究流程可以并行测试大量推测性分支。大多数分支即使失败，也不会额外消耗人类注意力。人类随后介入，验证少数存留下来的结果。

这造成了一种新的不对称性。产出候选结果的速度快于验证其原创性与正确性的速度。Anthropic 表示，AES 思路在一周内出现，而两名研究人员花了近一个月才对其建立信心。

瓶颈已从创意生成转移到验证。密码学家必须确认数学推导、与既有工作进行比较、检查假设、复现计算，并判断结果是否影响真实系统。

这一差距至关重要，因为密码学要求极高的置信度。看似合理的证明或成功的实验，仍可能隐藏无效假设。安全性估计中的一个微小错误，就可能改变一项攻击究竟只是学术问题还是可实际操作的问题。

团队将需要更完整地记录 AI 生成结果的形成过程。可复现代码、来源追踪、实验日志与被否决的假设，都会成为必不可少的研究产物。

这一需求同样适用于密码学之外。工程团队已经难以保留复杂技术决策背后的推理过程。一个可搜索的工程知识库可以将模型输出与论文、测试、评审及最终决策关联起来。

这种压力既是组织层面的，也是数学层面的。研究机构必须决定由谁验证机器生成的主张、评审者如何获得认可，以及敏感发现何时应保持私密。

核心权衡是研究速度与验证之间的取舍

Anthropic Claude 可以加速密码学发现，但每一次加速都会增加证明结果真实、新颖且可安全披露的负担。

HAWK 的成果提供了最清晰的案例，因为研究人员可以从头到尾实现该攻击。他们可以生成密钥、运行方法，并验证恢复出的值是否正确。

AES 的成果则需要更多解释性工作。完整攻击的执行成本过高，因此验证依赖于检查每个组件，并确认整体复杂度分析。

Anthropic 表示，人类研究人员花费了数百小时评估 Claude 对 AES 的主张。他们需要学习足够多的专业密码学知识，才能评估模型的方法并准备论文。

这并不表明该发现是错误的。它说明先进 AI 研究并未消除对专业知识的需求，而是改变了专业知识进入工作流程的时机。

人类不再需要引导每一步探索，而可以审查经筛选的输出。这种安排能够扩大探索规模，但验证未必能以同样速度扩展。

模型可以生成许多表面上内部一致、措辞完善的论证。评审者必须判断每一项论证是否依赖正确假设、是否引用了真正的最新研究状态，以及能否经受复现尝试。

密码学的新颖性又增加了一层困难。一项结果在数学上可以正确，却未必是新的。研究人员必须检索庞大的技术文献，包括使用不同术语或攻击模型的论文。

Anthropic 与 ETH Zurich、Tel Aviv University 和 TU Berlin 的学者合作开发了 CryptanalysisBench，这是一个旨在衡量语言模型密码分析能力的基准。基准可以建立通用比较，但无法取代专家审查。

模型可能通过记忆可识别模式，或利用评估中的弱点来提升基准成绩。研究人员需要私有问题、污染检查，以及要求可验证中间步骤的任务。

这两种攻击所需的自主性水平也非常不同。HAWK 项目在协作式智能体环境中需要偶尔的人类引导。AES 项目则在研究人员推动 Claude 固定目标后，几乎自主运行。

若不加限定地将两项结果都称为“自主完成”，就会抹去这一差异。更准确的说法是：Claude 完成了大部分技术搜索，而人类负责选择目标、维护环境、质疑过早得出的结论，并验证输出结果。

与手工撰写每一份证明相比，这些贡献有限，但仍然至关重要。该系统需要人类来界定研究问题，并否定它最初坚持的“无法取得有意义进展”的判断。

这种互动使“AI 已独立成为顶尖密码学家”的说法变得更复杂。Anthropic 展示的是一个能够在特定条件下产出专家级成果的系统，而非一个可以在无人监督下可靠选择有价值问题、验证每一个答案的通用研究者。

资源需求也限制了其可及性。Anthropic 报告称，研究使用了大量推理资源、多智能体编排、专业工具，以及长时间的人类验证。这并不是普通用户可获得的常规 Claude 会话。

前沿实验室实验与可重复的研究服务之间，仍存在巨大差距。学术团队需要获得模型、安全算力、可复现的脚手架，以及充足的审查能力，才能独立测试这一工作流程。

这种验证缺口构成了核心权衡。AI 可以扩展可能发现的前沿，也可能让该领域充斥着评估所需时间长于生成所需时间的主张。

密码学对这种失效模式有一种有用的防御机制。攻击通常可以表述为具有可衡量要求的精确算法。独立研究人员可以复现它们、质疑其假设，并修订安全性估计。

其他科学领域可能缺乏如此清晰的验证条件。因此，Claude 的密码学工作既是一项研究成果，也是机器生成发现的一个异常有利的测试环境。

Anthropic Claude 的结果并未攻破什么

两项攻击均未危及生产环境中的加密；将这些发现视为迫在眉睫的网络安全紧急事件，误解了两项结果。

HAWK 是一种候选签名方案，并非网上银行或通信服务已部署的基础设施。其审查流程的存在，正是为了在标准化之前发现弱点。

后期失败并非前所未有。后量子竞赛有意让提案经历数年的对抗性分析。候选方案可以被修改、分配更强的参数，或被淘汰。

SIKE 提供了一个有用的历史对照。这一后量子候选方案经过多年研究后，研究人员才发现一种可在普通笔记本电脑上高效实施的攻击。正如 Quanta reported 所报道的，这次攻破证明了在部署前必须持续进行公开评估的原因。

Claude 对 HAWK 的结果属于这一传统。不同寻常之处在于研究者，而不是密码学弱点在后期被发现这件事本身。

这项攻击确实降低了 HAWK 的吸引力。Anthropic 表示，要恢复预期的安全性，需要将密钥长度加倍。更大的密钥会增加存储、传输和计算开销，削弱该提案原本突出的效率优势。

NIST 和 HAWK 的设计者必须评估修订后的安全余量。他们可以调整参数或重新考虑该候选方案，而无需替换任何现有已部署系统。

AES 方面的发现对实际运营的直接影响更小。完整的 AES-128 使用十轮，而 Claude 研究的是七轮。攻击更少的轮数是标准研究方法，并不意味着完整密码即将失效。

所需的选择明文数量也使该攻击远超现实可行的执行范围。即使是这一降轮方法，也需要难以置信的大量数据和计算资源。

Anthropic 指出，实现该攻击需要极其庞大的资源。更重要的是，即便实现成功，也无法解密受常规十轮 AES-128 保护的流量。

不过，这一发现仍可作为 AI 能力的证据而具有意义。AES 已经历数十年的密集分析。改进针对降轮版本的已知攻击，表明 Claude 能够在成熟的技术文献体系中作出贡献。

这一结论应当比 Anthropic 最宽泛的表述更为克制。两项研究结果并不能证明模型会可靠地发现每一种重要密码算法中的弱点。

选择效应同样重要。该公司在经历大量模型会话后，公开了其中最强的已完成攻击。其研究页面承认，许多会话并未产生任何发现。

仅凭已发布案例，读者无法估计该系统的成功率。他们还需要知道尝试攻击的目标数量、每次尝试使用的算力、失败类别，以及独立复现情况。

这项研究也来自 Anthropic——该公司开发了模型，并会从展示其科学能力中受益。随附的论文和代码提升了透明度，但外部审查仍然必不可少。

这种审查应当区分三个问题：数学是否正确？攻击是否真正具有新颖性？它是否改变实际的安全决策？

HAWK 的发现看来与参数选择和标准化相关。对降轮 AES 的改进推进了密码分析研究，但不需要采取运营层面的补救措施。

组织不应因为这项公告而轮换 AES 密钥、放弃加密服务，或仓促进行紧急迁移。安全团队应继续根据标准和系统生命周期推进既有的后量子规划。

Claude 对网络安全的即时影响将落在研究工作流程和披露政策上。实验室必须为这样的模型做好准备：它们可能在维护者、供应商或政府尚未知道如何应对之前，就识别出敏感结果。

Anthropic 表示，在发布前已与算法作者、政府代表、行业合作伙伴及相关学者分享这些发现。它还通过 NIST 流程协调披露了针对 HAWK 的攻击。

当目标尚未部署或被有意弱化时，这种做法行得通。未来若有结果影响生产环境中的密码算法，将在验证、补救时间、访问控制和公开披露方面带来更艰难的选择。

三个信号将表明这是否会成为一种新的研究模式

下一项检验在于：独立密码学家能否复现这项工作，标准机构是否会采取行动，以及后续模型能否发现具有实际影响的弱点。

第一个信号是独立的技术验证。研究人员必须复现 HAWK 攻击、审查证明，并在相关参数集上验证修订后的安全性估计。

成功复现将加强 Anthropic 关于 Claude 产出了真正研究进展的主张。即使核心洞见得以保留，实质性修正也会削弱关于模型可靠性的说法。

AES 论文也需要类似的审查。专家应测试 Möbius Bridge 构造，确认其声称的不变性，并重新计算攻击的时间和内存成本。

这一结果不必威胁完整 AES 才具有价值。但它确实需要在相同假设下优于先前工作。

第二个信号是 HAWK 团队或 NIST 的正式回应。参数调整、修订后的提交方案，或对该候选方案信心的下降，都将表明 Claude 的发现改变了一个仍在进行的标准制定流程。

若决定保留 HAWK 并进行有记录的调整，并不会否定这一结果。相反，这表明公开审查体系按预期吸收了这一发现。

第三个信号是在其他算法和研究团队中的复现。Anthropic 已描述了针对 LEA 和 Serpent-128 降轮版本的初步攻击，以及涉及其他原语的一些较小改进。

这些主张需要完整论文和独立测试。来自无关联研究人员的重复结果，将证明该方法超越了单一实验室的模型、工具和评估选择。

实际影响代表着一个高得多的门槛。研究人员应关注 AI 是否会在完全已部署的算法、常用参数集，或供应商必须紧急修补的实现中发现弱点。

这种结果将强化这样一种观点：Claude 对网络安全的影响超出了加速学术审查的范围。若持续发现仅限于候选方案和降轮密码，则会支持一个更狭窄的结论。

披露能力将与模型性能同样重要。一个系统若产生的有效发现多于专家能够审查的数量，造成的将是安全积压，而非即时保护。

研究机构可能需要专门的验证团队、安全的模型环境，以及针对高影响力密码学发现的共享规则。政府和标准机构也需要能够处理机器生成提交内容的保密渠道。

当前最有用的回应既不是轻视，也不是恐慌。开发者应理解这些攻击针对的对象。安全负责人应遵循经过验证的标准，而不是社交媒体上的解读。

研究人员应审查已发布的方法，并测试该工作流程能否迁移到其他难题。任何评估 anthropic claude 的人，都应关注可复现性、人类审查要求，以及学术攻击与实际运营威胁之间的距离。

未来几个月的问题很具体：独立专家能否比 Claude 生成下一批结果更快地复现这些结果？答案将决定 AI 是成为可靠的密码学协作者，还是成为一个异常高产、等待人类判断的主张来源。