編按：本文綜合整理自 Ars Technica、Anthropic 官方部落格、Cryptography Engineering 部落格（Matthew Green）、NYT 報導、The Hacker News、Hacker News 討論串（226 分、20+ 留言），並加入 Siami 編輯部觀點與分析。
事件總覽：HAWK 在第三輪被擊敗
Anthropic 於 2026 年 7 月 28 日週一公開兩項由 Claude Mythos Preview 模型完成的密碼分析成果，其中一項直接打在 NIST 第三輪後量子數位簽章候選演算法 HAWK 的核心弱點上，把它的有效金鑰強度砍掉一半。HAWK 開發團隊隔天（週二）隨即宣布撤回該演算法，這是 NIST 自 2016 年啟動後量子密碼學（PQC）標準化流程以來，第一次在第三輪正式測試階段有候選演算法因外部攻擊而退場。
另一項成果針對目前全球最廣泛使用的對稱式加密標準 AES。Mythos 將針對 7 輪 AES 的「中間相遇攻擊」（meet-in-the-middle attack）所需輸入數從原本的 2¹⁰⁵ 大幅降低到 2⁸⁹，相當於運算時間縮短 200 到 800 倍。但 Anthropic 與獨立密碼學者都強調，這只在實驗室的「弱化版挑戰實例」上成立，正式規格的 AES-128、AES-192、AES-256 分別使用 10、12、14 輪，目前部署的所有加密系統都不受影響。
簡單講：HAWK 死了，AES 沒事。但「為什麼 Mythos 能用 60 小時做到人類學者兩年沒做到的事」這個問題，比結果本身更值得討論。
攻擊過程：60 小時、10 萬美元、一個不寫密碼學的研究員
Anthropic 在部落格中詳細描述了 HAWK 攻擊的產出過程。整個流程並非 Mythos 從零發明新數學，而是它「延伸了一堆早就躺在那、大家都知道的工具，把它們組合起來得到一個好的結果」──這是 Johns Hopkins 密碼學教授 Matthew Green 的原話。
攻擊 HAWK 的關鍵在於找到 HAWK 數學基礎（lattice isomorphism problem，模格同構問題）中的「非平凡自同構」（nontrivial automorphism）。之前的文獻已經證明，找到這種自同構就足以構成攻擊，但如何有效率地找到它，一直是開放問題。Mythos 在文獻回顧後，用兩名 agent 平行研究：第一位先判定方法不可行而放棄，第二位找到了讓它可行的路徑；兩個 agent 最後交換訊息、達成共識，整個過程耗時 60 小時、運算成本約 10 萬美元。執行研究的人本身並沒有密碼學專業背景，這點 Anthropic 特別強調。
對 AES 的攻擊則採用另一個策略：Mythos 自主設計並命名了一種稱為「Möbius Bridge」的新型指紋演算法，把「中間相遇攻擊」需要的已知明文數量大幅壓低。Anthropic 表示第二個攻擊讓 Claude 「完全自主」發現攻擊，研究員只搭建了運作腳手架。
兩項攻擊 Anthropic 都已提交完整技術論文，HAWK 開發者審視後接受結論並撤回演算法。值得注意的是，測試的 HAWK-256 與 AES-128 都是 NIST 規格作者刻意設計的「弱化挑戰實例」（challenge instances），供學界做對抗式同儕審查；正式規格在實務部署時更為強健。
為什麼這件事重要
這是 AI 第一次在公開、學術可驗證的場景下，產出一個足以讓一個國際標準化流程的候選演算法退場的密碼分析結果。在過去兩年裡，HAWK 通過了 NIST 兩輪正式測試，動員了大量人類密碼學家審查；Mythos 只花一個週末級的工作量就找到了他們漏掉的結構性弱點。
更深層的意義在於攻擊的「組合性」。Matthew Green 在部落格明確指出，這次攻擊沒有發明新的數學，而是把既有方法組合起來。這正是大型語言模型的強項：閱讀大量分散的文獻、辨識出人類專家因為心智負載而忽略的組合空間。一旦這種能力被應用到 RSA、橢圓曲線密碼學（ECC）等部署中的系統，影響會完全不同。
Anthropic 自家也在部落格中警告：「網路安全社群現在面對的事實是，語言模型能發現的 bug 數量遠超人類標準流程（漏洞分流、驗證、修補）的處理速度。我們預測學術密碼學研究很快就會面對同樣的處境。」隨著語言模型自主產出越來越多新穎的研究成果，人類研究者會成為驗證技術有效性、新穎性與實用性的瓶頸。
對全球密碼學社群而言，這也是 NIST 第三輪後量子簽章標準化的重要節點。原本 HAWK 是「唯一的格基候選」（唯一基於 lattice 的算法），其他八個第三輪候選使用不同數學結構。HAWK 撤回後，NIST 的標準化時間表可能必須調整，原本預期 2027-2028 年定案的時程，被多家媒體點名可能延後。
數據解讀與質疑
幾個必須誠實面對的數字限制：
- 60 小時不代表「AI 自動完成」。整個流程需要一位人類研究員全程下指導棋、提供非技術性方向，並花「好幾百小時」學習密碼學來驗證模型產出。這不是「按下按鈕就破解密碼」的場景，而是「AI + 人類專家協作」的新型研究模式。
- HAWK 的死亡是「理論上的」。HAWK 並未在任何生產系統部署，因為它根本還沒被標準化。被擊敗的演算法沒有實際攻擊面，真正的意義在於「候選階段就被淘汰」，這在標準化史上罕見。
- AES 攻擊僅限 7 輪。正式規格使用 10、12、14 輪，攻擊無法延伸到真實部署。這跟 2008 年 Craig Gentry 證明全同態加密存在、但效率差到無法實用，是同樣的「原理上可行但實務上無用」類型。
- 「節省 200-800 倍」聽起來很驚人，但實際攻擊成本仍遠超可行範圍。原始需要 2¹⁰⁵ 已知明文輸入已是不可能任務，降到 2⁸⁹ 仍是天文數字。Anthropic 自己也承認「能在實驗室外執行這類攻擊的能力遙不可及」。
學界與業界的質疑聲音也值得納入：
- Matthew Green 明確區分兩個攻擊的「品質差很多」。他認為 HAWK 攻擊有實質意義（找到了以前沒人注意的對稱性），但 AES 攻擊只是「對 7 輪版本做小幅改進」，不該被誇大成「AI 破解 AES」。
- Hacker News 討論串中，Retr0d 的總結被高度認同：「HAWK 因為還沒標準化，所以本來就沒部署。你不需要擔心 AES。」這代表了多數懂技術讀者的冷靜觀點。
- 另一派質疑（r0x0r007、reader9274 等留言）認為 Anthropic 的發稿策略「把弱結論包裝成強結論」，把「沒人部署的候選被擊敗」跟「AES 被破」混為一談，有行銷炒作嫌疑。
- 還有開發者（sublimefire）質疑：「花 10 萬美元請研究員或研究生也許長期回報更高。如果是 1 千美元那當然值得拿來探大問題，像 fuzzing 一樣。」這反映 AI 工具的「機會成本」問題。
整體而言，這次成果的真實價值在於「AI 進入密碼學研究的工作流」這個結構性訊號，而非具體的密碼學突破。對資安產業、學術界、NIST 的後續影響，才剛開始發酵。
後續發展與產業影響
對 NIST 與標準化時程：原本第三輪預期持續約兩年、2027-2028 年定案。HAWK 撤回後，NIST 可能需要重新評估其餘 8 個候選的審查強度，或加速推動 ML-DSA（Dilithium）、FN-DSA（Falcon）這些已被選定的演算法部署。多家媒體（包括 StartupFortune、CyberScoop）已點名「NIST 後量子時間表可能因此生變」。
對 AI + 密碼學的工具鏈：Anthropic 已經把 Mythos 描述為「負責任揭露」（responsible disclosure）的執行者，未公開對所有密碼系統的測試結果，僅公布兩個攻擊。這引發「AI 公司何時該揭露、何時該保留」的治理討論。Sophia Schmieg（Google PQC 專家）認為「HAWK 早就被懷疑有弱點，Mythos 只是加速發現」，但她也承認「這對 NIST 標準化是壞消息」。
對其他 AI 實驗室：Mythos 此次展示的能力，是否會被 OpenAI、Google DeepMind 等競爭對手複製？是這個產業後續觀察的重點。如果多家 AI 公司都擁有類似能力，密碼學研究的人力配置、審查流程、甚至 NIST 標準化的「人類驗證」環節，都必須重新設計。
對企業資安團隊：短期內（2026-2027）不需恐慌——正式部署的 AES、RSA、ECC 都沒有被破。但中期（2028-2030）需要密切追蹤 AI 輔助密碼分析的進展，因為「原理上能縮短攻擊時間 200-800 倍」這類成果一旦延伸到實務可達的範圍，整個密碼學產業的時間表都會加速。
編按：本文綜合整理自 Ars Technica、Anthropic 官方部落格、Cryptography Engineering 部落格（Matthew Green）、NYT 報導、The Hacker News、CyberScoop、Hacker News 討論串（226 分、20+ 留言），並加入 Siami 編輯部觀點與分析。
網友熱門留言 (5)