Anthropic cho biết Claude Mythos Preview đã hỗ trợ tìm ra một cuộc tấn công khôi phục khóa (key-recovery attack) toàn diện đối với HAWK-256 và tăng tốc độ tấn công lên gấp 200 đến 800 lần đối với AES-128 phiên bản 7 vòng.
Cuộc tấn công HAWK khai thác một tính đối xứng chưa từng được sử dụng trước đây trong mạng lưới (lattice) đằng sau sơ đồ chữ ký này. Bản thực thi được Anthropic phát hành cho thấy thời gian chạy dự kiến từ đầu đến cuối là khoảng 3 giờ 42 phút trên một máy chủ 96 lõi. Kết quả trên AES đã loại bỏ bước đoán 256 giá trị khỏi cuộc tấn công meet-in-the-middle hiện có.
Anthropic khẳng định rằng cả hai kết quả này đều không ảnh hưởng đến các hệ thống đang vận hành thực tế (production systems). HAWK vẫn là một ứng viên trong quá trình chuẩn hóa hậu lượng tử của Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST), và mã khôi phục công khai chỉ nhắm vào tham số HAWK-256 nhỏ hơn.
Kết quả đối với Tiêu chuẩn Mã hóa Nâng cao (AES) áp dụng cho 7 trong số 10 vòng của AES-128 và vẫn yêu cầu một lượng bản rõ được chọn (chosen plaintexts) lớn tới mức phi thực tế. Công ty cho biết không có phần mềm vận hành nào cần phải thay đổi do kết quả này.
Anthropic đã công bố các phát hiện cùng với hai bài báo kỹ thuật và các tài liệu mô phỏng. Công ty cho biết Mythos Preview phần lớn đã tự thực hiện nghiên cứu, với con người đóng vai trò định hướng dự án, cung cấp tài nguyên tính toán và xác minh chuyên sâu.
Sự đối xứng ẩn giấu trong mạng lưới của HAWK
HAWK là sơ đồ dựa trên mạng lưới duy nhất trong số chín ứng viên mà NIST đã đưa vào vòng thứ ba của quá trình chữ ký số hậu lượng tử bổ sung vào tháng 5 năm 2026. Các bộ tham số cấp độ bảo mật NIST của nó là HAWK-512 và HAWK-1024; trong khi đó HAWK-256 là một tham số thử nghiệm được cung cấp làm mục tiêu phân tích mật mã.
Việc khôi phục trực tiếp khóa HAWK là một trường hợp của bài toán Lattice Isomorphism Problem (smLIP). Kẻ tấn công phải khôi phục một phép biến đổi ẩn giữa hai mạng lưới.
Một bài báo của Daniël van Gent và Ludo Pulles đã chỉ ra rằng một phép tự đẳng cấu (automorphism) không tầm thường — một tính đối xứng bảo toàn mạng lưới — sẽ giảm việc khôi phục khóa HAWK xuống thành việc tìm một vectơ ngắn trong một mạng lưới có kích thước chỉ bằng khoảng một nửa kích thước ban đầu.
Công trình đó đã mở ra lộ trình tấn công, nhưng các tác giả cho biết vào thời điểm đó nó không ảnh hưởng đến HAWK. Anthropic cho biết Mythos Preview đã tìm thấy phép tự đẳng cấu bổ sung cần thiết để khai thác lộ trình này.
Cuộc tấn công HAWK-n kết quả đã xây dựng cái mà các nhà nghiên cứu gọi là mạng lưới τ-cocycle từ khóa công khai. Sau đó, nó sử dụng phương pháp giảm mạng lưới (lattice reduction) và sàng lọc (sieving) để khôi phục các vectơ ngắn trước khi tái cấu trúc một cơ sở bí mật có thể ký các thông điệp cho khóa công khai ban đầu.
Bản thực thi được phát hành của Anthropic xác minh khóa đã khôi phục bằng cách ký một thông điệp và kiểm tra nó với bản thực thi tham chiếu của NIST. Nó không khôi phục seed khóa bí mật 96 byte ban đầu. Thay vào đó, nó tạo ra một khóa đã giải mã 592 byte chứa các tài liệu ký có chức năng tương đương.
Mã nguồn của Anthropic chỉ hỗ trợ HAWK-256 và từ chối mọi đầu vào không phải HAWK-256. Kho lưu trữ bao gồm hai khóa công khai mà Anthropic cho biết họ đã tấn công thành công. Nó cũng hỗ trợ việc tạo và kiểm tra các khóa HAWK-256 mới.
Anthropic ước tính rằng khối lượng công việc khôi phục khóa HAWK-256 dự kiến giảm từ 2^64 xuống còn 2^38. Trong một thông báo trên diễn đàn NIST cùng ngày, họ cho biết ước tính số lượng cổng (gate-count) giảm từ 2^150 xuống 2^108 đối với HAWK-512 và từ 2^288 xuống 2^182 đối với HAWK-1024. Cả hai tham số lớn hơn này vẫn nằm ngoài khả năng tấn công thực tế.
Tính đến thời điểm hiện tại, hồ sơ công khai chưa cho thấy liệu NIST hay những người đề xuất HAWK sẽ thay đổi các tham số, tuyên bố bảo mật hay vị thế của sơ đồ này trong quá trình chuẩn hóa để phản hồi lại các ước tính thấp hơn này hay không.
Cuộc tấn công này vẫn mang tính lũy thừa. Nó không phải là một sự phá vỡ HAWK trong thời gian đa thức, và Anthropic cho biết nó không mở rộng sang các ứng viên chữ ký NIST khác hoặc mật mã mạng lưới nói chung.
Anthropic cho biết Mythos Preview đã phát triển và xác minh kết quả trong khoảng 60 giờ trong môi trường đa tác tử (multi-agent). Một nhà nghiên cứu con người đã cung cấp hướng dẫn quản lý dự án không thường xuyên nhưng không phải là chuyên gia về mật mã mạng lưới. Công ty ước tính chi phí API vào khoảng 100.000 USD.
Nhanh hơn, nhưng vẫn chưa khả thi
Kết quả thứ hai nhắm vào AES-128 được giảm từ 10 vòng xuống còn 7 vòng. Nghiên cứu các mã khối giảm vòng là một thực hành phân tích mật mã tiêu chuẩn vì nó đo lường biên độ an toàn còn lại trước khi một cuộc tấn công có thể chạm tới cấu trúc đầy đủ.
Cuộc tấn công giả định rằng kẻ đối nghịch có thể thu thập khoảng 2^105 bản rõ được chọn được mã hóa dưới một khóa cố định, chưa biết. Chỉ riêng yêu cầu này đã khiến nó nằm xa ngoài thực tế sử dụng thông thường.
Các cuộc tấn công meet-in-the-middle trước đây đánh đổi bộ nhớ lấy tính toán bằng cách lưu trữ các trạng thái mã trung gian và khớp các tính toán được thực hiện từ hai đầu đối diện của bộ mã. Một giai đoạn trong cuộc tấn công trước đó yêu cầu thử nghiệm 256 giá trị có thể có trước khi tìm kiếm trong bảng.
Mythos đã phát triển một "dấu vân tay bất biến" (invariant fingerprint) mà Anthropic gọi là Möbius Bridge. Vì dấu vân tay này không thay đổi qua giá trị được đoán đó, cuộc tấn công có thể loại bỏ bước liệt kê 256 trường hợp. Sau khi tính toán chi phí chuyển đổi và các tối ưu hóa khác, Anthropic ước tính cuộc tấn công AES-128 7 vòng nhanh hơn từ 200 đến 800 lần, tùy thuộc vào cách đo lường thời gian chạy.
Bài báo về AES đi kèm trình bày cấu trúc toán học, trong khi mã nguồn được phát hành cung cấp code cho từng thử nghiệm được trích dẫn trong bài báo.
Mã của Anthropic thực hiện khôi phục khóa hoàn toàn theo kiểu hộp đen (black-box) đối với một bộ mã giống AES nhỏ hơn với khóa 24-bit. Đối với AES-128 7 vòng thực tế, nó đo lường các mục bảng riêng lẻ và các ứng viên trực tuyến. Các bản thực thi C, Python và Rust riêng biệt kiểm tra các tuyên bố về thành phần, và Anthropic dự phóng các phép đo đó cho toàn bộ cuộc tấn công. Nó không thực hiện khôi phục AES-128 đầy đủ từ đầu đến cuối.
Kết quả thực tế hẹp hơn so với những cái tên HAWK và AES có thể gợi ý. Việc khôi phục HAWK hoàn chỉnh chỉ nhắm vào HAWK-256, một tham số thử nghiệm thay vì các bộ tham số cấp độ bảo mật của NIST. Đối với AES-128 7 vòng, Anthropic dự phóng chi phí của toàn bộ cuộc tấn công từ các phép đo thành phần, và cuộc tấn công vẫn không khả thi ở quy mô thực tế.
Công ty cho biết ban đầu mô hình đã từ chối thực hiện, nhấn mạnh rằng việc cải thiện AES là bất khả thi. Anthropic đã công bố các lời nhắc (prompts) tiếp theo thẳng thừng của nhà nghiên cứu, bao gồm cả các lỗi đánh máy, để thúc đẩy mô hình tiếp tục tìm kiếm.
Anthropic cho biết Mythos Preview đã tìm thấy Möbius Bridge sau khoảng ba ngày và vài trăm triệu token đầu ra. Nó đã tinh chỉnh phương pháp trong những ngày tiếp theo, cuối cùng tạo ra khoảng một tỷ token đầu ra.
Chi phí cao hơn nằm ở con người. Việc chạy mô hình tốn khoảng 100.000 USD chi phí sử dụng API, nhưng các nhà nghiên cứu đã dành hàng trăm giờ để kiểm tra phương pháp. Anthropic cho biết hai nhà nghiên cứu đã mất gần một tháng để đạt được sự tin tưởng rằng nó là chính xác. Theo lời kể của Anthropic, việc xác minh mới là nút thắt cổ chai rõ rệt nhất.
Các tiết lộ này theo sau việc phát hành CryptanalysisBench vào ngày 20 tháng 7, một bộ công cụ đánh giá gồm 191 nhiệm vụ được phát triển bởi các nhà nghiên cứu từ ETH Zurich, Anthropic, Đại học Haifa, Đại học Kỹ thuật Berlin và Đại học Tel Aviv. Năm mô hình đã phá vỡ được từ 65% đến 86% các sơ đồ cấp độ một dễ hơn và từ 6 đến 12 sơ đồ cường độ đầy đủ ở cấp độ hai.
Bộ đánh giá đó đã thử nghiệm Mythos 5, mà Anthropic mô tả là bản cập nhật mới nhất cho Mythos Preview. Các tiết lộ về HAWK và AES nêu đích danh Mythos Preview.
Tính đến ngày 29 tháng 7 năm 2026, NIST vẫn tiếp tục liệt kê HAWK là ứng viên vòng thứ ba. Thông báo trên diễn đàn NIST của Anthropic đã cảm ơn nhóm HAWK vì đã giúp xác minh kết quả và cung cấp phản hồi, nhưng không cho biết liệu điều đó bao gồm việc xem xét bằng chứng, chạy thử mã nguồn công khai hay cả hai.
