一名候选人落选：Claude 在 HAWK 中发现了什么
7月28日，Anthropic发布了两项使用其Claude Mythos Preview模型产生的密码分析结果。其中一项改进了对AES简化轮次变体的攻击——理论上有趣，实际上无关紧要，不在本文讨论范围之内。另一项则对HAWK构成了切实问题，HAWK是一种后量子签名方案，仅在十周前刚刚晋级NIST第三轮评估。要理解其重要性，有必要先了解NIST流程是什么，以及HAWK在其中所处的位置。
两个流程，而非一个
NIST自2016年起一直举办公开竞赛，以取代RSA和椭圆曲线密码学。目前已产出三项正式标准。此外，NIST还在进行第二项独立竞赛——2022年开放的”补充通道”——专门针对数字签名，这造成了无尽的混淆，因为人们看到关于第三轮候选方案的标题，便以为这与他们可能正在使用的某个方案有关。其实并非如此。
主要流程 [1][6]：
| 日期 | 里程碑 |
|---|---|
| 2016年12月 | 征集提案 |
| 2017年12月 | 收到82份提案；69份进入第一轮 |
| 2019年1月 | 26份晋级第二轮 |
| 2020年7月 | 7份决赛入围及8份备选晋级第三轮 |
| 2022年7月 | Kyber、Dilithium、FALCON和SPHINCS+入选；第四轮仅针对密钥交换开放 |
| 2024年8月 | FIPS 203、204和205发布 |
| 2025年3月 | HQC作为第二种非格密钥交换算法入选 |
实际产出成果：
| 标准名称 | 来源 | 用途 | 数学族 | 状态 |
|---|---|---|---|---|
| ML-KEM | Kyber | 密钥交换 | 结构化格 | 正式标准——FIPS 203 |
| ML-DSA | Dilithium | 签名 | 结构化格 | 正式标准——FIPS 204 |
| SLH-DSA | SPHINCS+ | 签名 | 哈希函数 | 正式标准——FIPS 205 |
| FN-DSA | FALCON | 签名 | NTRU格 | 草案——FIPS 206，预计2026–27年定稿 |
| HQC | HQC | 密钥交换 | 纠错码 | 仅入选；预计2027年发布正式标准 |
| LMS / XMSS | — | 签名（有状态） | 哈希函数 | 正式标准——SP 800-208，专用场景 |
此处有两个概念值得区分。密钥交换算法——正式称为KEM，即密钥封装机制——是双方在开放信道上协商共享密钥的方式，也是每次TLS连接的开场动作。这是问题中较为紧迫的一半，因为今天截获的流量在若干年后密钥交换被攻破时便可解密。数字签名算法则用于证明文件的署名者及其完整性：证书、代码签名、固件。事后伪造签名对攻击者通常毫无价值，因此签名是燃烧较慢的那一半——但有效期长达数十年的场景除外，例如根证书或固件信任锚。
补充通道的存在是因为ML-KEM和ML-DSA均基于结构化格。一旦格数学被攻破，两者将同时失效。NIST希望征集建立在不同数学基础上的签名方案 [2][3]：
| 日期 | 里程碑 |
|---|---|
| 2022年9月 | 征集附加签名方案 |
| 2023年6月 | 40份进入第一轮 |
| 2024年10月 | 14份晋级第二轮 |
| 2026年5月14日 | 9份晋级第三轮；CROSS、LESS、Mirath、PERK和RYDE被淘汰 |
| 2026年8月14日 | 第三轮规范变更截止日期 |
| 约2028年 | 第三轮结束 |
九个幸存者 [4][5]：
| 候选方案 | 族类 | 基于 |
|---|---|---|
| HAWK | 格 | 格同构问题，使用纯整数算术 |
| SQIsign | 同源 | 超奇异椭圆曲线之间的映射；签名极小 |
| FAEST | 头部MPC | 关于AES的陈述证明 |
| MQOM | 头部MPC | 多变量二次问题 |
| SDitH | 头部MPC | 随机线性码的伴随式解码 |
| UOV | 多变量 | 经典非平衡油醋构造 |
| MAYO | 多变量 | UOV，为缩小公钥而重构 |
| QR-UOV | 多变量 | 奇特征商环上的UOV |
| SNOVA | 多变量 | 采用激进密钥压缩的UOV |
九者之中有一个基于格。它就是HAWK。
HAWK是什么，以及出了什么问题
HAWK的卖点在于优雅。即将成为FIPS 206的FALCON方案以实现困难著称，因为其签名步骤需要浮点运算，而要使浮点运算成为常数时间极为困难。HAWK使用纯整数完成相同工作，签名速度快数倍，签名大小也比FALCON小约15% [7]。对于受限硬件——智能卡、物联网、安全元件——这一组合确实颇具吸引力。
其安全性建立在格同构问题之上。HAWK私钥是维度为2n的格的一组”规整”基，其中n是方案的度参数：实际参数集中为512或1024。公钥是同一格的一种丑陋、打乱的描述。恢复私钥意味着从丑陋的描述找回规整的描述，而这一过程的代价随n呈指数增长。
一位Anthropic研究员与Mythos Preview协作约60小时后发现，HAWK的格中存在一种对称性——一个非平凡自同构——此前从未有人加以利用。早期研究已表明，这样的对称性将使攻击更快，但HAWK特定格中是否存在该对称性此前悬而未决。事实证明确实存在。该对称性使攻击者能够将搜索空间折叠，跳过约一半的工作量，具体而言：攻击度为n的HAWK格现在的代价约等于此前攻击度为n/2的格的代价。
如实解读数字
Anthropic的摘要称该攻击”将有效密钥长度减半”，相关报道也沿用了这一说法。这种表述造成了混淆，值得仔细拆解。
没有任何东西的长度减半。密码学家用安全比特来描述强度，这并不是对尺寸的度量。说某方案提供150比特安全性，意味着针对它的最佳已知攻击约需2^150次基本运算。这与密钥占用多少字节毫无关系——HAWK的公钥无论如何都约为一千字节。
因此这些数字是运算次数。Anthropic针对HAWK-256端到端演示了该攻击，完整密钥恢复的预期代价从约2^64次运算降至约2^38次 [8]。这大约是从18千亿亿次降至2750亿次——从”无人能做到”变为在一台像样的台式机上几小时即可完成。然而HAWK-256是HAWK团队出于此类目的特意发布的练习靶标，从未是可部署的选项。真实参数集的情况要好得多。相关论文的技术报道显示，HAWK-512从2^150降至2^108，HAWK-1024从2^288降至2^182 [9]。两者均远超任何现有或可预见设备的能力范围。攻击速度更快，但仍是指数级——这不是被完全攻破。
损失是商业层面的，而非灾难性的。为恢复设计者预期的安全裕量，HAWK必须将n加倍。密钥和签名大小与n线性相关，因此密钥和签名也随之加倍——而紧凑性正是选择HAWK而非FALCON的全部理由。加倍后的HAWK传输更慢，在证书链中体积更大，相比原本的竞争对手反居下风。其实现简洁性依然存在，这是真实的优点，但向NIST陈述的理由就薄弱许多了。第三轮规范变更的截止日期为2026年8月14日。
从中得出的结论
这里的任何内容都不涉及您正在运行的系统。HAWK尚未在任何地方部署；没有补丁，也无需与任何供应商沟通。ML-KEM、ML-DSA和SLH-DSA不受影响，Anthropic也明确表示该技术仅针对HAWK，而非格密码学整体。
这也直截了当地证明了流程按设计运作。NIST公布候选规范，正是为了让人们在任何人部署之前对其发起攻击；上一次竞赛中SIKE在一小时内被一台笔记本电脑攻破，整个体系消化了这一结果。HAWK经历了两轮和两年的专家审查才幸存下来，这与其说说明了审查质量，不如说说明了增加一位不会感到厌倦的审查者的价值。
值得深思的是其经济学意义。这一发现耗时60小时、约10万美元计算费用，由一位并非格密码学专家的研究员主导完成。验证所花费的时间远超发现本身。如果随着模型改进这一比例得以维持，密码分析的瓶颈将不再是专业攻击者的供给，而是专业审查者的供给——每一个仅凭”尚无人发现问题”而存活的方案，都将迎来一次它始料未及的再审视。
最后出手者并无奖赏。
Kaysec 是 Spinsphere（一家新西兰量子技术公司）的后量子安全业务部门。我们为各组织提供密码学资产清查、HNDL 风险评估、TLS 配置审计及 PQC 迁移规划服务。欢迎联系我们。
参考文献
- NIST CSRC，后量子密码学标准化进程，更新于 2026 年 6 月 16 日。https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization
- Alagic, G. 等，NIST 后量子密码学标准化进程附加数字签名方案第一轮状态报告，NIST IR 8528，2024 年 10 月。https://csrc.nist.gov/pubs/ir/8528/final
- NIST CSRC，九项候选方案晋级 PQC 标准化进程附加数字签名第三轮评审，2026 年 5 月 14 日。https://csrc.nist.gov/News/2026/nist-advances-9-candidates-to-the-3rd-round-of-pqc
- Moody, D. 等，NIST 后量子密码学标准化进程附加数字签名方案第二轮状态报告，NIST IR 8610，2026 年 5 月 14 日。https://doi.org/10.6028/NIST.IR.8610
- Abdel-Kareem, M.，”NIST 推进九项后量子数字签名候选方案进入第三轮评审”，量子计算报告，2026 年 5 月 18 日。https://quantumcomputingreport.com/nist-advances-nine-post-quantum-digital-signature-candidates-to-third-evaluation-round/
- NIST，”NIST 选定 HQC 作为后量子加密第五项算法”，2025 年 3 月 11 日。https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption
- Ducas, L. 等，”Hawk：模块 LIP 使格签名快速、紧凑且简洁”，ASIACRYPT 2022。
- Anthropic Frontier Red Team，”利用 Claude 发现密码学漏洞”，2026 年 7 月 28 日。https://www.anthropic.com/research/discovering-cryptographic-weaknesses
- The Hacker News，”Claude AI 破解后量子测试方案并发现更快的 7 轮 AES 攻击”，2026 年 7 月 29 日。https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html
English
日本語
简体中文
한국어