Anthropic meldet neue Angriffe auf HAWK und reduziertes AES

Anthropic hat am 28. Juli 2026 zwei kryptografische Angriffe vorgestellt, die Forscher mit Claude Mythos Preview entwickelt haben. Einer schwächt das Post-Quantum-Signaturverfahren HAWK deutlich, der andere betrifft eine auf sieben Runden reduzierte Variante von AES-128. Eine unabhängige Reproduktion durch die Fachöffentlichkeit steht noch aus.

Produktivsysteme sind nach Angaben von Anthropic nicht betroffen, keine eingesetzte Software muss angepasst werden. Neu ist der Angriffspunkt. Bisher fand Mythos Preview laut Anthropic vor allem Implementierungsfehler in Kryptobibliotheken, diesmal ging es um Schwächen in den mathematischen Verfahren selbst. Jeder der beiden Angriffe kostete das Unternehmen nach eigenen Angaben rund 100.000 US-Dollar an API-Kosten.

HAWK verliert die Hälfte seiner Sicherheitsreserve

HAWK ist einer der verbliebenen Kandidaten in der dritten Runde des NIST-Verfahrens für zusätzliche Post-Quantum-Signaturen, zu dem 2022 aufgerufen wurde. Laut Anthropic hatte das Verfahren zwei Prüfrunden durch Fachleute über zwei Jahre überstanden. Mythos Preview verbesserte den besten bekannten Angriff in rund 60 Stunden Arbeit.

Der Kern des Angriffs ist eine bislang ungenutzte Symmetrie, ein nichttrivialer Automorphismus in dem Gitter, auf dem HAWK aufbaut. Frühere Arbeiten hatten gezeigt, dass ein solcher Automorphismus einen Angriff ermöglichen würde, aber offengelassen, ob er sich bei HAWK tatsächlich findet. Für die kleinste Parametrisierung HAWK-256 sinken die erwarteten Kosten einer vollständigen Schlüsselrekonstruktion nach Anthropics Angaben von 2⁶⁴ auf 2³⁸. Größere Schlüssel bleiben praktisch unangreifbar, denn der Angriff läuft weiterhin in exponentieller Zeit. Er betrifft laut Anthropic nur HAWK, nicht andere NIST-Kandidaten oder gitterbasierte Kryptografie insgesamt.

Für den Kandidaten ist das trotzdem ein harter Schlag. Um das ursprünglich angegebene Sicherheitsniveau zu halten, müssten die Schlüssel doppelt so groß werden. Damit verliert HAWK nach Einschätzung von Anthropic viel von dem, was es als Signaturverfahren attraktiv gemacht hat. Die HAWK-Autoren wurden im Juni informiert, die Offenlegung auf der öffentlichen NIST-Mailingliste erfolgte zeitgleich mit Anthropics Bericht.

Zwei Agenten, eine Idee

Aufschlussreich ist der Arbeitsablauf. Mythos Preview lief laut Anthropic in einer Umgebung mit mehreren kooperierenden Worker-Agenten, mit Python, Sage und Zugriff auf veröffentlichte Fachliteratur. Der menschliche Operator kam aus der theoretischen Informatik, war aber kein Experte für gitterbasierte Kryptografie, und griff meist nur organisatorisch ein.

Die entscheidende Idee verfolgten zwei Worker parallel. Einer verwarf sie vorschnell als undurchführbar. Der andere fand den Weg, sie auszunutzen, und nach weiterem Austausch kamen beide zum selben Ergebnis. Zum Schluss baute das Modell eine durchgängige Verifikationspipeline, um die Korrektheit des Angriffs gegenüber dem Operator zu belegen.

Rundenreduziertes AES: 200- bis 800-fach schneller

Der zweite Angriff zielt auf AES-128, das regulär zehn Runden durchläuft. Untersucht wurde eine Variante mit sieben Runden im Chosen-Plaintext-Modell, dem üblichen Angreifermodell für solche Analysen. Rundenreduzierte Varianten sind in der Kryptanalyse ein etabliertes Testfeld, um Techniken zu erproben und Sicherheitsreserven abzuschätzen.

Laut Anthropic entdeckte Mythos Preview in einem eigens gebauten Gerüst vollständig autonom einen verbesserten Meet-in-the-Middle-Angriff. Er spart eine der Schlüsselannahmen ein, die ein Angreifer treffen muss, und beschleunigt die bisher besten Angriffe um das 200- bis 800-Fache.

Praktisch bleibt das folgenlos. Schon die Vorarbeit, auf der der Angriff aufbaut, setzt 2¹⁰⁵ frei gewählte Klartexte voraus. Vollständiges AES ist nicht gebrochen.

Prüfprozesse auf mehr Angriffsideen einstellen

Anthropic hat die Ergebnisse nach eigenen Angaben von Wissenschaftlern prüfen lassen und vorab mit US-Behörden und Industriepartnern geteilt. Die vollständigen Details stehen in zwei Papers, für HAWK samt Demonstrationscode. Damit kann die Kryptografie-Community die Angriffe jetzt selbst nachrechnen, und erst diese Prüfung entscheidet, wie belastbar Kosten und Geltungsbereich sind. Zusammen mit der ETH Zürich, der Universität Tel Aviv und der TU Berlin hat Anthropic außerdem CryptanalysisBench aufgebaut, einen Benchmark für die kryptanalytischen Fähigkeiten von Sprachmodellen.

Späte Treffer sind im NIST-Prozess nichts Neues. Anthropic erinnert an SIKE, das während der Standardisierung von ML-KEM und ML-DSA auf einem Laptop in einer Stunde vollständig gebrochen wurde. Neu ist das Tempo, mit dem ein Modell auf einen Kandidaten angesetzt werden kann, der jahrelang von Menschen geprüft wurde.

Für Sicherheits- und Plattformteams heißt das vorerst: Es besteht kein Handlungsbedarf bei bestehenden Systemen. Bei der Planung einer Post-Quantum-Migration sollte man sich dagegen nur auf bereits standardisierte Verfahren festlegen, solange Kandidaten noch im Wettbewerb stehen. Gremien und Fachleute, die solche Verfahren begutachten, sollten sich auf deutlich mehr maschinell erzeugte Angriffsideen einstellen, von denen jede einzeln nachgerechnet werden muss.