Anthropic afirma que
Claude Mythos Preview
ayudó a desarrollar un ataque de recuperación de claves de extremo a extremo
contra HAWK-256 y a acelerar el ataque contra AES-128 de siete rondas entre
200 y 800 veces.
Anthropic publicó los hallazgos
junto con dos artículos técnicos y pruebas de reproducibilidad. La empresa
indicó que Mythos Preview llevó a cabo la investigación en gran medida por sí
misma, con la colaboración de personas que proporcionaron la dirección del
proyecto, los recursos informáticos y una verificación exhaustiva.
El resultado práctico es más limitado de lo que podrían sugerir los nombres
de los documentos publicados. La recuperación completa de HAWK apunta a HAWK-256, un parámetro de
desafío en lugar de cualquiera de los conjuntos de parámetros de nivel de
seguridad del NIST. Para el ataque AES-128 de siete rondas, Anthropic proyecta
el costo total del ataque a partir de mediciones de componentes, y el ataque
sigue siendo inviable a escala real.
El ataque a HAWK explota una simetría previamente no utilizada en la red
subyacente al esquema de firma. La implementación publicada por Anthropic
ofrece un tiempo de ejecución estimado de extremo a extremo de aproximadamente
tres horas y 42 minutos en un servidor de 96 núcleos. El resultado para AES
elimina un paso de adivinación de 256 vías de un ataque de encuentro en el
medio existente.
Anthropic indicó que ninguno de los resultados afecta a los sistemas de
producción. HAWK sigue siendo candidato en el proceso de estandarización
post-cuántica del Instituto Nacional de Estándares y Tecnología (NIST), y el
código de recuperación público solo se dirige al parámetro más pequeño de
HAWK-256.
El resultado de AES se aplica a siete de las diez rondas de AES-128 y aún
requiere una cantidad poco práctica de textos planos seleccionados.
La empresa afirmó que, como resultado, no es necesario modificar el
software de producción.
Ataque a una simetría oculta en la red de HAWK
El primer resultado es un ataque mejorado contra un esquema de firma digital
llamado HAWK. En 2022, el Instituto Nacional de Estándares y Tecnología (NIST)
del gobierno estadounidense lanzó una convocatoria para sistemas
criptográficos adicionales que se mantuvieran seguros incluso frente a
computadoras cuánticas (que, de desarrollarse, podrían vulnerar la mayoría de
los esquemas de firma existentes en uso actualmente).
HAWK es el único esquema basado en redes entre los
nueve candidatos que el NIST
avanzó a la tercera ronda de su proceso adicional de firma digital
postcuántica en mayo de 2026. Sus conjuntos de parámetros de nivel de
seguridad del NIST son HAWK-512 y HAWK-1024;
HAWK-256 es un parámetro de desafío
proporcionado como objetivo criptoanalítico.
La recuperación directa de la clave HAWK es un ejemplo del Problema de
Isomorfismo de Red (smLIP) del módulo de búsqueda. Un atacante debe recuperar
una transformación oculta entre dos retículos.
Un
artículo de Daniël van Gent y Ludo Pulles demostró
que un automorfismo no trivial, una simetría que preserva el retículo,
reduciría la recuperación de la clave HAWK a encontrar un vector corto en un
retículo de aproximadamente la mitad de la dimensión original.
Ese trabajo abrió la vía de ataque, pero los autores afirmaron que no afectaba
a HAWK. Anthropic asegura que Mythos Preview encontró el automorfismo
adicional necesario para explorar dicha vía.
El ataque HAWK-n resultante construye lo que los investigadores denominan un
retículo τ-cocíclico a partir de la clave pública. Luego, utiliza la reducción
y el tamizado del retículo para recuperar vectores cortos antes de reconstruir
una base secreta que puede firmar mensajes para la clave pública original.
La implementación publicada por Anthropic verifica la clave recuperada
firmando un mensaje y comparándola con la implementación de referencia del
NIST. No recupera la semilla de clave secreta original de 96 bytes. En cambio,
genera una clave decodificada de 592 bytes que contiene material de firma
funcionalmente equivalente.
El código publicado por Anthropic solo admite HAWK-256 y rechaza cualquier
entrada que no sea HAWK-256. El repositorio incluye dos claves públicas que,
según Anthropic, lograron atacar con éxito. También permite generar y probar
nuevas claves HAWK-256.
Anthropic estima que el factor de trabajo esperado para la recuperación de
claves HAWK-256 se reduce de 264 a 238. En un
anuncio publicado el mismo día en el foro del NIST, indicó que la estimación del número de puertas lógicas se reduce de 2150 a
2108 para HAWK-512 y de 2288 a 2182 para HAWK-1024. Ambos parámetros mayores
siguen siendo prácticamente imposibles de atacar.
Hasta la fecha de esta revisión, la información pública no indica si el NIST o
los proponentes de HAWK modificarán los parámetros del esquema, las
afirmaciones de seguridad o su posición en el proceso de estandarización en
respuesta a esas estimaciones más bajas, si es que lo hacen.
El ataque sigue siendo exponencial. No se trata de una vulnerabilidad de
HAWK que se pueda vulnerar en tiempo polinomial, y Anthropic afirmó que no
afecta a otros candidatos a firmas del NIST ni a la criptografía reticular
en general.
Anthropic indicó que Mythos Preview desarrolló y verificó el resultado en
aproximadamente 60 horas en un entorno multiagente. Un investigador humano
brindó orientación ocasional sobre la gestión del proyecto, pero no era
especialista en criptografía reticular. La empresa estimó el costo de la
interfaz de programación de aplicaciones (API) en unos 100.000 dólares.
Ataque a AES, más rápido, pero aún poco práctico.
El segundo resultado apunta a AES-128 reducido de diez a siete rondas. El
estudio de cifrados con rondas reducidas es una práctica criptoanalítica
estándar, ya que permite medir el margen de seguridad restante antes de que un
ataque alcance la construcción completa.
El ataque presupone que un adversario puede obtener aproximadamente 2105
textos planos elegidos, cifrados con una clave fija y desconocida. Este
requisito, por sí solo, lo sitúa muy lejos de su uso práctico.
Los ataques previos de encuentro en el medio (meet-in-the-middle)
priorizaban la capacidad de cálculo sobre la memoria, almacenando estados
intermedios del cifrado y comparando los cálculos realizados desde extremos
opuestos del mismo. Una etapa del ataque anterior requería probar 256 valores
posibles antes de buscar en la tabla.
Mythos desarrolló una huella digital invariante que Anthropic denomina Puente
de Möbius. Dado que la huella digital no cambia con respecto a ese valor
adivinado, el ataque puede eliminar la enumeración de 256 vías. Tras
considerar el coste de la transformación y otras optimizaciones, Anthropic
estima que el ataque AES-128 de siete rondas es entre 200 y 800 veces más
rápido, dependiendo de cómo se mida el tiempo de ejecución.
El
artículo sobre AES
que lo acompaña presenta la construcción matemática, mientras que el
artefacto publicado
proporciona el código para cada experimento citado en el artículo.
El código de Anthropic realiza una recuperación completa de clave de caja
negra contra un cifrado similar a AES más pequeño con una clave de 24 bits.
Para el AES-128 real de siete rondas, mide las entradas individuales de la
tabla y los candidatos en línea. Implementaciones independientes en C, Python
y Rust prueban las afirmaciones de los componentes, y Anthropic proyecta esas
mediciones al ataque completo. No realiza la recuperación completa de AES-128
de principio a fin.
La compañía afirmó que el modelo inicialmente se negó a participar,
insistiendo en que mejorar AES era imposible. Anthropic insistió con preguntas
de seguimiento y errores tipográficos incluidos, que impulsaron al modelo a
continuar la búsqueda.
Anthropic indicó que Mythos Preview encontró el Puente de Möbius después de
aproximadamente tres días y varios cientos de millones de tokens de salida.
Perfeccionó el método durante los días siguientes, generando finalmente
alrededor de mil millones de tokens de salida.
El mayor costo fue humano. El modelo cuesta aproximadamente $100.000 en uso
de API, pero los investigadores dedicaron varios cientos de horas a
verificar el método. Anthropic afirmó que dos investigadores tardaron casi
un mes en tener la certeza de que era correcto. Según Anthropic, la
verificación fue el principal cuello de botella.
Estas revelaciones se producen tras el lanzamiento, el 20 de julio, de
CryptanalysisBench, una herramienta de evaluación comparativa de 191 tareas desarrollada por
investigadores de la ETH Zúrich, Anthropic, la Universidad de Haifa, la
Universidad Técnica de Berlín y la Universidad de Tel Aviv. Cinco modelos
superaron entre el 65% y el 86% de los esquemas más sencillos de primer nivel
y entre seis y doce esquemas de máxima seguridad de segundo nivel.
Esta herramienta evaluó Mythos 5, que Anthropic describe como la última
actualización de Mythos Preview. La información sobre HAWK y AES menciona
específicamente Mythos Preview.
A fecha de 29 de julio de 2026, el NIST seguía considerando a HAWK como
candidato para la tercera ronda. El anuncio de Anthropic en el foro del NIST
agradeció al equipo de HAWK su ayuda para verificar el resultado y
proporcionar comentarios, pero no especificó si esto implicó la revisión de la
prueba, la ejecución del artefacto público o ambas.
Fuente:
THN