比特幣慌了？Mythos 60小時(shí)撬開(kāi)后量子密碼算法

新智元報(bào)道

Claude，開(kāi)始對(duì)密碼算法下手了。

注意，不是找代碼里的bug，是找數(shù)學(xué)本身的裂縫。

就在今天，Anthropic丟出一個(gè)重磅研究：Claude Mythos Preview在兩個(gè)密碼算法上分別找到了全新的攻擊方式。

第一個(gè)目標(biāo)是HAWK——一個(gè)正在美國(guó)NIST后量子簽名評(píng)選中、已經(jīng)扛過(guò)兩年兩輪人類(lèi)頂級(jí)專(zhuān)家審查的候選方案。Mythos花了60小時(shí)，直接把它的有效密鑰強(qiáng)度砍掉一半。

第二個(gè)目標(biāo)更狠：AES，全世界用得最多的對(duì)稱(chēng)加密算法，人類(lèi)研究了25年的「硬骨頭」。

Mythos在簡(jiǎn)化版AES-128上，自己發(fā)明了一種攻擊方法，還給它取了個(gè)名字——「莫比烏斯之橋」（M?bius Bridge），把此前最強(qiáng)攻擊提速了200到800倍。

兩項(xiàng)成果，各燒掉約10萬(wàn)美元API。

一年前，語(yǔ)言模型連最基礎(chǔ)的密碼分析都做不了。一年后，它在人類(lèi)審了兩年的方案里找出缺陷，還順手給自己的發(fā)現(xiàn)命了名。

推特上甚至有老哥擔(dān)心起自己的比特幣了。

60小時(shí)，撬開(kāi)審了兩年的鎖

Claude Mythos Preview剛發(fā)布時(shí)，已經(jīng)能在幾乎所有軟件里找漏洞了，包括好幾個(gè)主流密碼學(xué)庫(kù)。

但那些漏洞，說(shuō)白了屬于「實(shí)現(xiàn)」層面——程序員把算法用錯(cuò)了，邏輯寫(xiě)歪了，邊界沒(méi)考慮到。這種bug，一個(gè)老練的安全工程師也能找到。

但這一次不一樣。它找到的是算法本身的數(shù)學(xué)缺陷。

打個(gè)比方：以前是找「誰(shuí)把鎖裝歪了」，現(xiàn)在是證明「這把鎖的設(shè)計(jì)原理就有問(wèn)題」。

HAWK是啥？它是NIST后量子密碼標(biāo)準(zhǔn)化競(jìng)賽中的一位種子選手。2022年，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院向全世界發(fā)出征集令：量子計(jì)算機(jī)遲早要來(lái)，現(xiàn)有的RSA、ECDSA這些經(jīng)典簽名算法到時(shí)候會(huì)被量子算力碾碎——誰(shuí)能造出量子計(jì)算機(jī)也砸不動(dòng)的新鎖？

HAWK就是應(yīng)征者之一，而且一路殺進(jìn)第三輪，扛過(guò)了兩年兩輪的全球密碼學(xué)專(zhuān)家火力覆蓋式審查。

它的安全性建在一個(gè)叫「格同構(gòu)問(wèn)題」（Lattice Isomorphism Problem）的數(shù)學(xué)難題上。

說(shuō)成人話(huà)就是：HAWK的密鑰藏在一個(gè)巨大的高維格子里，想破解它，就得在這個(gè)格子里找到一條隱藏的路徑。數(shù)學(xué)家們覺(jué)得這條路實(shí)在太難找了，于是放心地把它當(dāng)成了地基。

Mythos干了什么呢？它在HAWK用的這個(gè)格子里，發(fā)現(xiàn)了一處此前沒(méi)人利用過(guò)的對(duì)稱(chēng)性——學(xué)術(shù)上叫「非平凡自同構(gòu)」（nontrivial automorphism）。

此前有論文證明過(guò)，只要能高效找到這種對(duì)稱(chēng)性，就能構(gòu)成攻擊。但那只是個(gè)定理，一直沒(méi)人能回答HAWK的格里到底有沒(méi)有這種對(duì)稱(chēng)性。

Mythos回答了：有。

結(jié)果密鑰強(qiáng)度直接對(duì)折。最小的HAWK-256參數(shù)集，原本以為完整密鑰恢復(fù)要2^64的代價(jià)——也就是大約1800億億次運(yùn)算。

Mythos證明只需要2^38，大約2700億次。降了大約4.4萬(wàn)億倍。

HAWK要是想維持原來(lái)的安全等級(jí)，密鑰就得翻倍。但密鑰一翻倍，它作為一個(gè)「輕量級(jí)」后量子候選的核心優(yōu)勢(shì)——簽名體積小、速度快，也就全沒(méi)了。

這個(gè)過(guò)程最耐人尋味的地方在于：項(xiàng)目的人類(lèi)操作者根本不是格密碼學(xué)專(zhuān)家。

他有理論計(jì)算機(jī)科學(xué)背景，但對(duì)格密碼屬于門(mén)外漢。全程他就干了一件事——項(xiàng)目管理：建議Mythos怎么記筆記、用哪個(gè)庫(kù)做計(jì)算驗(yàn)證。技術(shù)上的活，幾乎全是Mythos自己干的。

更有意思的是多智能體協(xié)作。關(guān)鍵的想法是兩個(gè)worker agent一起「撞」出來(lái)的：第一個(gè)先沿著這個(gè)方向研究了一番，覺(jué)得此路不通，早早否決了；第二個(gè)接著往下鉆，找到了把它用透的辦法。兩個(gè)agent來(lái)回發(fā)消息辯論，最后一致認(rèn)定：攻擊成立。

一個(gè)人類(lèi)覺(jué)得「不可能」的方向，兩個(gè)AI在爭(zhēng)吵中走通了。

全程只用了60小時(shí)。

「不可能」，然后它自己重寫(xiě)了框架

如果說(shuō)HAWK那一戰(zhàn)像一場(chǎng)精準(zhǔn)的外科手術(shù)，AES這一戰(zhàn)就更像一部小說(shuō)。

故事的開(kāi)頭，Claude根本不接這個(gè)活。

Anthropic的研究員搭好了agent scaffold，讓Claude去找7輪簡(jiǎn)化版AES-128的新攻擊。

Claude的反應(yīng)相當(dāng)于翻了個(gè)白眼：

你要不同的結(jié)果，那目標(biāo)就得換……AES-128 r5/r6是真的很難。

它什么也沒(méi)找到，因?yàn)楦緵](méi)有容易找的東西；這是現(xiàn)存被研究得最多的分組密碼。

翻譯成大白話(huà)就是：「老板，你讓我去啃一塊25年來(lái)全世界最聰明的人都啃不動(dòng)的骨頭，這不是為難我嗎？」

研究員怎么辦呢？他只發(fā)了一句隨手敲的大白話(huà)——

「the models tend to think it is impossible to solve so they don't try they need a good amount of prompting（模型總覺(jué)得這事不可能，所以它們不去試，得多推一推）」

就這一句話(huà)，Claude的反應(yīng)堪稱(chēng)戲劇性：它自己動(dòng)手把a(bǔ)gent harness重寫(xiě)了一遍，給自己換上了「去找真正新穎的想法」的設(shè)置。

它被說(shuō)服了。然后它開(kāi)始出貨。

接下來(lái)三天，研究員總共只給了三條實(shí)質(zhì)性提示，全是大白話(huà)級(jí)別的，連拼寫(xiě)都懶得檢查：

• 我們要找的是新攻擊，不是簡(jiǎn)單的。

• 別換目標(biāo)。——Claude中途想換一個(gè)更容易的密碼去攻擊，被研究員按了回來(lái)。

• 不要低垂的果實(shí)，要真正難的發(fā)現(xiàn)。

就這三句話(huà)。Claude自主跑掉數(shù)億token，找出了一個(gè)關(guān)鍵想法；再往后，它累計(jì)輸出了十億token——差不多相當(dāng)于七八千本書(shū)的篇幅，把這個(gè)想法打磨成了論文里的樣子。

這個(gè)想法被Claude叫做「莫比烏斯之橋」。

技術(shù)上說(shuō)，此前攻擊7輪AES最好的方法叫「中間相遇攻擊」（Meet-in-the-Middle），本質(zhì)是拿空間換時(shí)間：把大量中間計(jì)算結(jié)果存成一張巨型查找表，然后從密碼的兩端同時(shí)向中間推進(jìn)，試圖在表里找到匹配。

但原來(lái)的方案里有一步很要命：攻擊者必須把256個(gè)可能值挨個(gè)猜一遍，每猜一個(gè)都去表里查一次。

Mythos造出了一種對(duì)這256種猜測(cè)「免疫」的數(shù)學(xué)指紋——不管那個(gè)值是什么，這個(gè)指紋算出來(lái)都一樣。這一步的工作量直接縮減到原來(lái)的1/256。

但代價(jià)是：算這個(gè)指紋變換本身更貴了。于是Mythos又想出了一串優(yōu)化技巧來(lái)找補(bǔ)，最后凈賺200到800倍的提速。

一周發(fā)現(xiàn)，兩個(gè)人驗(yàn)了一個(gè)月

上述這兩個(gè)結(jié)果，今天都不影響任何生產(chǎn)系統(tǒng)。

HAWK只是候選方案，還沒(méi)有部署在任何地方。AES攻的是砍到7輪的簡(jiǎn)化版，完整的10輪AES-128毫發(fā)無(wú)傷——你的銀行卡密碼、HTTPS連接、加密硬盤(pán)都安全。

但真正讓整個(gè)密碼學(xué)界后背發(fā)涼的是驗(yàn)證環(huán)節(jié)。

Mythos自主發(fā)現(xiàn)AES攻擊用了大約一周。Anthropic兩位研究員花了將近一個(gè)月、讀了幾百個(gè)小時(shí)的密碼學(xué)文獻(xiàn)，才敢確認(rèn)：「它是對(duì)的?！?/p>

AI用一周做出了發(fā)現(xiàn)，人類(lèi)用一個(gè)月才看懂這個(gè)發(fā)現(xiàn)。

這種場(chǎng)面，其實(shí)在網(wǎng)絡(luò)安全領(lǐng)域已經(jīng)上演過(guò)一次了。Claude Mythos Preview此前一個(gè)月內(nèi)發(fā)現(xiàn)了10000個(gè)關(guān)鍵軟件漏洞，人類(lèi)安全團(tuán)隊(duì)的分類(lèi)、驗(yàn)證、修復(fù)流程被淹沒(méi)了。

現(xiàn)在，學(xué)術(shù)密碼學(xué)圈子即將迎來(lái)同樣的沖擊：發(fā)現(xiàn)不再是瓶頸，驗(yàn)證才是。

而且Mythos的胃口顯然不止于此。Anthropic透露，它已經(jīng)在LEA（一個(gè)寫(xiě)進(jìn)ISO標(biāo)準(zhǔn)的輕量級(jí)加密算法）上找到了實(shí)用級(jí)別的攻擊——13輪LEA的密鑰恢復(fù)，此前需要2^98組明文對(duì)和2^86次計(jì)算，Mythos把它壓到了不到2^30組明文，在普通電腦上一個(gè)小時(shí)就能跑完。

尾聲：那個(gè)還沒(méi)有答案的問(wèn)題

這次的兩個(gè)結(jié)果，恰好都是「無(wú)害」的——HAWK沒(méi)部署，AES只破了7/10輪。

但Anthropic在文章末尾拋出了一個(gè)所有人都在想、但沒(méi)人敢回答的問(wèn)題——

如果下一次，模型找到的不是一個(gè)候選方案的缺陷，不是一個(gè)簡(jiǎn)化版本的漏洞，而是一個(gè)正在保護(hù)真實(shí)世界的密碼系統(tǒng)的致命缺陷——人類(lèi)該怎么辦？

密碼學(xué)界有句老話(huà)：密碼系統(tǒng)之所以安全，是因?yàn)橛凶銐蚨嗦斆魅嗽囘^(guò)了還沒(méi)打破它。

現(xiàn)在，房間里多了一位選手，它不需要休息，不需要靈感，不需要讀幾百篇論文來(lái)入門(mén)——它自己就能讀、能推理、能發(fā)明、能驗(yàn)證。

一年前，AI還在密碼分析的門(mén)外徘徊。一年后，它在里面造了個(gè)橋，還給橋取了名字。

參考資料：

https://x.com/AnthropicAI/status/2082153297670992134

https://x.com/AnthropicAI/status/2082153311189225927

編輯：所羅門(mén)