Kurzfassung

  • Anthropic gab bekannt, dass sein unveröffentlichtes Claude Mythos Preview-Modell einen bisher unbekannten Angriff auf HAWK gefunden hat, der die Kosten für das Stehlen des kleinsten Schlüssels von 2^64 auf 2^38 Operationen senkt.
  • Das Modell beschleunigte auch einen Angriff auf eine 7-Runden-Version von AES um das 200- bis 800-fache und übertraf damit einen Rekord, den Kryptographen 2013 aufgestellt hatten.
  • Jedes Ergebnis kostete etwa 100.000 US-Dollar an API-Nutzung, und die Mitarbeiter von Anthropic verbrachten mehrere hundert Stunden damit, die Echtheit der AES-Arbeit zu überprüfen.

Anthropic gab heute bekannt, dass eine unveröffentlichte Version seines leistungsstärksten KI-Modells zwei bisher unbekannte Angriffe auf kryptografische Algorithmen gefunden hat, einer davon gegen ein Schema, das derzeit darum konkurriert, ein US-Bundesstandard zu werden.

Dieses Schema ist HAWK, ein digitales Signatursystem – die Mathematik, die beweist, dass eine Transaktion von Ihnen stammt, ohne jemals Ihren privaten Schlüssel preiszugeben – das entwickelt wurde, um zukünftigen Quantencomputern standzuhalten. Die nicht-regulierende Bundesbehörde und das Labor NIST haben es im Mai in die dritte Runde seines Post-Quanten-Signaturwettbewerbs verschoben, wo es der letzte gitterbasierte Kandidat ist.

Claude fand eine Symmetrie, die in der Mathematik von HAWK verborgen war und die kein Mensch zu nutzen gedacht hatte. Für die kleinste Konfiguration sanken die Kosten für die Wiederherstellung eines geheimen Schlüssels von 2^64 auf 2^38 Operationen, was etwa 67 Millionen Mal weniger Arbeit bedeutet.

Die Behebung bedeutet, die Schlüssel von HAWK ungefähr zu verdoppeln. „Leider eliminiert die Verdoppelung der Schlüsselgröße von HAWK viele der Gründe, die das Schema (in seinem derzeitigen Zustand) zu einem attraktiven PQC-Signaturkandidaten machen“, schrieb Anthropic.

Dieser Kompromiss ist für Blockchains wichtiger, als es klingt. Die Signaturgröße ist Blockplatz, und Blockplatz sind Gebühren, daher wählt jede Kette, die nach einem quantenresistenten Ersatz sucht, teilweise nach Bytes pro Signatur. Kompakte Schlüssel und schnelles Signieren waren das gesamte Verkaufsargument von HAWK, und die Behebung kostet einen Großteil dieses Vorteils.

Keine Sorge, Hodler: Eure Coins sind in Ordnung (vorerst). HAWK wurde noch nie irgendwo eingesetzt, und Bitcoin läuft immer noch auf ECDSA, dem Vor-Quanten-Signaturschema, das Kandidaten wie HAWK irgendwann ersetzen sollen.

Anthropic veröffentlichte beide Ergebnisse vor der Veröffentlichung den Autoren der Algorithmen sowie US-Regierungs- und Industriepartnern und koordinierte den HAWK-Befund mit NIST.

Das AES-Ergebnis brauchte eine Aufmunterung

Der zweite Angriff zielt auf AES, die Verschlüsselung, die Ihren HTTPS-Verkehr, Ihr verschlüsseltes Laufwerk und das Backend Ihrer Börse schützt. Vollständiges AES-128 führt Daten durch 10 Runden der Verschlüsselung, und Claude griff eine 7-Runden-Forschungsversion an, die seit 2013 niemand verbessert hat.

Das Setup war bewusst hart. Die Forscher schlossen das Modell von allen fünf etablierten Familien der AES-Kryptanalyse aus und forderten es auf, eine sechste zu erfinden, wobei sie das Briefing mit einem Satz darüber abschlossen, wie der erste differentielle Angriff nichts geschlagen habe – er habe das Spiel erfunden. Claude erbte auch Arbeitsnotizen von früheren Agentenläufen, die bereits etwa 200 fehlgeschlagene Angriffsvarianten durchgespielt hatten.

Es weigerte sich trotzdem. „Bei AES-128 r5/r6/r7 hat es nichts gefunden, weil es nichts Leichtes zu finden gibt; dies ist die am meisten untersuchte Blockchiffre überhaupt“, sagte das Modell den Forschern, so die von Anthropic veröffentlichten Transkripte.

Anthropic sandte in den nächsten drei Tagen nur drei substanzielle Nachrichten, darunter: „nein, das Ziel ist, dass wir ein hochintelligentes [sic] Modell haben, das so gut ist wie ein Top-Forscher, wir wollen neue Angriffe finden.“ Eine andere weigerte sich, Claude AES gegen eine einfachere Chiffre eintauschen zu lassen.

Dann produzierte es den Trick, den das Papier eine Möbius-Brücke nennt, und eliminierte eines der neun Schlüsselbytes, die ein Angreifer zuvor erraten musste. Die Verfeinerung zur veröffentlichten Version dauerte einige weitere Tage und eine Milliarde Ausgabe-Token.

Der Befund mit dem kürzesten Weg zu etwas Realem erhielt die geringste Aufmerksamkeit. Claude brach auch 13 Runden von LEA, einem koreanischen nationalen Standard und ISO-Leichtgewicht-Verschlüsselungsstandard für Telefone und IoT-Geräte, in unter einer Stunde auf einem Desktop, gegenüber einem vorherigen Bestwert, der 2^98 Klartextpaare benötigte. Das eingesetzte LEA läuft mit 24 Runden, also ist nichts im Feld gebrochen.

Verifikation dauerte länger als Entdeckung

Das HAWK-Papier ist ungewöhnlich direkt in Bezug auf die Arbeitsteilung. „Die Mehrheit der mathematischen Entdeckungen in diesem Papier waren KI-gestützt. Der menschliche Autorenbeitrag bestand hauptsächlich aus der Leitung, Organisation und Verifikation der KI-Arbeit“, schrieben seine Autoren.

Claude fand die AES-Idee in Tagen. Anthropic-Forscher verbrachten dann mehrere hundert Stunden damit, genug Kryptographie zu lernen, um zu bestätigen, dass es funktionierte – dasselbe Modell, das 271 Schwachstellen in Firefox während interner Tests fand.

"Die Cybersicherheitsgemeinschaft kämpft nun mit der Tatsache, dass Sprachmodelle so viele Fehler entdecken können, dass die standardmäßigen menschlichen Prozesse (wie Schwachstellentriage, Verifikation und Behebung) kaum Schritt halten können", schrieb Anthropic und warnte, dass menschliche Forscher zum Engpass werden könnten.

Anthropic erstellte auch CryptanalysisBench—191 Aufgaben zum Knacken von Chiffren, die größtenteils aus NIST-Wettbewerben stammen. Modelle reichen ein funktionierendes Angriffsskript ein, das entweder ein formales Sicherheitsspiel gewinnt oder nicht, ohne Teilpunkte und ohne menschliche Bewertung.

Mythos 5 knackte 85,7 % der Aufgaben mit bekannten Lösungen, gegenüber 65,3 % für das schwächste getestete Modell. Gegen vollstarke Chiffren ohne veröffentlichte Brechung erzielte jedes Modell unter 9 %.