HAWK 后量子签名已退出NIST标准化流程

1. 引言

简短结论：HAWK 已经不能说是“目前仍然安全”——它已经退出NIST 的标准化流程。其作者于2026 年 7 月 29 日宣布撤回 HAWK。不过，这不会影响任何现有系统，因为 HAWK 从未正式部署或广泛使用。

2. 发生了什么？

2026 年 7 月 28 日，Steve Weis 在 NIST 的pqc-forum上发布消息，宣布发现了一种针对HAWK-n的改进版密钥恢复攻击（key recovery attack），该攻击可归约为维度为 n/2 + 1 的最短向量问题（SVP，Shortest Vector Problem）。

在AGPS’20 门电路复杂度模型（gate-count model）下，这项攻击将密钥恢复成本降低为：

• HAWK-512：
  • 原先约为2 150 2^{150}2150
  • 降至2 108 2^{108}2108
• HAWK-1024：
  • 原先约为2 288 2^{288}2288
  • 降至2 182 2^{182}2182

研究团队还提供了完整实现，在一台服务器上，仅用几个小时便成功完成了HAWK-256密钥的端到端恢复。

来源：

• pqc-forum：https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4

这项工作来自Anthropic自身的研究项目：Claude Mythos Preview。

据 Anthropic 介绍，该模型以半自主（semi-autonomous）方式运行约60 小时，API 成本约10 万美元，最终发现了这一攻击。

参考资料：

• https://www.anthropic.com/research/discovering-cryptographic-weaknesses
• https://dataconomy.com/2026/07/29/anthropic-ai-flaws-hawk-aes/

3. 攻击原理

攻击利用了 HAWK 晶格（lattice）中此前未被利用的一种对称性（symmetry）——一种非平凡自同构（nontrivial automorphism）。

此前已有研究证明：

如果这种自同构存在，就可以构造相应攻击。

但一直没有证明：

HAWK 所使用的晶格是否真的具有这种可利用的自同构。

van Gent 与 Pulles 的研究已经指出：

• 如果这种自同构存在，那么密钥恢复问题的维度将大约降低一半，从而显著降低攻击复杂度。

参考资料：

• https://www.anthropic.com/research/discovering-cryptographic-weaknesses
• https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html

4. 为什么最终选择撤回 HAWK？

需要强调的是：

• HAWK-512 和 HAWK-1024 并没有被“实际破解（practically broken）”。

攻击复杂度仍然是指数级（exponential）。

但是：

• 为了恢复设计时预期的安全等级，就必须将密钥尺寸增加约一倍。

这样一来，HAWK 原本最大的优势——

• 更快的速度；
• 更小的密钥和签名尺寸；

都会基本消失，与Falcon相比也就不再具有明显竞争力。

因此，在漏洞公开后的第二天，HAWK 作者Leo Ducas宣布撤回 HAWK。

参考资料：

• https://freenode.net/article/claude-finds-a-real-attack-on-hawk
• https://cyberscoop.com/anthropic-claude-mythos-encryption-flaws-hawk-aes-pqc/
• https://yellow.com/news/claude-cracked-post-quantum-hawk

5. 影响范围

此次攻击不会影响：

• Falcon
• ML-DSA
• 其他基于晶格（lattice）的签名方案

同样也不会影响NIST 于 2024 年发布的后量子密码标准：

• ML-KEM（FIPS 203）
• ML-DSA（FIPS 204）
• SLH-DSA（FIPS 205）

参考资料：

• https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4
• https://www.techtimes.com/articles/322174/20260730/south-korea-certifies-hybrid-post-quantum-encryption-module-ai-breaks-hawk-algorithm-60-hours.htm

6. 验证过程与后续发展

Anthropic 于2026 年 6 月便将这一发现通知了 HAWK 作者团队。

随后：

• HAWK 作者参与验证了该攻击；
• Daniel Apon 在 pqc-forum 上进行了独立确认；
• 另一支研究团队则利用GPT-5.6，沿着完全不同的技术路线，得出了相同的攻击方案。

随后，论坛讨论的重点逐渐从攻击本身转向AI 密码分析（AI cryptanalysis）的治理问题。

其中包括：

• Saarinen 主张：
  • 今后的密码学证明应尽量采用**机器可验证（machine-checkable）**的形式
• Daniel Apon 主张：
  • 密码学社区应建立统一标准，用于评估和裁定AI 自动生成密码分析结果的可信度。

参考资料：

• https://postquantum.com/security-pqc/ai-cryptanalysis-hawk-aes/

7. 相关资源

论文：

• HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1

代码：

• https://github.com/anthropics/cryptography-research-demo（C、Python、Rust）