当AI开始审查数学：Claude Mythos攻破NIST后量子签名候选方案的密码学拐点

2026年7月28日，Anthropic公布了一项震动密码学界的成果：其前沿AI模型Claude Mythos Preview在约60小时、10万美元API成本的投入下，对NIST后量子签名候选方案HAWK开发出有效的密钥恢复攻击，将其有效密钥强度从2^128降至2^64次操作。与此同时，该模型还独立发现了一种针对7轮AES-128的攻击方法，速度提升200至800倍。

这两项成果之所以意义深远，不在于它们当下威胁任何生产系统——HAWK尚未部署，AES攻击也未触及完整的10轮加密。而在于一个根本性的跃迁：AI从发现代码实现错误，转向攻击算法本身的数学基础。

一、HAWK：一个“已通过审查”的方案为何在60小时内被攻破？

HAWK是一种基于模格同构问题的数字签名方案，是NIST后量子签名第三轮征集中唯一的格基候选方案。NIST发起这一竞赛，旨在替换RSA和ECDSA等未来可能被量子计算机攻破的方案。HAWK已通过了两轮、历时两年的人类专家评审。

然而，Mythos发现了一条人类专家错过的路径。

攻击的核心在于HAWK格结构中一个此前未被利用的对称性——非平凡自同构。先前的理论研究曾指出，这种对称性理论上可能实现更快的攻击，但无人能证明HAWK的设计中确实存在这种结构。Mythos不仅证明了它的存在，还将其转化为可操作的攻击路径。

具体而言，Mythos从公钥出发构造了一个τ-cocycle格，然后利用格约简和筛法恢复短向量，最终重构出一个能够为原始公钥签署消息的秘密基。Anthropic发布的实现代码验证了恢复的密钥——它能够签署一条消息并用NIST参考实现完成验证。

结果令人震惊：破解HAWK-256的预期成本从2^64次操作降至2^38次操作。Anthropic估计，HAWK-256的密钥恢复工作因子从2^64降至2^38；对于HAWK-512和HAWK-1024，门计数估计也相应降低。将密钥尺寸加倍可以恢复安全性，但这将大大削弱HAWK作为紧凑型后量子方案的核心优势。

攻击仍是指数级的，对较大密钥无法在实际时间内完成，且不影响其他NIST候选方案或一般的格密码。但它揭示了一个令人不安的事实：一个经过两年人类专家评审的方案，其安全性宣称与实际情况存在显著偏差。

二、“莫比乌斯桥”：AI自主发明的密码分析技术

第二项成果同样引人注目。Mythos针对7轮AES-128（完整AES-128使用10轮）发明了一种名为“莫比乌斯桥”（Möbius Bridge）的指纹识别技术。

在中途相遇方法的基础上，Mythos消除了此前需要检查256个值的一个猜测步骤，使得攻击速度比先前最佳方法快200至800倍。这一发现几乎完全自主完成，仅在几天内接受了少量人工提示。随后研究人员花费数百小时验证了相关结论。

Anthropic还透露，该模型在针对减轮版LEA和Serpent的早期研究中取得了有希望的结果，并在Salsa20、Poseidon和SHA-1上获得了较小改进。

三、从“实现漏洞”到“数学缺陷”：密码学审查范式的根本转变

这两项成果的意义需要放在更广阔的背景下理解。

此前，Claude Mythos Preview主要发现的是密码库中的实现错误——程序员在使用算法时编码失误所引入的漏洞。而这次，AI攻击的是算法本身的数学基础。

这一跃迁的意义怎么强调都不为过。密码算法的安全性建立在数学难题之上——格问题的计算复杂性、离散对数问题的难解性等。如果AI能够系统性地发现这些数学结构中的弱点，那么整个密码学的基础假设都将面临重新审视。

更值得注意的是Mythos的工作方式。在60小时的研究过程中，Mythos自主完成了文献综述、数学推理和实验验证。人类研究者的主要干预是鼓励它不要放弃，并“找到值得发表的东西”。正如Anthropic在博客中坦言，研究人员的提示包括：“模型倾向于认为这不可能解决，所以它们不会尝试”。

这揭示了一个深层悖论：AI不知道什么是“不可能”，因此它做到了人类认为不可能的事情。

四、密码学的新瓶颈：AI发现太快，人类验证太慢

Anthropic在公告中提出了一个警示：密码学界可能面临与软件漏洞领域相似的瓶颈——AI生成的研究成果远超人类的验证能力。

这并非危言耸听。Mythos在60小时内完成了人类专家两年未能完成的突破，而研究人员随后花费了数百小时来验证其结论。随着模型能力不断增强，这种“发现-验证”的剪刀差只会越来越大。

为应对这一挑战，Anthropic与苏黎世联邦理工学院、特拉维夫大学和海法大学合作推出了CryptanalysisBench——一个用于评估语言模型密码分析能力的新基准。该公司还计划举办关于语言模型在安全研究中角色的学术研讨会。

同时，Anthropic遵循了标准的披露流程：在6月通知了HAWK的设计者，通过NIST邮件列表协调公开披露，并提前向政府和行业合作伙伴做了简报。

五、从后量子到“后AI密码学”

HAWK攻击的象征意义远超其实际影响。它标志着密码学进入了一个新时代——AI不仅是密码分析的工具，而是密码分析的“同行”乃至“对手”。

Keyfactor战略与AI创新高级副总裁Ellen Boehm对此评论道，Anthropic的研究证明NIST的后量子密码评估流程正在发挥作用，同时“提升了组织对企业内部密码位置、所连接的业务系统和流程的可见性的重要性的认识”。

这一判断切中了要害。如果说量子计算机对密码学的威胁是“未来时”，那么AI对密码学的挑战已经是“现在进行时”。量子计算机尚未建成，但AI已经在这里，并且正在以人类难以企及的速度审查数学结构。

Anthropic明确表示，随着AI能力的提升，未来可能会发现针对已部署系统的实际攻击，因此需要提前建立响应机制。这不再是一个理论问题，而是一个时间问题。

六、结语：密码学的“图灵测试”

HAWK被攻破的教训是双重的。一方面，它证明了AI驱动的密码分析是真实且强大的——60小时、10万美元，一个AI模型完成了一项人类专家两年未能完成的突破。另一方面，它提醒我们，后量子密码的“后量子”不等于“后AI”——在量子计算机到来之前，AI可能已经改写了密码安全的游戏规则。

对于整个密码学界而言，Claude Mythos的这一成果提出了一个根本性的问题：当AI能够系统性地发现数学结构中的弱点时，我们如何证明任何密码方案是安全的？

答案或许不是停止前进，而是重新定义“审查”本身——让AI成为审查流程的一部分，而非仅仅是被审查的对象。正如Anthropic所展示的，AI既可以成为攻击者，也可以成为防御者。密码学的未来，取决于我们能否在这场AI驱动的攻防竞赛中保持领先。

而在更广阔的视角下，这一事件与同日1100余名AI从业者联名呼吁调控AI发展速度的公开信形成了意味深长的呼应——当AI开始攻破人类设计的最复杂的数学结构时，“掌控前沿技术”不再只是一个政治口号，而是一个关乎数字世界根基的技术命题。