Anthropic anunció que su IA Claude Mythos Preview logró descubrir debilidades criptográficas en los esquemas HAWK-256 y AES-128. Aunque se consiguió recuperar claves de HAWK-256 y acelerar ataques contra versiones reducidas de AES, la empresa aclaró que estos hallazgos no afectan a los sistemas en producción. Los resultados fueron publicados junto con artículos técnicos para su verificación y reproducibilidad.



Anthropic afirma que Claude Mythos Preview ayudó a derivar un ataque de recuperación de claves de extremo a extremo contra HAWK-256 y una aceleración de 200 a 800 veces para un ataque contra AES-128 de siete rondas.

El ataque HAWK aprovecha una simetría previamente no utilizada en la red detrás del esquema de firma. La implementación lanzada por Anthropic ofrece un tiempo de ejecución esperado de unas tres horas y 42 minutos en un servidor de 96 núcleos. El resultado de AES elimina un paso de adivinación de 256 vías de un ataque existente de encuentro en el medio.

Anthropic señaló que ninguno de los resultados afecta a los sistemas de producción. HAWK sigue siendo un candidato en el proceso de estandarización poscuántica del Instituto Nacional de Estándares y Tecnología (NIST), y el código de recuperación público solo se dirige al parámetro más pequeño, HAWK-256.

El resultado del Estándar de Cifrado Avanzado (AES) se aplica a siete de las diez rondas de AES-128 y todavía requiere un número impracticable de textos claros seleccionados. La empresa afirmó que ningún software de producción necesita ser modificado como resultado.

Anthropic publicó los hallazgos en este enlace junto con dos artículos técnicos y artefactos de reproducibilidad. La empresa dijo que Mythos Preview llevó a cabo la mayor parte de la investigación por sí misma, mientras que los humanos proporcionaron la dirección del proyecto, los recursos informáticos y una verificación exhaustiva.

Una simetría oculta en la red de hawk

HAWK es el único esquema basado en redes entre los nueve candidatos que el NIST avanzó en mayo de 2026 a la tercera ronda de su proceso adicional de firmas digitales poscuánticas. Sus conjuntos de parámetros de nivel de seguridad NIST son HAWK-512 y HAWK-1024; HAWK-256 es un parámetro de desafío proporcionado como objetivo criptoanalítico.

La recuperación directa de la clave HAWK es una instancia del módulo de búsqueda del Problema de Isomorfismo de Redes (smLIP). Un atacante debe recuperar una transformación oculta entre dos redes.

Un artículo de Daniël van Gent y Ludo Pulles en este enlace mostró que un automorfismo no trivial, una simetría que preserva la red, reduciría la recuperación de la clave HAWK a la búsqueda de un vector corto en una red de aproximadamente la mitad de la dimensión original.

Ese trabajo abrió la vía del ataque, pero los autores dijeron que en ese momento no afectaba a HAWK. Anthropic afirma que Mythos Preview encontró el automorfismo adicional necesario para explotar esa vía.

El ataque HAWK-n resultante descrito aquí construye lo que los investigadores llaman una red de cociclo τ a partir de la clave pública. Luego utiliza la reducción de redes y el cribado para recuperar vectores cortos antes de reconstruir una base secreta que puede firmar mensajes para la clave pública original.

La implementación lanzada por Anthropic en GitHub verifica la clave recuperada firmando un mensaje y comprobándolo con la implementación de referencia del NIST. No recupera la semilla de la clave secreta original de 96 bytes; en su lugar, produce una clave decodificada de 592 bytes que contiene material de firma funcionalmente equivalente.

El código lanzado por Anthropic solo soporta HAWK-256 y rechaza cualquier entrada que no sea HAWK-256. El repositorio incluye dos claves públicas que, según Anthropic, atacó con éxito. También permite generar y probar claves HAWK-256 nuevas.

Anthropic estima que el factor de trabajo esperado para la recuperación de la clave HAWK-256 cae de 2^64 a 2^38. En un anuncio del foro del NIST el mismo día, dijo que la estimación del recuento de puertas cae de 2^150 a 2^108 para HAWK-512 y de 2^288 a 2^182 para HAWK-1024. Ambos parámetros más grandes siguen siendo impracticables de atacar.

Hasta esta revisión, el registro público no muestra si el NIST o los presentadores de HAWK cambiarán los parámetros del esquema, las afirmaciones de seguridad o su posición en el proceso de estandarización en respuesta a esas estimaciones más bajas, si es que lo hacen.

El ataque sigue siendo exponencial. No es una ruptura de tiempo polinómico de HAWK, y Anthropic dijo que no se extiende a otros candidatos de firma del NIST ni a la criptografía de redes en general.

Anthropic señaló que Mythos Preview desarrolló y verificó el resultado durante aproximadamente 60 horas en un entorno multiagente. Un investigador humano proporcionó orientación ocasional de gestión de proyectos, pero no era un especialista en criptografía de redes. La empresa estimó el costo de la interfaz de programación de aplicaciones (API) en unos 100.000 dólares.

Más rápido, pero sigue siendo impracticable

El segundo resultado se dirige a AES-128 reducido de diez rondas a siete. Estudiar cifrados de rondas reducidas es una práctica criptoanalítica estándar porque mide cuánto margen de seguridad queda antes de que un ataque alcance la construcción completa.

El ataque asume que un adversario puede obtener unos 2^105 textos claros seleccionados cifrados bajo una clave fija y desconocida. Ese requisito por sí solo lo sitúa totalmente fuera del uso en el mundo real.

Los ataques previos de encuentro en el medio intercambian memoria por computación almacenando estados de cifrado intermedios y comparando cálculos realizados desde extremos opuestos del cifrado. Una etapa en el ataque anterior requería probar 256 valores posibles antes de buscar en la tabla.

Mythos desarrolló una huella invariante que Anthropic llama el "Puente de Möbius". Debido a que la huella no cambia a través de ese valor adivinado, el ataque puede eliminar la enumeración de 256 vías. Tras contabilizar el costo de la transformación y otras optimizaciones, Anthropic estima que el ataque a AES-128 de siete rondas es entre 200 y 800 veces más rápido, dependiendo de cómo se mida el tiempo de ejecución.

El artículo de AES adjunto en este enlace presenta la construcción matemática, mientras que el artefacto lanzado en GitHub proporciona el código para cada experimento citado en el artículo.

El código de Anthropic realiza una recuperación de claves completa de caja negra contra un cifrado similar a AES más pequeño con una clave de 24 bits. Para el AES-128 real de siete rondas, mide entradas de tabla individuales y candidatos en línea. Implementaciones separadas en C, Python y Rust prueban las afirmaciones de los componentes, y Anthropic proyecta esas mediciones al ataque completo. No ejecuta la recuperación completa de AES-128 de principio a fin.

El resultado práctico es más limitado de lo que los nombres HAWK y AES podrían implicar. La recuperación completa de HAWK se dirige a HAWK-256, un parámetro de desafío y no a ninguno de los conjuntos de parámetros de nivel de seguridad del NIST. Para AES-128 de siete rondas, Anthropic proyecta el costo del ataque completo a partir de mediciones de componentes, y el ataque sigue siendo inviable a escala realista.

La empresa dijo que el modelo inicialmente se negó a participar, insistiendo en que mejorar AES era imposible. Anthropic publicó los prompts directos del investigador, con erratas y todo, que empujaron al modelo a seguir buscando.

Anthropic afirmó que Mythos Preview encontró el Puente de Möbius después de unos tres días y varios cientos de millones de tokens de salida. Refinó el método durante los días siguientes, generando finalmente aproximadamente mil millones de tokens de salida.

El costo más alto fue el humano. La ejecución del modelo costó aproximadamente 100.000 dólares en uso de la API, pero los investigadores dedicaron varios cientos de horas a comprobar el método. Anthropic dijo que dos investigadores tardaron casi un mes en alcanzar la confianza de que era correcto. Según Anthropic, la verificación fue el cuello de botella visible.

Las revelaciones siguen al lanzamiento el 20 de julio de CryptanalysisBench en este enlace, un benchmark de 191 tareas desarrollado por investigadores de ETH Zurich, Anthropic, la Universidad de Haifa, la Technische Universität Berlin y la Universidad de Tel Aviv. Cinco modelos rompieron entre el 65% y el 86% de sus esquemas más sencillos de primer nivel y entre seis y doce esquemas de fuerza completa en su segundo nivel.

Ese benchmark evaluó a Mythos 5, que Anthropic describe como la última actualización de Mythos Preview. La revelación de HAWK y AES nombra específicamente a Mythos Preview.

Hasta el 29 de julio de 2026, el NIST continuaba enumerando a HAWK como un candidato de tercera ronda. El anuncio de Anthropic en el foro del NIST agradeció al equipo de HAWK por ayudar a verificar el resultado y proporcionar comentarios, pero no dijo si eso implicaba revisar la prueba, ejecutar el artefacto público o ambas cosas.

El hilo público no contenía respuestas al ser consultado, y no se localizó una reproducción independiente de la recuperación de HAWK-256 de Anthropic durante esta revisión.

Fuente:
THN