AI 找到密碼的裂縫:Anthropic 怎麼用一個模型,把「還沒上市」的加密演算法砍半安全

📍 真實場景

阿明,金融科技新創的資安工程師,負責幫公司評估要不要導入下一代加密演算法

他正在寫一份技術評估報告,建議公司要不要押注在HAWK這個號稱「又快又安全」的後量子簽章演算法上,好讓系統升級時省下伺服器成本

😖 卡住的地方：他一早看到新聞:Anthropic 用一個還沒公開的AI模型「Claude Mythos」,找到攻破HAWK的方法,把它的安全性砍半。老闆晚點就要開會,問他「這代表HAWK不能用了嗎?還是媒體小題大做?」,他一時答不出來

💡 這堂課帶你用資深密碼學家的角度拆解這則新聞:AI到底做了什麼、「安全性砍半」有多可怕、跟你手上的技術決定有什麼關係

🧭 這到底是什麼（白話版）

這件事的起點,是Anthropic在7月底發布了兩份密碼分析報告,兩份都是他們內部還沒公開發表的AI模型「Claude Mythos」做出來的成果。第一份,針對一個叫HAWK的簽章方案用來證明「這則訊息真的是我發的、沒被竄改」的密碼學工具,概念上像數位版的親筆簽名,找到一種能反推出秘密金鑰的方法;第二份,則是對AES這個全世界最常用的加密演算法的簡化版,做出更強的攻擊。Anthropic還額外寫了一篇文章,說明這些結果是怎麼被AI「研究」出來的。

先講HAWK。它是一種後量子密碼學因為未來的量子電腦可能強大到能破解現在的加密方式,所以現在就先設計「就算量子電腦來了也破不了」的新演算法候選方案,原本正在排隊準備變成國際標準。它的安全性賭在一個叫module-LIP(格isomorphism問題)一種數學謎題,目前不管是一般電腦還是量子電腦都很難硬解,HAWK的整個安全承諾就是建立在這道謎題真的很難這個假設上的數學難題上。Claude Mythos做的事,是設計出一種金鑰恢復攻擊駭客想辦法從公開的驗證用資訊,反推出你手上那把本該只有你知道的秘密金鑰,等於是找到偷鑰匙的方法,而不只是撬開一次鎖,讓HAWK的安全位元(bits of security)衡量一套密碼要被暴力硬猜破,平均要試幾次的單位;每多1個位元,要試的次數就變成兩倍,是指數成長而不是一格一格的直線成長砍掉了一半。

聽起來砍一半好像還好?但因為安全位元是指數計算,砍半絕對不是少一半的保護力,而是保護力斷崖式下降(教具會讓你實際感受這個落差)。理論上,這個攻擊還是屬於指數時間(exponential time)運算量會隨著問題規模暴增,理論上很慢,但慢不代表沒有實際威脅,尤其當演算法背後的安全邊際本來就抓得很緊時,可以靠把金鑰加倍變大來補救——但HAWK原本的賣點就是比同類方案更省資源、更快,金鑰一旦加倍,這個賣點就沒了,等於逼著大家重新思考這套方案存在的意義。而且值得注意的是,這套攻擊沒有發明任何新數學,它只是把密碼學界原本就知道的既有工具,重新組合出一個更好的結果——這句話讀起來平淡,但其實是整篇報告裡最讓專家不安的一句話。

另一件事是對AES簡化版的縮圈攻擊(reduced-round attack)AES正式版本會把資料重複攪拌很多輪才輸出,研究者常故意拿輪數比較少的簡化版來練兵測試,如果連簡化版都守不住,代表整套演算法的安全邊際正在變薄。跟HAWK不同,AES是全世界正在服役、你我每天都在用的加密演算法(想想你的Wi-Fi、Line訊息),所以這份結果比較像是研究進度的溫度計,不是馬上要出事的警報,但同樣值得資安圈認真看待AI在這塊的進展速度。

🎯 為什麼值得你花時間

訊號比傷害本身更重要HAWK還沒被任何系統採用,所以這次沒有人的資料因此外洩。但它證明了AI已經有能力在標準審查期間,就找出足以讓一套演算法出局的弱點——這代表未來所有還在排隊等標準化的密碼演算法,都得多算一份被AI提早體檢的風險。

「砍半」不是砍半,是斷崖因為安全性是用指數在算,安全位元砍半代表攻擊所需的運算量掉了幾十個數量級,不是打對折的概念。這也是為什麼專家看到『halved』這個字會緊張,而不是聳聳肩說還好只少一半。

AI沒發明新數學,反而更可怕如果Claude Mythos是靠發現了什麼驚天動地的新數學才辦到,代表這種攻擊很罕見、可遇不可求。但事實是它只是有系統地把大家早就知道的工具兜起來——這代表類似的弱點,可能早就潛伏在其他系統裡,只是還沒有人(或AI)有系統地去試過所有已知招式的組合。

⚙️ 它是怎麼運作的

1

拿到弱化版的測試題HAWK的研究團隊為了讓外界能驗證攻擊,特地提供了一組刻意調弱、但結構相同的挑戰版參數,不是真正打算部署的正式規格。

▼

2

重組已知工具,而非發明新招Claude Mythos並沒有創造新的數學理論,而是把密碼學界原本就存在、跟module-LIP這類格問題相關的既有分析技巧,重新排列組合出一條新的攻擊路徑。

▼

3

寫出真正能跑的攻擊程式這不是紙上談兵的理論推導,Claude Mythos產出了實際可執行的程式碼,對象就是那組弱化的挑戰參數。

▼

4

幾小時內真的把金鑰解出來攻擊程式在數小時的運算內,成功從弱化版的HAWK挑戰實例中,反推出原本應該保密的金鑰。

▼

5

換算成安全位元的帳把這次攻擊的效率換算回安全位元的語言後,結論是HAWK原本設計的安全強度,實際上只剩一半。

▼

6

拋回給人類:值不值得修?最後這是人類專家要接手判斷的部分:能不能靠加大金鑰把安全性補回來?補回來之後,HAWK還有沒有比其他方案更划算?這正是阿明報告裡最關鍵的一段。

HAWK被攻擊前後,同一套演算法差在哪裡

面向	攻擊前(理論值)	攻擊後(實測結果)
安全位元(理論)	設計時宣稱的完整強度	實測只剩一半
解法性質	被視為只能暴力硬猜,近乎不可行	有實際可執行、幾小時內跑得完的攻擊程式
能否補救	不需要	理論上可以加大金鑰,但會犧牲HAWK最大的賣點(效率)
對Falcon等其他方案的影響	—	攻擊不會轉移過去(數學基礎不同),但審查標準的信心會受影響

🛠️ 動手做：安全位元砍半模擬器:「少一半」到底有多可怕?

把滑桿拉到不同的原始安全位元,觀察攻擊前後,理論上要花多久才能硬猜出金鑰。
留意:當位元數越高,砍半造成的時間落差會越誇張——這就是指數成長的威力。
試著找出砍半後直接變得可行的臨界點,那正是資深工程師看到這次HAWK結果會緊張的原因。

👇 下面是活的，直接操作

🧠 工程思維透鏡（資深工程師看到的是什麼）

🔭 為什麼一個理論上還是指數時間的攻擊,資深密碼學家還是如臨大敵?

因為密碼學界設計演算法時,本來就會刻意抓一段安全邊際,不是卡在剛好夠用的極限值。安全位元砍半,代表這段邊際被一次吃掉大半,下一次如果再被找到方法多砍幾成,很可能就從理論上安全變成實際上可行。工程上的教訓是:任何系統的安全評估,都不該只看目前有沒有被破,而要看距離被破還有多少邊際,邊際變薄本身就是一種警訊。

🔭 攻擊不會轉移到Falcon,為什麼工程師還是覺得這件事會影響對Falcon的信心?

HAWK和Falcon雖然系出同源、但各自賭在不同的數學難題上(module-LIP vs. NTRU格問題),所以這次的攻擊確實不會直接套用到Falcon身上。但資深工程師在做技術選型時,評估的不只是這個方案有沒有被破,還包括這整個技術路線背後的研究社群,追上攻擊手法的速度有多快。HAWK被攻破的方式——靠AI重組既有工具——說明這類攻擊的搜尋成本正在下降,連帶讓人重新檢視所有走這條路線的方案,是否也該提高審查標準。

🔭 AI沒有發明新數學,只是把舊工具重新組合,為什麼這句話反而是整篇報告裡最讓人不安的部分?

如果攻擊需要靠某個天才想出全新的數學突破,這種事可遇不可求,發生機率有限。但如果攻擊只是有系統地把大家早就知道的招式排列組合一遍,那代表這種弱點的發現門檻其實跟搜尋能力和算力更相關,而不是跟有沒有天才在場相關。這正是AI最擅長的事——窮舉式地系統化搜尋已知技巧的排列組合。工程上的意涵是:未來評估任何密碼系統的風險,都得把AI輔助搜尋當作威脅模型的一部分。

🔭 HAWK的賣點是比同類方案快,這次事件對效率優先的工程設計哲學有什麼提醒?

HAWK之所以值得存在,理由幾乎全部建立在比其他後量子方案更有效率上。但這次攻擊顯示,要補回安全性就得加大金鑰,而加大金鑰正好侵蝕了它唯一的賣點,等於讓這個方案為什麼要存在這個問題失去答案。這提醒工程師:當一個方案的價值主張建立在比別人快、省資源這種相對優勢上時,任何吃掉那個優勢空間的安全修補,殺傷力都是雙重的——不只損失效能,還可能讓方案的存在理由一併消失。

📝 隨堂考（點選答案，立即回饋）

Q1. HAWK目前的狀態是?

✅ HAWK還沒被採用為正式標準,只是走在評選流程中,這也是為什麼這次攻擊傷害有限的原因之一——沒有正式部署的系統會因此曝險。

Q2. 這次攻擊讓HAWK的安全位元發生了什麼變化?

✅ 文章明確指出,這次攻擊讓HAWK的安全位元大約砍半,而不是完全歸零,也不是毫無影響。

Q3. 為什麼安全位元砍半比少一半保護力聽起來還要嚴重?

✅ 安全位元每多1,破解難度就變成兩倍,是指數關係。砍半代表破解所需的運算量掉了極多個數量級,不是單純的少一半。

Q4. 這次攻擊技術上最讓專家在意的一點是什麼?

✅ 文章特別強調,這次攻擊沒有發明新數學,只是有系統地重組既有工具——這代表類似弱點可能就潛伏在其他系統中,還沒被系統化地搜尋過。

Q5. HAWK被攻破,對同樣走後量子路線的Falcon簽章方案有什麼直接影響?

✅ HAWK基於module-LIP,Falcon基於不同的格問題(NTRU相關),攻擊手法不會直接轉移過去,但仍可能影響大家對整體技術路線審查嚴謹度的信心。

🃏 翻牌記憶卡（先想答案，再點開對答）

HAWK點我翻面

一種後量子簽章演算法候選方案,安全性建立在module-LIP數學難題上,主打比同類方案更有效率。

module-LIP(格isomorphism問題)點我翻面

HAWK安全性所依賴的數學難題,目前一般電腦與量子電腦都很難有效率地解開。

安全位元(bits of security)點我翻面

衡量密碼被暴力硬猜要試幾次的單位,每多1個位元,難度變成兩倍,是指數關係。

金鑰恢復攻擊點我翻面

想辦法從公開的驗證資訊反推出秘密金鑰的攻擊手法,等於找到偷鑰匙的方法。

縮圈攻擊(reduced-round attack)點我翻面

拿加密演算法輪數較少的簡化版本來測試攻擊,用來提前偵測安全邊際是否變薄。

Claude Mythos點我翻面

Anthropic內部尚未對外公開發表的進階AI模型,這次HAWK與AES攻擊都是它的研究成果。

✅ 離開前自測（全勾＝這課真的學會了）

0%

我能夠用自己的話說明,這次HAWK被攻破,實際上代表哪一種程度的威脅(不是誇大也不是輕視)。我能夠解釋為什麼安全位元砍半比字面上的少一半嚴重非常多。我能夠說明為什麼這次攻擊沒有直接影響到Falcon,但仍然值得資安圈重視。我能夠判斷,如果我是阿明,要跟老闆怎麼回報這則新聞對公司技術決策的實際意義。我能夠說出AI沒發明新數學、只是重組舊工具這件事,為什麼反而是更值得警惕的訊號。