Een NIST-kandidaat verloor in 60 uur de helft van zijn veiligheid

Zestig uur tegenover twee jaar beoordeling

Op 27 juli publiceerde Anthropic de uitkomsten van een onderzoekstraject waarin het model Claude Mythos Preview werd gericht op HAWK, een post-quantum handtekeningschema in de derde ronde van de NIST-zoektocht naar aanvullende handtekeningalgoritmen. HAWK was twee jaar openbaar en had twee volledige ronden vakinhoudelijke cryptanalyse doorstaan zonder dat iemand een betere aanval vond. Claude vond er een in ongeveer 60 uur.

De cijfers zijn concreet. Voor HAWK-256 dalen de verwachte kosten van een sleutelherstelaanval van 2^64 naar 2^38 operaties, omdat Claude in de roosterstructuur een symmetrie vond die geen enkele beoordelaar had benut. Anthropic becijfert de rekening op ongeveer 100.000 dollar, zo'n 85.000 euro aan API-kosten, en meldt dat een van de onderzoekers een week lang naast het model aan de aanval werkte.

Een tweede onderzoeker bouwde een steiger waarmee Claude drie dagen onbewaakt op AES kon werken. Daaruit kwam een meet-in-the-middle-aanval op de zevenronde-versie van AES-128 die tussen 200 en 800 keer sneller loopt dan de vorige beste, met een vingerafdruktechniek die het model Möbius Bridge noemde. Anthropic stelt onomwonden dat geen van beide resultaten de systemen van vandaag raakt.

Wat er werkelijk brak en wat niet

Niets wat u vandaag draait is zwakker dan vorige week. HAWK is een kandidaat, geen standaard, en wordt nergens gebruikt. Het AES-resultaat raakt een bewust verkleinde variant met zeven ronden, terwijl het volledige AES-128 er tien heeft en onaangetast blijft. Anthropic schrijft zelf dat geen productiesoftware hoeft te veranderen, en dat het opschalen van de AES-aanval nog altijd honderden miljoenen dollars zou kosten.

De rest van de oogst laat de reikwijdte zien. Mythos leverde ook een praktische aanval op LEA met 13 ronden die minder dan 2^30 bekende klare teksten vraagt en binnen een uur draait, een volledig sleutelherstel tegen Serpent-128 met zes ronden, en kleinere winsten van minder dan tien keer tegen Salsa20, Poseidon en SHA-1. Menselijke cryptografen besteedden enkele honderden uren aan het bevestigen van het AES-werk.

Een detail is het onthouden waard. Claude weigerde de AES-opdracht eerst en vertelde de onderzoekers dat aanvallen op AES niet mogelijk waren; de nieuwe aanpak verscheen pas nadat zij aandrongen op doorgaan. Wat terugkwam was geen opsomming van gepubliceerde cryptanalyse, maar een techniek die niemand had gezien. Juist daarom moest zij met de hand worden nagerekend.

De reparatie haalt de reden voor de keuze weg

Dit is het deel dat niet in de aankondiging staat. NIST liet HAWK in mei doorstromen naar de derde ronde om twee genoemde redenen: compacte handtekeningen en algoritmische diversiteit, omdat het op andere aannames rust dan ML-DSA en FN-DSA. Het door Anthropic genoemde herstel tegen de nieuwe aanval is dat HAWK zijn voorgestelde sleutelgroottes zou moeten verdubbelen om het beoogde veiligheidsniveau te houden.

Het verdubbelen van de sleutelgroottes verbruikt precies die compactheid. Een schema dat doorging omdat het klein was en vervolgens twee keer zo groot wordt, concurreert op het terrein dat het juist moest vermijden. Ook de agenda is krap: de derde ronde loopt ongeveer twee jaar en de bijgewerkte inzendingen moeten op 14 augustus 2026 binnen zijn, zeventien dagen na publicatie van dit resultaat.

Het bredere punt overleeft HAWK. De zekerheid rustte op verstreken beoordelingstijd, twee jaar en twee ronden zonder betere aanval, en dat bewijs viel om voor ongeveer de prijs van een middelgrote penetratietest. Twee jaar beoordeling tegenover zestig uur machinewerk. Beoordelingstijd was altijd een vervanger voor werkelijke aandacht, en die vervanger is niet langer betrouwbaar.

Wat een migratieplan voor 2026 nu moet aannemen

Houd productiemigraties binnen de gestandaardiseerde set. ML-KEM, ML-DSA en SLH-DSA zijn gepubliceerde standaarden; de aanvullende handtekeningkandidaten inclusief HAWK zijn dat niet, en de eigen planning van NIST zet definitieve standaarden voor hen rond 2028 tot 2030. Niets wat nog meedingt hoort in een plan dat u dit jaar uitvoert.

Begroot vervanging in plaats van selectie. Het resultaat dat telt is een inventaris van waar elk algoritme daadwerkelijk zit in uw landschap, plus het vermogen er een te vervangen zonder herbouw, want wat deze week veranderde is de snelheid waarmee de veiligheidsschatting van een kandidaat kan verschuiven. Het PQC Migratiehandboek van de Nederlandse diensten wijst al naar de gestandaardiseerde schema's.

Vraag uw leveranciers op welk schema zij zich hebben vastgelegd in firmware en in hardwarebeveiligingsmodules, want daar gaat vervangen het traagst. In software is een afgewaardeerd algoritme een configuratiewijziging. Ingebrand in apparatuur die u koopt op een vervangingscyclus van zeven jaar, wordt dezelfde afwaardering een inkoopprobleem waarmee u lang blijft zitten.

Lees hierna: De crawler blokkeren publiceerde uw gesprekken  |  Een bericht bereikte de SSH-sleutels