En språkmodell fant et angrep som tvinger fram doblet nøkkel i HAWK

Anthropic publiserte 28. juli 2026 to kryptanalytiske resultater funnet med en av selskapets egne språkmodeller. Det ene er et forbedret angrep mot signaturskjemaet HAWK, som er kandidat i tredje runde av NISTs utlysning av ekstra post-kvante-signaturer. Det andre er et forbedret angrep mot en nedskalert utgave av AES. Anthropic slår selv fast at ingen av funnene har praktisk betydning for systemer i drift i dag, og at ingen programvare i produksjon må endres. Arbeidet er gjort av selskapets Frontier Red Team.

Hva som skjer teknisk

HAWK-resultatet er det tyngste. Skjemaet bygger på et gitter, og angrepet utnytter en symmetri i det gitteret som ingen hadde utnyttet før. Tidligere arbeid hadde bevist at en slik symmetri ville gi et angrep, men ikke om den fantes i HAWK. Det var nettopp det modellen fant. For det minste parametersettet, HAWK-256, oppgir Anthropic at forventet kostnad ved fullt nøkkelgjenfinningsangrep falt fra 2^64 til 2^38 operasjoner, og angrepet er demonstrert med kjørende kode som henter ut en hemmelig nøkkel på noen timer på én tjener. For de større settene faller kostnaden også, fra 2^150 til 2^108 for HAWK-512 og fra 2^288 til 2^182 for HAWK-1024, men de er fortsatt upraktiske å angripe. Angrepet er fortsatt eksponentielt og gjelder bare HAWK. Det rammer verken de andre kandidatene eller gitterbasert kryptografi som sådan. Konsekvensen er at HAWK må doble nøkkelstørrelsen for å beholde sikkerhetsnivået, og doblingen fjerner mye av grunnen til at skjemaet var attraktivt. HAWK hadde overlevd to runder med ekspertgjennomgang over to år.

AES-resultatet er svakere, og det er verdt å si tydelig. Det gjelder en modifisert AES-128 med 7 av 10 runder, og bygger på et angrep fra 2013 som forutsetter at angriperen får kryptert 2^105 selvvalgte klartekster. Anthropic kaller det derfor fullstendig upraktisk. Forbedringen består i en fingeravtrykksmetode som fjerner behovet for å gjette én nøkkelbyte, noe som kutter arbeidet med en faktor på 256, og med flere optimaliseringer gir det et angrep 200 til 800 ganger raskere. Den fulle AES-chifferen står uendret. Her spriker vurderingene: Anthropic omtaler funnene som betydelige forskningsframskritt, mens kryptografen Matthew Green kaller AES-resultatet en beskjeden forbedring med konstant faktor over arbeid fra 2013, og stiller spørsmål ved om hastighetsgevinsten er reell når angrepet ikke lar seg kjøre. Arbeidet er publisert sammen med referansetesten CryptanalysisBench, som har 191 oppgaver fordelt på seks familier av kryptografiske primitiver. Der ble to nye resultater funnet: et fullt nøkkelgjenfinningsangrep mot AEAD-skjemaet SpoC, og en feil i det publiserte sikkerhetsbeviset for KINDI. Av 14 skjemaer som ble brutt i full styrke, skyldtes bare to en reell designfeil. Ti var feil i referansekoden.

Hva det betyr for deg som planlegger overgang til post-kvante

Det første du bør ta med deg er hva dette ikke er. Ingen algoritme du bruker i dag er svekket, og det er ingenting å oppdatere eller bytte ut som følge av disse funnene. Sier noen noe annet, er det ikke dekning for det i kildene. Det andre du bør ta med deg er mer ubehagelig. HAWK hadde stått gjennom to år med ekspertgjennomgang før dette ble funnet, og det ble funnet av en maskin som lette systematisk. Vår vurdering er at det viktigste her ikke er angrepet, men hastigheten: tiden fra et skjema er publisert til noen har lett grundig gjennom det, er i ferd med å bli mye kortere.

For deg som planlegger migrering betyr det at valget av algoritme bør tåle at noe faller fra. Sett kryptografien opp slik at den kan byttes, og unngå å binde formater og protokoller til ett bestemt skjema. Det gjelder særlig kandidater som ennå ikke er standardisert. Er du i ferd med å vurdere HAWK som fremtidig signaturskjema, er det verdt å vite at doblet nøkkelstørrelse fjerner mye av fordelen skjemaet hadde. Legg samtidig merke til hvordan referansetesten avslørte noe annet enn den lette etter: av skjemaene som ble brutt, var de fleste bruddene feil i koden og ikke i selve konstruksjonen. Det er en påminnelse om at implementasjonen er der de fleste kryptofeil faktisk oppstår.

Berigo anbefaler

• Ikke gjør noe akutt som følge av disse funnene. Ingen algoritme i drift er svekket, og det sier kilden selv.
• Bygg kryptografien slik at algoritmen kan byttes uten at protokoller og filformater må skrives om.
• Vent med å binde dere til post-kvante-kandidater som ennå ikke er standardisert av NIST.
• Legg vekt på implementasjonen når dere vurderer kryptobiblioteker. I referansetesten var de fleste bruddene feil i koden, ikke i konstruksjonen.
• Regn med at gjennomgangen av nye skjemaer går raskere framover, og følg med på om kandidatene dere vurderer fortsatt står.