Sessenta horas contra dois anos de revisão
A 27 de julho a Anthropic publicou os resultados de um trabalho de investigação em que apontou o modelo Claude Mythos Preview ao HAWK, um esquema de assinatura digital pós-quântica que está na terceira ronda da procura do NIST por algoritmos de assinatura adicionais. O HAWK era público há dois anos e tinha atravessado duas rondas completas de criptoanálise especializada sem que ninguém encontrasse um ataque melhor. O Claude encontrou um em cerca de 60 horas.
Os números são concretos. Para o HAWK-256 o custo esperado de um ataque de recuperação de chave cai de 2^64 para 2^38 operações, porque o Claude identificou na estrutura reticular uma simetria que nenhum revisor tinha aproveitado. A Anthropic estima a fatura em cerca de 100.000 dólares, aproximadamente 85.000 euros em custos de API, e regista que um dos seus investigadores trabalhou ao lado do modelo durante uma semana.
Um segundo investigador construiu um andaime que deixou o Claude a trabalhar sem supervisão durante três dias contra o AES. Saiu daí um ataque de encontro ao meio sobre a versão de sete rondas do AES-128, que corre entre 200 e 800 vezes mais depressa do que o melhor anterior, com uma técnica de impressão digital a que o modelo chamou Möbius Bridge. A Anthropic afirma com clareza que nenhum dos resultados toca os sistemas de hoje.
O que quebrou realmente e o que não quebrou
Nada do que a sua equipa executa hoje está mais frágil do que na semana passada. O HAWK é um candidato, não uma norma, e não está em uso em lado nenhum. O resultado sobre o AES atinge uma variante deliberadamente reduzida a sete rondas, ao passo que o AES-128 completo tem dez rondas e fica intocado. A própria nota da Anthropic diz que nenhum programa em produção terá de mudar, e que escalar o ataque continuaria a custar centenas de milhões de dólares.
O resto do resultado mostra a amplitude. O Mythos produziu também um ataque prático ao LEA de 13 rondas, que exige menos de 2^30 textos claros conhecidos e corre em menos de uma hora, uma recuperação completa de chave contra o Serpent-128 de seis rondas, e ganhos menores abaixo das dez vezes contra Salsa20, Poseidon e SHA-1. Os criptógrafos humanos gastaram várias centenas de horas a confirmar que o trabalho sobre o AES estava correto.
Um pormenor merece ficar. O Claude recusou primeiro a tarefa do AES, dizendo aos investigadores que ataques ao AES não eram possíveis, e a abordagem inédita só apareceu depois de o pressionarem a continuar. O que voltou não foi uma repetição de criptoanálise publicada, mas uma técnica que ninguém tinha visto. Foi exatamente por isso que teve de ser verificada à mão.
A reparação retira o motivo da escolha
Eis a parte que não consta do anúncio. Em maio o NIST fez passar o HAWK à terceira ronda por duas razões declaradas: assinaturas compactas e diversidade algorítmica, uma vez que assenta em pressupostos diferentes dos do ML-DSA e do FN-DSA. O remédio indicado pela Anthropic perante o novo ataque é que o HAWK teria de duplicar os tamanhos de chave propostos para manter o nível de segurança pretendido.
Duplicar os tamanhos de chave consome precisamente essa compacidade. Um esquema que avançou por ser pequeno, e que depois fica duas vezes maior, acaba a competir precisamente no terreno de que essa escolha o queria afastar. O calendário também aperta: a terceira ronda dura cerca de dois anos e os processos atualizados têm prazo a 14 de agosto de 2026, dezassete dias depois da publicação deste resultado.
O ponto mais amplo sobrevive ao HAWK. A sua garantia assentava no tempo de revisão decorrido, dois anos e duas rondas sem um ataque melhor, e essa prova caiu por aproximadamente o preço de um teste de intrusão de dimensão média. Dois anos de revisão contra sessenta horas de trabalho de máquina. O tempo de revisão foi sempre um substituto do escrutínio, e deixou de ser fiável.
O que um plano de migração de 2026 deve assumir
Mantenha as migrações em produção dentro do conjunto normalizado. ML-KEM, ML-DSA e SLH-DSA são normas publicadas; os candidatos de assinatura adicionais, incluindo o HAWK, não são, e o próprio calendário do NIST coloca as suas normas definitivas algures entre 2028 e 2030. Nada que continue em avaliação cabe num plano que a sua equipa executa este ano.
Orçamente a substituição em vez da seleção. O resultado que conta é um inventário de onde cada algoritmo vive realmente no seu parque, mais a capacidade de trocar um sem reconstruir, porque o que mudou esta semana foi a velocidade a que a estimativa de segurança de um candidato se pode deslocar. O Centro Nacional de Cibersegurança já orienta as entidades portuguesas para os esquemas normalizados.
Pergunte aos seus fornecedores a que esquema se comprometeram no firmware e nos módulos de segurança de hardware, porque é aí que a troca é mais lenta. No software, um algoritmo despromovido é uma alteração de configuração. Gravada num equipamento comprado com um ciclo de substituição de sete anos, a mesma despromoção passa a ser um problema de compras que o acompanhará muito tempo.
Leia a seguir: Bloquear o rastreador publicou as suas conversas | Uma mensagem alcançou as chaves SSH
