Un candidato NIST ha perso metà della sua sicurezza in 60 ore

Sessanta ore contro due anni di revisione

Il 27 luglio Anthropic ha pubblicato i risultati di un lavoro di ricerca in cui il modello Claude Mythos Preview è stato puntato su HAWK, uno schema di firma digitale post-quantistica che si trova al terzo turno della ricerca NIST di algoritmi di firma aggiuntivi. HAWK era pubblico da due anni e aveva superato due tornate complete di crittanalisi esperta senza che nessuno trovasse un attacco migliore. Claude ne ha trovato uno in circa 60 ore.

I numeri sono precisi. Per HAWK-256 il costo atteso di un attacco di recupero della chiave scende da 2^64 a 2^38 operazioni, perché Claude ha individuato nella struttura reticolare una simmetria che nessun revisore aveva sfruttato. Anthropic quantifica la spesa in circa 100.000 dollari, all'incirca 85.000 euro di costi API, e racconta che un suo ricercatore ha lavorato accanto al modello per una settimana.

Un secondo ricercatore ha costruito un'impalcatura che ha lasciato Claude lavorare senza supervisione per tre giorni su AES. Ne è uscito un attacco meet-in-the-middle sulla versione a sette round di AES-128 che gira tra 200 e 800 volte più veloce del precedente migliore, con una tecnica di impronta che il modello ha chiamato Möbius Bridge. Anthropic dichiara con chiarezza che nessuno dei due risultati tocca i sistemi in uso oggi.

Che cosa si è rotto davvero e che cosa no

Nulla di ciò che fate girare oggi è più debole della settimana scorsa. HAWK è un candidato, non uno standard, e non è in uso da nessuna parte. Il risultato su AES colpisce una variante volutamente ridotta a sette round, mentre l'AES-128 completo ne ha dieci e resta intatto. La nota di Anthropic dice che nessun software in produzione dovrà cambiare, e che scalare l'attacco costerebbe comunque centinaia di milioni di dollari.

Il resto del bottino mostra l'ampiezza. Mythos ha prodotto anche un attacco pratico su LEA a 13 round che richiede meno di 2^30 testi in chiaro noti e gira in meno di un'ora, un recupero completo della chiave contro Serpent-128 a sei round e miglioramenti minori sotto le dieci volte contro Salsa20, Poseidon e SHA-1. I crittografi umani hanno impiegato diverse centinaia di ore per confermare la correttezza del lavoro su AES.

Un dettaglio merita di restare. Claude all'inizio ha rifiutato il compito su AES, dicendo ai ricercatori che quegli attacchi non erano possibili; l'approccio nuovo è comparso solo dopo che lo hanno spinto a proseguire. Quello che è tornato indietro non era una ripetizione di crittanalisi già pubblicata, ma una tecnica che nessuno aveva visto. Proprio per questo è stata verificata a mano.

La riparazione toglie il motivo della scelta

Ecco la parte che non compare nell'annuncio. A maggio il NIST ha promosso HAWK al terzo turno per due ragioni dichiarate: firme compatte e diversità algoritmica, poiché poggia su ipotesi diverse da ML-DSA e FN-DSA. Il rimedio indicato da Anthropic contro il nuovo attacco è che HAWK dovrebbe raddoppiare le dimensioni di chiave proposte per mantenere il livello di sicurezza previsto.

Raddoppiare le dimensioni di chiave consuma proprio quella compattezza. Uno schema promosso perché piccolo, e poi reso grande il doppio, finisce per competere proprio sul terreno da cui quella scelta doveva tenerlo lontano. Anche il calendario stringe: il terzo turno dura circa due anni e i pacchetti aggiornati scadono il 14 agosto 2026, diciassette giorni dopo la pubblicazione di questo risultato.

Il punto più ampio sopravvive a HAWK. La sua garanzia poggiava sul tempo di revisione trascorso, due anni e due tornate senza un attacco migliore, e quella prova è caduta per all'incirca il prezzo di un penetration test di media taglia. Due anni di revisione contro sessanta ore di lavoro macchina. Il tempo di revisione è sempre stato un sostituto dello scrutinio, e ha smesso di essere affidabile.

Che cosa deve dare per scontato un piano di migrazione 2026

Tenete le migrazioni in produzione dentro l'insieme standardizzato. ML-KEM, ML-DSA e SLH-DSA sono standard pubblicati; i candidati di firma aggiuntivi, HAWK compreso, non lo sono, e il calendario del NIST colloca i loro standard definitivi tra il 2028 e il 2030. Nulla che sia ancora in gara merita un posto in un piano che state eseguendo quest'anno.

Mettete a budget la sostituzione invece della selezione. Il risultato che conta è un inventario di dove ogni algoritmo vive davvero nel vostro parco, più la capacità di sostituirne uno senza ricostruire, perché ciò che è cambiato questa settimana è la velocità con cui la stima di sicurezza di un candidato può spostarsi. L'Agenzia per la Cybersicurezza Nazionale indirizza già le amministrazioni italiane verso gli schemi standardizzati.

Chiedete ai fornitori a quale schema si sono vincolati nel firmware e nei moduli di sicurezza hardware, perché lì la sostituzione è più lenta. Nel software un algoritmo declassato è un cambio di configurazione. Inciso in un apparato comprato con un ciclo di sostituzione di sette anni, lo stesso declassamento diventa un problema di acquisti che vi accompagnerà a lungo.

Da leggere ora: Bloccare il crawler ha pubblicato le vostre chat  |  Un solo messaggio ha raggiunto le chiavi SSH