Un’AI indebolisce HAWK: la crittanalisi post-quantum cambia scala

Anthropic ha annunciato di aver usato un proprio modello per ricavare un attacco che riduce la robustezza effettiva delle chiavi di HAWK, uno dei candidati alla firma digitale post-quantum in gara al NIST, e per accelerare di 200-800 volte il miglior attacco noto su una versione ridotta di AES. Nessuno dei due risultati tocca sistemi in produzione, ma sposta un problema di governance: la revisione degli algoritmi crittografici sta per diventare più veloce di quanto le comunità umane sappiano verificare.

Il 28 luglio Anthropic ha pubblicato, tramite il proprio Frontier Red Team, due risultati di crittanalisi ottenuti con il modello Claude Mythos Preview, un modello ad accesso ristretto e non disponibile pubblicamente. Il primo è un attacco di key recovery migliorato contro HAWK , uno schema di firma digitale progettato per resistere ai computer quantistici; il secondo è un’ottimizzazione del miglior attacco noto su AES-128 ridotto a sette round. La ricostruzione qui proposta si basa sul comunicato di ricerca e sui due paper tecnici rilasciati insieme a un repository con codice dimostrativo.

Cosa è stato trovato su HAWK

HAWK è l’unico schema basato su reticoli tra i nove candidati ammessi al terzo round del processo NIST per firme digitali aggiuntive (selezione del maggio 2026, NIST IR 8610), il bando aperto nel 2022 per diversificare gli algoritmi post-quantum. I set di parametri ufficiali sono due, HAWK-512 (livello di sicurezza NIST 1) e HAWK-1024 (livello 5); HAWK-256 non è invece una configurazione in uso, ma un parametro-sfida che i progettisti forniscono come bersaglio crittanalitico. È un punto da tenere fermo, perché l’attacco di recupero chiave dimostrato riguarda proprio HAWK-256 , non i set in uso.

La sicurezza di HAWK poggia sulla difficoltà del Lattice Isomorphism Problem: un attaccante dovrebbe recuperare una trasformazione nascosta tra due reticoli. Un lavoro precedente di Daniël van Gent e Ludo Pulles aveva dimostrato che l’esistenza di un particolare automorfismo (una simmetria che preserva il reticolo) avrebbe ridotto il recupero della chiave alla ricerca di un vettore corto in un reticolo di dimensione circa dimezzata, senza però stabilire se quell’automorfismo fosse davvero accessibile nel reticolo usato da HAWK . Secondo Anthropic, il modello ha individuato l’automorfismo mancante, costruendo un’enumerazione più rapida della chiave.

L’effetto è quantificabile: per HAWK-256 il costo atteso di un recupero completo della chiave scende da circa 2^64 a 2^38 operazioni. Anthropic descrive il risultato come un dimezzamento della keysize effettiva, cioè della dimensione del reticolo su cui l’attaccante deve lavorare; da qui la conseguenza operativa, cioè che per mantenere il livello di sicurezza dichiarato le chiavi andrebbero raddoppiate, e questo erode molti dei vantaggi che rendevano lo schema interessante. Per i parametri più grandi il conto resta proibitivo: le stime di gate count riportate nel paper su HAWK (Tabella 1) scendono da 2^150 a 2^108 per HAWK-512 e da 2^288 a non più di 2^182 per HAWK-1024 , valori che restano impraticabili. Va precisato che l’attacco è esponenziale, non è una rottura in tempo polinomiale, ed è specifico di HAWK : non si estende agli altri candidati NIST né alla crittografia su reticoli in generale.

Un precedente aiuta a inquadrare la portata, ma va maneggiato con misura: durante la standardizzazione post-quantum lo schema SIKE, ritenuto solido, fu completamente compromesso in circa un’ora su un portatile. La differenza è sostanziale, perché SIKE venne rotto in tempo pratico, mentre l’attacco a HAWK resta esponenziale e non ne consente la violazione effettiva; l’analogia riguarda il momento, non l’esito, cioè una debolezza emersa a valle di anni di revisione. Trovare falle tardive è, in questo senso, il processo che funziona.

Il risultato è arrivato dentro una cornice di responsible disclosure che per una rivista di sicurezza conta quanto il dato tecnico: Anthropic dichiara di aver condiviso l’attacco con gli autori di HAWK a giugno, di aver coordinato la divulgazione con la mailing list pubblica del NIST lo stesso giorno del rilascio e di aver distribuito copie anticipate a partner governativi e industriali, oltre a consultare accademici per la validazione. Non è quindi un lancio unilaterale.

AES ridotto: più veloce, ancora impraticabile

Il secondo risultato riguarda AES-128 , tra i cifrari simmetrici più studiati al mondo, ma nella variante ridotta a sette dei dieci round previsti. Studiare cifrari a round ridotti è prassi standard: serve a misurare quanto margine di sicurezza resti prima che una tecnica raggiunga la costruzione completa.

Il modello ha migliorato un attacco meet-in-the-middle, la famiglia che scambia tempo con memoria salvando calcoli intermedi in grandi tabelle di lookup. Una fase dell’attacco precedente doveva enumerare 256 valori possibili prima di interrogare la tabella; la tecnica che il modello stesso ha battezzato Möbius Bridge produce un’impronta invariante rispetto a quella scelta, eliminando l’enumerazione. Il risultato netto, come descrive il paper sull’attacco ad AES, è un’accelerazione compresa tra 200 e 800 volte, a seconda di come si misura il runtime.

Resta un esercizio teorico: il modello di minaccia assume la disponibilità di circa 2^105 chosen plaintext cifrati con una chiave fissa, requisito fuori da qualsiasi scala reale, e l’attacco non intacca il cifrario completo a dieci round. Nessun software in produzione deve cambiare per effetto di questi risultati; vale sia per AES sia per HAWK , entrambi risultati di ricerca e non compromissioni operative.

Il punto che conta per chi difende

Il dato più rilevante per la comunità non è la singola debolezza, ma il metodo. Anthropic riferisce che il modello ha lavorato in larga parte in autonomia: per HAWK , dentro un harness multi-agente, circa 60 ore di lavoro complessivo, con un ricercatore non specialista di crittografia su reticoli a fornire indirizzo di progetto; per AES , uno scaffold costruito su Claude Code che ha lasciato al modello la formulazione e la verifica delle ipotesi, con appena tre indicazioni sostanziali dall’operatore. Ciascuno dei due risultati è costato all’incirca 100.000 dollari di chiamate API, cifra che però non descrive una barriera replicabile da chiunque, dato che il modello impiegato non è pubblicamente accessibile.

Il collo di bottiglia si è spostato sulla verifica umana: due ricercatori hanno impiegato quasi un mese per convincersi della correttezza del risultato su AES , contro la settimana servita al modello per concepirlo. Anthropic lo dice esplicitamente e ne trae la previsione che diventa la vera notizia: come già accade nel bug hunting, dove i modelli individuano più difetti di quanti i processi umani riescano a smaltire, presto anche la ricerca crittografica potrebbe trovarsi con più risultati da validare che tempo per farlo. Per stimolare la comunità, l’azienda ha co-sviluppato con ETH Zurigo, Università di Tel Aviv e Università di Haifa il benchmark CryptanalysisBench e annuncia un workshop accademico nelle prossime settimane.

I risultati più concreti tra i lavori collaterali riguardano cifrari reali. Su LEA ridotto a 13 round, un cifrario leggero codificato nello standard ISO/IEC 29192-2:2019, il modello ha prodotto un attacco pratico che, secondo Anthropic, recupera la chiave in meno di un’ora su un desktop moderno e con meno di 2^30 testi in chiaro cifrati, contro i 2^98 richiesti dal miglior attacco pubblicato. È un requisito di dati abbastanza contenuto da renderlo praticabile e non solo veloce, e l’attacco gira end-to-end, quindi con un livello di confidenza sulla correttezza alto, superiore a quello dei risultati proiettati per via analitica. Un secondo attacco pratico di recupero chiave riguarda 6 dei 32 round di Serpent-128 , mentre su Salsa20, la funzione hash Poseidon e SHA-1 i guadagni segnalati sono inferiori a 10x. Nessuno di questi tocca la versione completa dei rispettivi cifrari, ma il segnale, in una lettura di prospettiva più che come dato riportato dalla fonte, è che analisi prima riservate a mesi di lavoro specialistico diventano automatizzabili.

Due cautele restano d’obbligo, utili a chi valuta l’impatto. Anzitutto la novità va circoscritta: non è la prima volta che modelli linguistici producono matematica di livello di ricerca, e gli stessi autori descrivono entrambi gli attacchi principali come risultati attesi lungo linee di lavoro già note. In secondo luogo, la verifica indipendente pubblica end-to-end non è ancora arrivata, benché Anthropic dichiari di aver consultato accademici e coinvolto gli autori di HAWK prima della pubblicazione; alla chiusura di questo articolo (29 luglio), secondo The Hacker News, il thread di annuncio sulla mailing list NIST non registrava repliche pubbliche. È un motivo per trattare i numeri come solidi ma non ancora replicati da terzi in modo autonomo.

Per un lettore europeo il collegamento con l’agenda di compliance è diretto. La migrazione alla crittografia resistente ai quantum è già una questione di governance, con scadenze fissate negli Stati Uniti al 2030-2031 e un calendario europeo già fissato dalla roadmap del NIS Cooperation Group, che traguarda i piani nazionali a fine 2026, i casi d’uso ad alto rischio e le infrastrutture critiche a fine 2030 e il completamento al 2035. Se la selezione degli algoritmi che proteggeranno firme e scambi di chiave per il prossimo decennio entra in una fase in cui l’AI accelera l’individuazione delle falle, la crypto-agility, cioè la capacità di sostituire rapidamente le primitive quando emergono debolezze, smette di essere una buona pratica e diventa un requisito di progettazione.