Claude ha trovato in 60 ore una falla crittografica sfuggita agli esperti per due anni

HAWK ha superato due tornate di revisione da parte di esperti nell'arco di due anni, ma a Claude Mythos Preview sono bastate 60 ore per migliorare il miglior attacco noto contro quello schema di firma digitale, dimezzandone di fatto la robustezza delle chiavi. Anthropic ha pubblicato il risultato insieme a un secondo, ottenuto con lo stesso modello contro una versione ridotta di AES, il cifrario simmetrico più diffuso al mondo.

Nessuno dei due tocca sistemi in produzione: HAWK è un candidato a standard e non è impiegato da nessuno, mentre l'attacco ad AES riguarda una variante a sette round dei dieci previsti, non il cifrario completo. I lavori precedenti di Anthropic sulla sicurezza si erano fermati alle librerie crittografiche, cioè agli errori commessi dai programmatori nell'implementare gli algoritmi dentro il codice. In questo caso, però, il punto chiave è ben diverso, poiché i difetti sfruttati risiedono nella matematica degli algoritmi stessi. Ciascuna delle due scoperte è costata circa 100.000 dollari di consumo API.

Una simmetria mai sfruttata nel reticolo di HAWK

HAWK è uno dei candidati rimasti al terzo round della chiamata che il NIST ha aperto nel 2022 per firme digitali aggiuntive capaci di resistere anche a un computer quantistico, il tassello che dovrebbe sostituire schemi classici come RSA ed ECDSA quando una macchina del genere diventerà realtà. La sua sicurezza poggia sulla difficoltà di un problema matematico chiamato Lattice Isomorphism Problem. Mythos ha individuato nel reticolo usato da HAWK una simmetria mai sfruttata prima, un automorfismo non banale: che una simmetria di quel tipo permettesse un attacco era già dimostrato in letteratura, ma nessuno aveva stabilito se fosse davvero accessibile proprio in quel reticolo.

L'attacco che ne deriva resta di tempo esponenziale, rendendo HAWK molto più veloce da aggredire. Sulla taglia più piccola, HAWK-256, il costo atteso di un recupero completo della chiave era stimato in 2^64 operazioni e Mythos lo ha portato a 2^38. Per le chiavi più grandi l'attacco resta impraticabile, ma per mantenere lo stesso livello di sicurezza la dimensione delle chiavi andrebbe raddoppiata, e il raddoppio cancella buona parte delle ragioni che rendevano HAWK un candidato interessante. Il risultato è specifico di questo schema e non intacca gli altri candidati post-quantistici né la crittografia su reticoli in generale.

Il modello ha lavorato in semi-autonomia dentro un'impalcatura agentica simile a Claude Code, con più agenti operativi in collaborazione in un ambiente isolato, accesso a strumenti di calcolo come Python e Sage e ai lavori crittografici pubblicati. Il ricercatore che lo seguiva aveva una formazione in informatica teorica ma non era esperto di crittografia su reticoli, e il suo contributo si è fermato alla gestione del lavoro: come tenere traccia delle idee, quali librerie usare per la verifica computazionale. L'intuizione decisiva è nata da una coppia di agenti, e con una dinamica curiosa: il primo aveva scartato l'idea come impraticabile, il secondo ha trovato il modo di sfruttarla fino in fondo, e dopo un scambio di messaggi entrambi hanno convenuto di avere in mano un attacco efficace.

Sull'AES ridotto il modello ha lavorato quasi da solo

Il secondo risultato riguarda AES-128, che cifra applicando ripetutamente la stessa funzione di round per dieci volte; l'attacco funziona su una versione modificata che di round ne esegue sette. Studiare cifrari a round ridotti è pratica corrente nella ricerca accademica, perché le tecniche messe a punto sui casi semplificati possono generalizzare al cifrario intero e perché aiutano a stimarne il livello di sicurezza reale. Il modello di minaccia è quello del testo in chiaro scelto: si assume che l'attaccante possa far cifrare al difensore input arbitrari con una chiave fissa e sconosciuta e vedere il risultato, quante volte vuole. I lavori precedenti su cui l'attacco si innesta assumono la cifratura di 2^105 testi scelti, il che lo rende del tutto impraticabile e utile solo a quantificare il costo teorico.

Mythos si è inserito in una lunga catena di articoli che cercano il miglior attacco al'AES a sette round con la tecnica del meet-in-the-middle, che baratta tempo contro spazio memorizzando calcoli intermedi per poi riutilizzarli. Eliminando uno dei tentativi a indovinare che l'attaccante deve compiere, ha portato la velocità da 200 a 800 volte oltre il miglior risultato precedente. Il modo in cui ci è arrivato è quasi più interessante del risultato: all'inizio si è rifiutato di affrontare il problema, ritenendo impossibile migliorare i metodi di analisi esistenti, e solo dopo qualche sollecitazione ha lavorato sul rompicapo per circa una settimana fino a costruire l'attacco, producendo un miliardo di token in uscita e ha battezzato la tecnica "Möbius Bridge".

L'attacco a HAWK è stato confermato dagli autori dello schema, quello ad AES è stato esaminato da crittografi indipendenti, e due ricercatori umani hanno lavorato per quasi un mese per verificare che il metodo fosse corretto. Anthropic afferma di aver seguito le procedure di divulgazione responsabile: l'attacco a HAWK è stato condiviso con gli autori a giugno e reso pubblico sulla mailing list del NIST in contemporanea con l'annuncio, mentre copie anticipate sono andate al governo statunitense e a partner industriali. Insieme ai risultati è stato pubblicato CryptanalysisBench, una raccolta di cifrari costruita con ETH Zurigo, Università di Tel Aviv e Università di Haifa per misurare le capacità di crittanalisi dei modelli linguistici.

Gli attacchi successivi e il precedente SIKE

Dopo i primi due risultati Anthropic ha allargato la ricerca e ha iniziato a trovarne altri, che intende documentare a breve: un attacco pratico a LEA ridotto a 13 round che recupera le chiavi in meno di un'ora su un normale computer da scrivania, più attacchi a Serpent-128, Salsa20, Poseidon e SHA-1.

Una scoperta tardiva dentro un processo di standardizzazione non è una novità. Durante la standardizzazione NIST di ML-KEM e ML-DSA diverse proposte concorrenti si rivelarono insicure, e una di queste, SIKE, fu rotta completamente in un'ora su un portatile: le specifiche vengono pubblicate proprio perché una platea ampia le esamini prima che finiscano in produzione. Anthropic sottolinea che in un anno i modelli linguistici sono passati dall'essere incapaci di eseguire la crittanalisi anche dei cifrari più elementari al trovare difetti in progetti crittografici sfuggiti a anni di revisione da parte di esperti umani.