Anthropics Mythos vindt wiskundige zwaktes in HAWK en afgezwakte AES

Anthropics AI-model Claude Mythos Preview heeft de best bekende aanval op HAWK verbeterd, een kandidaat-handtekeningschema voor de post-quantumstandaard van NIST, en halveert daarmee de effectieve sleutelsterkte. Het model had daar zestig uur voor nodig.

Aan de encryptie die vandaag in je bedrijf draait verandert dat niets. Geen enkel productiesysteem hoeft aangepast: de AES die je webverkeer, backups en VPN-tunnels beschermt blijft ongebroken, en HAWK ligt nog nergens in productie. De verschuiving zit een laag hoger. De review van cryptografische standaarden loopt niet meer op menselijk tempo. HAWK doorstond twee jaar en twee ronden expertbeoordeling; een AI-model haalde er in zestig uur een fout uit die niemand had gezien, voor ongeveer 100.000 dollar aan API-kosten.

De HAWK-vondst raakt een schema dat nog gekozen moet worden

HAWK is een van de overgebleven kandidaten in de derde ronde van de NIST-oproep voor aanvullende post-quantum handtekeningen. De veiligheid ervan leunt op het Lattice Isomorphism Problem. Mythos vond in het rooster van HAWK een niet-triviaal automorfisme, een symmetrie waarvan eerder onderzoek al had bewezen dat hij een aanval mogelijk maakt, maar waarvan niemand wist of hij in dit specifieke rooster te vinden was.

Met die symmetrie zakken de verwachte kosten van een volledig sleutelherstel op de kleinste variant HAWK-256 van 2⁶⁴ naar 2³⁸ operaties. De aanval blijft exponentieel, dus grote HAWK-sleutels zijn nog altijd onaantastbaar. Alleen moet de sleutelgrootte verdubbelen om hetzelfde veiligheidsniveau te halen, en juist de compacte sleutels maakten HAWK aantrekkelijk. Anthropic deelde de aanval in juni met de auteurs van HAWK en publiceerde hem tegelijk met dit onderzoek op de openbare NIST-mailinglijst.

Een late vondst in zo'n competitie is niet ongekend. Tijdens de standaardisatie van ML-KEM en ML-DSA sneuvelden meerdere concurrerende voorstellen, waaronder SIKE, dat in een uur op een laptop volledig werd gebroken. Anthropic stelt expliciet dat deze aanval de andere NIST-kandidaten en roostercryptografie in het algemeen niet raakt. Voor wie aan een post-quantummigratie werkt blijven ML-KEM voor sleuteluitwisseling en ML-DSA voor handtekeningen dus gewoon staan.

AES: zeven van de tien ronden

Het tweede resultaat gaat over AES-128, het meest bestudeerde blokcijfer dat er is. AES-128 past zijn rondefunctie tien keer toe. De aanval van Mythos werkt op een variant met zeven van die tien ronden, en dat is normale onderzoekspraktijk: je bestudeert een afgezwakte versie om in te schatten hoe stevig de volledige versie is.

Binnen dat afgezwakte model boekte het model echte winst. Mythos bedacht een fingerprint-algoritme dat het zelf Möbius Bridge doopte, waardoor een stap die eerder 2⁵⁶ waarden moest aflopen die opsomming niet langer nodig heeft. Het resultaat is een aanval die 200 tot 800 keer sneller is dan de sterkste eerdere meet-in-the-middle-aanvallen. Praktisch is dat nog steeds niet: het aanvalsmodel gaat ervan uit dat een aanvaller 2¹⁰⁵ gekozen klarteksten laat versleutelen, en Anthropic schat de uitvoeringskosten op honderden miljoenen dollars. Moderne bank- en communicatiesystemen lopen geen direct risico door deze vondst, tekent The New York Times aan.

De route ernaartoe zegt meer dan de aanval zelf. Claude weigerde eerst mee te werken en schreef dat er niets te vinden viel, want dit is het meest bestudeerde blokcijfer dat bestaat. Na een handvol aansporingen van de onderzoeker herschreef het model zijn eigen agent-opzet, werkte het drie dagen door en produceerde het in totaal ongeveer een miljard tokens. De twee hoofdresultaten kostten samen zo'n 200.000 dollar aan API-kosten, rekent The Decoder voor.

Anthropic zocht daarna verder. De meest concrete vervolgvondst betreft LEA, een lichtgewicht cijfer uit ISO/IEC 29192-2 dat draait in apparaten met weinig rekenkracht. De beste bekende analyse van dertien van de vierentwintig ronden had 2⁹⁸ klartekstparen nodig; Mythos herstelt zo'n sleutel met minder dan 2³⁰ paren, in minder dan een uur op een gewone desktop. De volledige 24-rondenversie blijft buiten schot. Verder liggen er een aanval op zes ronden van Serpent-128 en kleinere verbeteringen op Salsa20, Poseidon en SHA-1.

Een lek patch je, een cijfer niet

Dit is een ander soort vondst dan waar Mythos tot nu toe om bekendstond. Eerder ging het om implementatiefouten: verkeerd gebruik van een algoritme in code, zoals de kwetsbaarheden die het model vond in OpenSSL en wolfSSL. Dat werk maakte Mythos berucht als model dat softwarelekken sneller vindt en uitbuit dan menselijke securityteams, en het bracht de Canadese toezichthouder OSFI ertoe banken te waarschuwen dat het venster om te patchen krimpt.

Nu gaat het om de wiskunde onder het algoritme. Dat verschil bepaalt je verdediging. Een implementatiefout patch je: er verschijnt een nieuwe versie en die installeer je. Een fout in het cijfer zelf verdwijnt niet met een update. Dan moet je van algoritme wisselen, in elk systeem waar het draait.

Daarmee is crypto-agiliteit de enige maatregel die op beide niveaus werkt: weten welke algoritmes waar draaien, en ze kunnen vervangen zonder je systemen opnieuw te bouwen. Dat begint bij een cryptografische inventaris, want wat je niet in kaart hebt kun je niet migreren. De Rijksinspectie Digitale Infrastructuur waarschuwde eerder al dat de voorbereiding op de quantumdreiging organisaties jaren kost, precies omdat dat inventariseren en uitrollen tijd vraagt.

De mens is nu de flessenhals

Het veelzeggendste cijfer uit het onderzoek gaat niet over encryptie. Mythos had een week nodig om de AES-aanval te bedenken; twee onderzoekers hadden bijna een maand nodig om vast te stellen dat hij klopt. Anthropic verwacht dat het controleren en valideren van modeluitkomsten steeds vaker de rem wordt, en roept academici, overheden en de industrie op om nu al te bepalen wat er moet gebeuren als een model straks een aanval vindt die wél direct effect heeft.

Vandaag is dit cryptografisch onderzoek zoals het hoort te werken: standaarden worden stukgetest voordat ze worden uitgerold, en HAWK werd op tijd betrapt. De volgende vondst hoeft niet op een kandidaat te landen.