Claude ha trovato difetti matematici in due algoritmi crittografici che anni di revisione da parte di esperti hanno trascurato.

      TL;DRClaude Mythos ha trovato debolezze matematiche in HAWK (riduzione della forza della chiave) e in AES a round ridotto (attacco 200-800x più veloce). Entrambi scoperti principalmente in modo autonomo. Nessun sistema di produzione colpito. Costo di ciascuno ~$100K.

      Anthropic ha annunciato lunedì che Claude Mythos Preview ha scoperto debolezze matematiche in due algoritmi crittografici. Il primo indebolisce sostanzialmente HAWK, uno schema di firma digitale post-quantistica in fase di revisione da parte del NIST, riducendo a metà la sua forza della chiave effettiva. Il secondo migliora il miglior attacco conosciuto su AES a sette round, il cifrario simmetrico più ampiamente utilizzato, di 200-800x. Nessun risultato influisce sui sistemi di produzione. HAWK non è stato implementato e l'attacco AES mira a una variante ridotta, non al cifrario completo.

      La distinzione rispetto al precedente lavoro di cybersecurity di Anthropic è fondamentale. Claude aveva precedentemente trovato vulnerabilità nelle librerie crittografiche, significando bug nel modo in cui i programmatori implementavano gli algoritmi. Questi nuovi risultati sono difetti nella matematica degli algoritmi stessi, scoperti dopo che anni di revisione da parte di esperti umani non erano riusciti a trovarli. HAWK ha superato due round di revisione del NIST in due anni. Mythos ha trovato la debolezza in 60 ore di lavoro semi-autonomo, con un ricercatore che forniva direzione nella gestione del progetto piuttosto che guida tecnica. Il risultato AES è stato scoperto quasi interamente in modo autonomo dopo che Claude inizialmente si era rifiutato di provare, affermando che il miglioramento era impossibile. Un ricercatore ha inviato tre sollecitazioni incoraggianti in tre giorni. Claude ha prodotto un miliardo di token di output e ha inventato una tecnica che ha chiamato “Möbius Bridge.”

      Ogni scoperta è costata circa $100.000 in calcolo API. Anthropic ha seguito una divulgazione responsabile, condividendo l'attacco HAWK con i suoi autori e coordinandosi con il NIST, il governo degli Stati Uniti e partner industriali prima della pubblicazione. L'azienda ha anche collaborato con ETH Zurigo, Università di Tel Aviv e Università di Haifa per rilasciare CryptanalysisBench, un benchmark per valutare le capacità crittanalitiche dell'IA. Claude Mythos ha trovato 10.000 vulnerabilità critiche nel software in un mese e il passaggio da bug di implementazione a difetti algoritmici rappresenta un salto qualitativo in ciò che l'IA può fare per l'infrastruttura di sicurezza.

      Anthropic ha riconosciuto i risultati di follow-up: un attacco pratico su LEA a 13 round che recupera chiavi in meno di un'ora su un desktop, e attacchi su Serpent-128, Salsa20, Poseidon e SHA-1. “In appena un anno, i modelli linguistici sono passati dall'essere incapaci di eseguire crittanalisi anche sui cifrari più basilari a essere in grado di trovare difetti nei progetti crittografici che erano sfuggiti alla scoperta nonostante anni di revisione da parte di esperti umani,” ha scritto l'azienda. La Casa Bianca ha lanciato Gold Eagle per coordinare la difesa informatica potenziata dall'IA, ma non esiste un programma equivalente per la revisione crittografica. La domanda sollevata da Anthropic alla fine del suo post è quella che conta: cosa succede quando un modello trova un difetto in un cifrario che sta già proteggendo i sistemi di produzione?

      

      

      

       Ricevi la newsletter TNW

       Ricevi le notizie tecnologiche più importanti nella tua casella di posta ogni settimana.