Anthropic 週二（7/28）發布研究，旗下受限前沿模型 Claude Mythos Preview 在半自主狀態下找出兩個密碼演算法的數學弱點，一是後量子簽章候選 HAWK 的格結構裡藏著一個沒人用過的對稱性，約 60 小時完成金鑰恢復，二是把 7 輪 AES-128 的既有攻擊加速 200 到 800 倍。Anthropic 強調兩項結果都不影響現行系統，沒有任何正式軟體需要改動。
（前情提要：Galaxy Digital 推出「比特幣量子就緒計劃」，砸 500 萬鎂資助後量子密碼開發）
（背景補充：Solana 發布抗量子攻擊升級路線：兩大客戶端鎖定 Falcon 方案，隨時可採用後量子簽章方案）
重點摘要
- HAWK-256 金鑰恢復成本從 264 降到 238，差距約 6,700 萬倍
- HAWK-512 安全估算從 2150 掉到 2108，補回強度得把金鑰翻倍
- 7 輪 AES-128 攻擊加速 200 至 800 倍，網站與銀行用的完整 10 輪 AES 不受影響
一個 AI 模型花了大約 60 小時，在一套已經走到 NIST 第三輪篩選的後量子簽章方案裡，找到一個沒有人用過的結構弱點。帳單是大約 10 萬美元的 API 費用。
Anthropic 週二（7/28）發布研究，說明旗下受限前沿模型 Claude Mythos Preview 如何在一個架在 Claude Code 上的多代理框架裡半自主運作，自己查文獻、自己提假設、自己寫程式跑實驗，最後交出兩個結果。一個是對後量子簽章候選 HAWK 的端到端金鑰恢復攻擊，另一個是把 7 輪 AES-128 的既有攻擊加速 200 到 800 倍。
Anthropic 在文章裡把話講得很白，這兩項結果對今天的電腦系統都沒有實際影響，沒有任何正式軟體需要改動。接下來的數字看起來會很嚇人。
HAWK-256 本來就是放著給人打的靶
Claude 找到的是 HAWK 格結構裡的一個「非平凡自同構」，白話說就是一種先前沒被利用過的內部對稱性，等於同一把鎖有兩個等價的開法。理論上早就有人指出這類對稱性會讓攻擊變快，但沒有人證明它在 HAWK 上真的搆得到。
效果最誇張的是 HAWK-256。金鑰恢復的預期成本從 264 次運算掉到 238 次，差距大約 6,700 萬倍。Anthropic 釋出的實作在一台 96 核伺服器上跑，端到端大約 3 小時 42 分鐘就能把簽章金鑰撈出來。
但 HAWK-256 從來不是拿來用的。它是 HAWK 團隊自己在規格書裡設的「挑戰參數集」，安全等級刻意調低，明擺著放在那裡當密碼分析的靶，就是希望有人來打。被打中，不算意外。
真正的訊息在另外兩個數字。對應 NIST Level I 的 HAWK-512，安全估算從 2150 掉到 2108，對應 Level V 的 HAWK-1024 則從 2288 掉到 2182。這兩組才是真的要拿去部署的參數，而且都還遠遠打不動。
- HAWK-256（挑戰參數，非部署用）: 264 → 238，已實際完成金鑰恢復
- HAWK-512（NIST Level I）: 2150 → 2108，仍不可行
- HAWK-1024（NIST Level V）: 2288 → 2182，仍不可行
問題不在打不打得動，在補救成本。Anthropic 說，要把安全邊際補回來，HAWK 得把金鑰尺寸翻倍。這一刀砍掉的正好是 HAWK 存在的理由。
HAWK 在這輪徵集裡的賣點就是小。HAWK-512 的簽章大約 555 bytes，比 Falcon-512 的 658 bytes 小 15%，比已經標準化的 ML-DSA-44 那 2,420 bytes 小超過四倍，簽章與驗證速度也比 ML-DSA 快。金鑰翻倍之後，這個優勢就沒了，而一個不再比別人小的 HAWK，也就沒有理由去取代已經標準化的方案。Anthropic 自己的說法是，這讓 HAWK 作為後量子候選的吸引力被消除。這不是攻破，是把賣點拿掉，對一個還在候選階段的演算法來說，結果差不多。
HAWK 是 NIST 今年 5 月推進到額外簽章徵集第三輪的九個候選之一，也是這輪碩果僅存的格基方案。Anthropic 說已在 6 月把發現通報 HAWK 團隊，並在同一天於 NIST 論壇公開。截至截稿為止，HAWK 團隊與 NIST 都還沒有公開回應。
7 輪 AES 不是你在用的 AES
第二個結果比較容易被誤讀。AES 是網站、銀行、VPN 每天在跑的對稱加密標準，完整的 AES-128 要做 10 輪運算。Claude 攻的是刪掉 3 輪保護、只剩 7 輪的研究版本。
它自己提出並命名了一種叫 Möbius Bridge（莫比烏斯橋）的指紋演算法，取代原本「中間相遇攻擊」裡需要逐一枚舉 256 個可能值的步驟，整體加速 200 到 800 倍。這段工作模型花了三天、輸出大約 10 億個 token，人類只給了很少的提示，核心思路主要由模型自己提出。
不過被加速的那個攻擊本身就跑不動。它需要大約 2105 組特製的明文輸入，是現實裡永遠湊不出來的數量。把一件做不到的事情變快 800 倍，還是做不到。
找得到，還驗不了
兩項發現各燒掉大約 10 萬美元的 API 費用，真正貴的是後面那一段，Anthropic 研究人員花了數百小時才驗證 AES 那篇的正確性，遠遠超過模型本身一週的發現時間。HAWK 那篇因為可以端到端跑出結果，驗證反而快得多。
這是目前這類研究最誠實的一張成績單。模型幾天內提出關鍵思路，人類花幾百小時確認它沒有在胡說。被加速的是發現，不是驗證。
就在這批結果發布前一週，7 月 20 日才剛有一份 CryptanalysisBench 上線，由蘇黎世聯邦理工學院、Anthropic、海法大學、柏林工業大學與特拉維夫大學共同開發，收了 191 個密碼分析任務。研究社群顯然正在把「AI 到底能不能做密碼分析」變成一個可以量測的問題。
對加密貨幣來說，這件事的影響是負面的，但很間接。比特幣現在用的還是 ECDSA，連後量子的門都還沒進。真正在做遷移的是 Solana，兩大客戶端鎖定的是 Falcon，走的是 NTRU 格那條路，跟這次被打的格同構結構不是同一個數學問題，Anthropic 這次也沒有評估其他方案。
常見問題
Claude 破解了 AES 加密嗎？
沒有。攻擊只針對刪去 3 輪保護的 7 輪 AES-128 研究版本，而且需要約 2105 組特製輸入。網站與銀行使用的完整 10 輪 AES 不受影響，Anthropic 明說沒有任何正式軟體需要改動。
HAWK 被攻破會影響比特幣或以太坊嗎？
不會。HAWK 從未被任何區塊鏈採用，還停在 NIST 候選階段。比特幣目前用的是 ECDSA，屬於量子電腦出現前的簽章方案，後量子遷移尚未啟動，這次的發現不改變任何鏈上安全性。
📍相關報導📍
Solana 測試後量子加密：簽名大小暴增 40 倍、網路吞吐量慢九成
