Anthropic : Claude Mythos Preview trouve des attaques contre des algorithmes cryptographiques

Ce qu’il faut retenir :

• Anthropic a publié deux résultats de cryptanalyse obtenus avec son modèle Claude Mythos Preview.
• Le premier divise par deux la solidité effective des clés de HAWK, un schéma de signature post-quantique.
• Aucun des deux résultats n’affecte les systèmes en production aujourd’hui.

Anthropic a publié ce mardi deux résultats de cryptanalyse obtenus avec son modèle Claude Mythos Preview, dont une attaque qui affaiblit HAWK, un schéma de signature numérique conçu pour résister aux ordinateurs quantiques, et une accélération de 200 à 800 fois d’une attaque connue contre une version réduite d’AES. Aucun logiciel en production n’a besoin d’être modifié à la suite de ces travaux.

Qu’est-ce que HAWK et pourquoi cette attaque compte ?

HAWK figure parmi les candidats retenus au troisième tour de l’appel lancé en 2022 par le NIST, l’institut américain des normes, pour trouver des signatures numériques résistantes aux ordinateurs quantiques. Ces machines, si elles voient le jour, casseraient la plupart des schémas classiques comme RSA ou ECDSA.

Le schéma avait passé deux ans et deux tours de relecture par des experts humains. Mythos Preview a amélioré la meilleure attaque connue en 60 heures de travail, réduisant de moitié la taille de clé effective. Concrètement, le coût attendu d’une récupération complète de clé sur la plus petite version, HAWK-256, était estimé à 2⁶⁴ opérations. La démonstration le ramène à 2³⁸.

La sécurité de HAWK repose sur la difficulté d’un problème mathématique, l’isomorphisme de réseaux euclidiens. L’attaque exploite une symétrie jamais utilisée jusqu’ici, un automorphisme non trivial dans le réseau employé par le schéma. Des travaux antérieurs établissaient déjà qu’un tel automorphisme ouvrirait la voie à une attaque, sans dire s’il existait dans le réseau de HAWK.

La conséquence est lourde pour le candidat : il faudrait doubler la taille de ses clés pour retrouver le niveau de sécurité annoncé, ce qui lui ferait perdre l’essentiel de ce qui le rendait attractif. L’attaque reste exponentielle, ne concerne que HAWK et laisse intacts les autres candidats post-quantiques du NIST.

Une attaque sur AES réduit à sept tours

Le second résultat porte sur l’Advanced Encryption Standard, adopté par le NIST en 2001 et scruté plus que presque tout autre algorithme de chiffrement. AES-128 applique dix tours de la même fonction. L’attaque ne vise qu’une variante affaiblie à sept tours, un exercice classique de la recherche académique pour estimer la solidité du chiffrement complet.

Mythos Preview prolonge une longue série de travaux sur les attaques dites de rencontre au milieu, qui échangent du temps de calcul contre de l’espace de stockage. Le modèle a mis au point un algorithme d'empreinte qu’il a baptisé Möbius Bridge, éliminant l’une des devinettes que l’attaquant devait effectuer. Le gain net atteint 200 à 800 fois selon la méthode de mesure retenue.

Le scénario reste théorique : il suppose un attaquant capable de faire chiffrer autant de textes choisis qu’il veut, dans des volumes hors d’atteinte. Le chiffrement complet à dix tours n’est pas cassé.

Comment Claude a-t-il trouvé ces attaques ?

Les deux découvertes reposent sur un harnais agentique dérivé de Claude Code, avec plusieurs agents travaillant en parallèle dans un environnement isolé, équipés de Python et de Sage. Pour HAWK, l’opérateur humain n’était pas spécialiste des réseaux euclidiens et s’est cantonné à de la gestion de projet.

Un détail du processus mérite l’attention. L’idée décisive est née d’un binôme d’agents : le premier a écarté la piste comme irréalisable, le second a trouvé le moyen de l’exploiter, et les échanges entre les deux ont abouti à l’attaque retenue.

Sur AES, le démarrage a été plus rugueux. Le modèle refusait d’abord d’entrer dans le problème, jugeant toute amélioration impossible. “AES-128 en 5 ou 6 tours, c’est difficile, point”, écrivait-il dans les premières sessions, rappelant qu’il s’agit du chiffrement par blocs le plus étudié au monde. Le chercheur a débloqué la situation avec un message expliquant que les modèles renoncent trop vite et ont besoin d’être poussés. Claude a alors réécrit lui-même son harnais pour chercher des idées inédites.

Trois relances substantielles ont suffi ensuite. Le modèle a produit plusieurs centaines de millions de tokens en trois jours avant de trouver le Möbius Bridge, puis un milliard de tokens en sortie au total pour aboutir à l’attaque publiée. Chacun des deux résultats a coûté environ 100 000 dollars en usage d’API.

La validation humaine devient le goulot d’étranglement

Le rapport de forces s’inverse sur la vérification. Là où Mythos Preview a mis une semaine à découvrir l’attaque sur AES de façon quasi autonome, deux chercheurs ont eu besoin de près d’un mois pour se convaincre de sa validité, après plusieurs centaines d’heures passées à apprendre assez de cryptographie.

Anthropic anticipe la généralisation de ce déséquilibre : les chercheurs humains deviendraient le point de blocage, occupés à valider des résultats produits en série par des modèles. L’entreprise annonce un atelier académique et a construit avec l’ETH Zurich, l’université de Tel-Aviv et celle de Haïfa un banc d’essai baptisé CryptanalysisBench.

D’autres chiffrements déjà entamés

Sur LEA, un chiffrement léger normalisé ISO pour environnements contraints, Mythos Preview récupère une clé sur 13 tours en moins d’une heure sur un ordinateur de bureau. Le chiffrement complet en compte 24. Le modèle a aussi cassé 6 tours de Serpent-128, qui en compte 32, avec des gains plus modestes, inférieurs à 10 fois, sur Salsa20, Poseidon et SHA-1.

Faut-il s’inquiéter pour le chiffrement et les blockchains ?

Non, pas à ce stade. HAWK n’est déployé nulle part, puisqu’il s’agit d’un candidat en cours d’évaluation. L’attaque sur AES porte sur une version amputée et laisse le chiffrement complet hors d’atteinte. Les schémas qui sécurisent aujourd’hui les transactions blockchain, ECDSA en tête, ne sont pas concernés par ces résultats.

L’enjeu se situe ailleurs, dans le calendrier. Le processus de normalisation post-quantique existe précisément pour repérer les faiblesses avant déploiement, et ces découvertes tardives arrivent : lors de la standardisation de ML-KEM et ML-DSA, le candidat SIKE avait été cassé en une heure sur un ordinateur portable.

Et maintenant ?

La question ouverte porte sur le cas suivant. Anthropic a suivi une procédure de divulgation coordonnée, en partageant l’attaque avec les auteurs de HAWK dès juin et en prévenant partenaires gouvernementaux et industriels américains. Reste à définir la marche à suivre le jour où un modèle trouvera une faille dans un système en production. En un an, ces modèles sont passés de l’incapacité à casser les chiffrements les plus simples à la découverte de failles restées invisibles à des années de relecture experte. Beaucoup d’algorithmes en service ont reçu moins d’attention qu’ils n’en méritaient.