En NIST-kandidat mistede halvdelen af sin sikkerhed på 60 timer

Tres timer mod to års gennemgang

Den 27. juli offentliggjorde Anthropic resultaterne af et forskningsforløb, hvor modellen Claude Mythos Preview blev rettet mod HAWK, en post-kvante signaturordning i tredje runde af NIST's søgning efter yderligere signaturalgoritmer. HAWK havde været offentlig i to år og havde overlevet to fulde runder af faglig kryptoanalyse, uden at nogen fandt et bedre angreb. Claude fandt et på cirka 60 timer.

Tallene er konkrete. For HAWK-256 falder de forventede omkostninger ved et nøglegendannelsesangreb fra 2^64 til 2^38 operationer, fordi Claude fandt en symmetri i gitterstrukturen, som ingen bedømmer havde udnyttet. Anthropic anslår regningen til omkring 100.000 dollar, cirka 85.000 euro i API-omkostninger, og oplyser, at en af forskerne arbejdede sammen med modellen i en uge.

En anden forsker byggede et stillads, der lod Claude arbejde uden opsyn i tre døgn mod AES. Ud kom et meet-in-the-middle-angreb mod syv-runders udgaven af AES-128, som kører mellem 200 og 800 gange hurtigere end det hidtil bedste, med en fingeraftryksteknik, modellen døbte Möbius Bridge. Anthropic slår klart fast, at ingen af resultaterne berører nutidens systemer.

Hvad der faktisk brød, og hvad der ikke gjorde

Intet af det, I kører i dag, er svagere end i sidste uge. HAWK er en kandidat, ikke en standard, og er ikke taget i brug nogen steder. AES-resultatet rammer en bevidst reduceret variant med syv runder, mens det fulde AES-128 har ti runder og står urørt. Anthropics egen tekst siger, at ingen software i drift behøver at ændres, og at en opskalering af AES-angrebet fortsat ville koste hundreder af millioner dollar.

Resten af udbyttet viser spændvidden. Mythos leverede også et praktisk angreb mod LEA med 13 runder, som kræver færre end 2^30 kendte klartekster og kører på under en time, en fuld nøglegendannelse mod Serpent-128 med seks runder samt mindre forbedringer under ti gange mod Salsa20, Poseidon og SHA-1. Menneskelige kryptografer brugte flere hundrede timer på at bekræfte, at AES-arbejdet var korrekt.

Én detalje er værd at holde fast i. Claude afviste først AES-opgaven og fortalte forskerne, at angreb mod AES ikke var mulige; den nye tilgang dukkede først op, efter at de pressede på for at fortsætte. Det, der kom retur, var ikke en gengivelse af offentliggjort kryptoanalyse, men en teknik, ingen havde set. Netop derfor skulle den efterregnes i hånden.

Reparationen fjerner grunden til valget

Her er den del, som ikke står i meddelelsen. NIST rykkede HAWK videre til tredje runde i maj af to opgivne grunde: kompakte signaturer og algoritmisk mangfoldighed, da den hviler på andre antagelser end ML-DSA og FN-DSA. Anthropics anviste afhjælpning mod det nye angreb er, at HAWK skulle fordoble sine foreslåede nøglestørrelser for at fastholde sit tilsigtede sikkerhedsniveau.

At fordoble nøglestørrelserne bruger netop den kompakthed op. En ordning, der kom videre, fordi den var lille, og som derefter bliver dobbelt så stor, ender med at konkurrere på den bane, den blev valgt for at undgå. Kalenderen strammer også: tredje runde løber cirka to år, og opdaterede indsendelser skal være inde den 14. august 2026, sytten dage efter at dette resultat blev offentliggjort.

Den bredere pointe overlever HAWK. Sikkerheden hvilede på forløben gennemgangstid, to år og to runder uden et bedre angreb, og det bevis faldt for omtrent prisen på en mellemstor penetrationstest. To års gennemgang mod tres timers maskinarbejde. Gennemgangstid har altid været en erstatning for reel granskning, og den er ikke længere pålidelig.

Hvad en migrationsplan for 2026 nu bør antage

Hold produktionsmigrationer inden for det standardiserede sæt. ML-KEM, ML-DSA og SLH-DSA er udgivne standarder; de yderligere signaturkandidater inklusive HAWK er det ikke, og NIST's egen tidsplan lægger endelige standarder for dem omkring 2028 til 2030. Intet, der stadig er med i udvælgelsen, hører hjemme i en plan, I udfører i år.

Sæt udskiftning på budgettet frem for udvælgelse. Den leverance, der tæller, er en oversigt over, hvor hver algoritme faktisk bor i jeres landskab, plus evnen til at erstatte en uden at bygge om, for det, der ændrede sig i denne uge, er hastigheden hvormed en kandidats sikkerhedsskøn kan flytte sig. Center for Cybersikkerhed peger allerede på de standardiserede ordninger.

Spørg jeres leverandører, hvilken ordning de har låst fast i firmware og i hardwaresikkerhedsmoduler, for der er udskiftning langsomst. I software er en nedgraderet algoritme en konfigurationsændring. Brændt ind i udstyr, I køber på en syvårig udskiftningscyklus, bliver den samme nedgradering et indkøbsproblem, I lever med længe.

Læs videre: At blokere crawleren offentliggjorde dine samtaler  |  En enkelt besked nåede SSH-nøglerne