A Anthropic afirma que o Claude Mythos Preview ajudou a derivar um ataque de recuperação de chaves de ponta a ponta contra o HAWK-256 e um ganho de velocidade de 200 a 800 vezes em um ataque contra o AES-128 com sete rodadas.
No caso do HAWK, o ataque explora uma simetria até então não utilizada na rede por trás do esquema de assinatura.
A implementação divulgada pela Anthropic indica um tempo total esperado de cerca de três horas e 42 minutos em um servidor com 96 núcleos.
Já o resultado para o AES remove uma etapa de tentativa de 256 possibilidades de um ataque meet-in-the-middle já conhecido.
A Anthropic disse que nenhum dos resultados afeta sistemas em produção.
O HAWK segue como candidato no processo de padronização pós-quântica do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST, e o código público de recuperação mira apenas o parâmetro menor, o HAWK-256.
O resultado para o Advanced Encryption Standard, ou AES, vale para sete das dez rodadas do AES-128 e ainda exige um número impraticável de textos simples escolhidos.
A empresa afirmou que nenhum software em produção precisa ser alterado por causa disso.
A Anthropic publicou as descobertas junto com dois artigos técnicos e artefatos de reprodutibilidade.
Segundo a empresa, o Mythos Preview conduziu a pesquisa em grande parte por conta própria, enquanto humanos forneceram direção ao projeto, recursos computacionais e verificação extensiva.
Uma simetria escondida na rede do HAWK
O HAWK é o único esquema baseado em rede entre as nove candidatas que o NIST avançou para a terceira rodada de seu processo adicional de assinaturas digitais pós-quânticas em maio de 2026.
Seus conjuntos de parâmetros de nível de segurança do NIST são o HAWK-512 e o HAWK-1024.
Já o HAWK-256 é um parâmetro de desafio, fornecido como alvo de criptoanálise.
A recuperação direta de chaves do HAWK é um caso do problema de isomorfismo de rede com módulo de busca, o smLIP.
O atacante precisa recuperar uma transformação oculta entre duas redes.
Um artigo de Daniël van Gent e Ludo Pulles mostrou que um automorfismo não trivial, uma simetria que preserva a rede, reduziria a recuperação de chaves do HAWK à busca de um vetor curto em uma rede com aproximadamente metade da dimensão original.
Esse trabalho abriu o caminho para o ataque, mas os autores disseram na época que ele ainda não afetava o HAWK.
A Anthropic afirma que o Mythos Preview encontrou o automorfismo adicional necessário para explorar esse caminho.
O ataque HAWK-n resultante constrói o que os pesquisadores chamam de rede τ-cociclo a partir da chave pública.
Em seguida, usa redução de redes e peneiramento para recuperar vetores curtos antes de reconstruir uma base secreta capaz de assinar mensagens para a chave pública original.
A implementação divulgada pela Anthropic verifica a chave recuperada assinando uma mensagem e conferindo o resultado com a implementação de referência do NIST.
Ela não recupera a semente original de 96 bytes da chave secreta.
Em vez disso, produz uma chave decodificada de 592 bytes, com material de assinatura funcionalmente equivalente.
O código liberado pela Anthropic suporta apenas o HAWK-256 e rejeita qualquer entrada que não seja HAWK-256.
O repositório inclui duas chaves públicas que, segundo a empresa, foram atacadas com sucesso.
Ele também permite gerar e testar novas chaves HAWK-256.
A Anthropic estima que o fator de trabalho esperado para a recuperação de chave do HAWK-256 caiu de 2^64 para 2^38.
Em um anúncio no fórum do NIST feito no mesmo dia, a empresa disse que a estimativa de contagem de portas cai de 2^150 para 2^108 para o HAWK-512 e de 2^288 para 2^182 para o HAWK-1024.
Os dois parâmetros maiores continuam impraticáveis de atacar.
Até o momento desta análise, o registro público não mostra se o NIST ou os proponentes do HAWK vão alterar os parâmetros do esquema, as alegações de segurança ou sua posição no processo de padronização em resposta às estimativas menores, se isso ocorrer.
O ataque continua exponencial.
Não se trata de uma quebra em tempo polinomial do HAWK, e a Anthropic disse que ele não se estende a outras candidatas de assinaturas do NIST nem à criptografia de redes em geral.
A Anthropic afirmou que o Mythos Preview desenvolveu e verificou o resultado ao longo de aproximadamente 60 horas em um ambiente com múltiplos agentes.
Um pesquisador humano forneceu orientação ocasional de gerenciamento do projeto, mas não era especialista em criptografia de redes.
A empresa estimou o custo de uso da interface de programação de aplicações, ou API, em cerca de US$ 100.000.
Mais rápido, mas ainda impraticável
O segundo resultado mira o AES-128 reduzido de dez para sete rodadas.
O estudo de cifradores com menos rodadas é uma prática padrão em criptoanálise porque ajuda a medir quanta margem de segurança ainda existe antes de um ataque alcançar a construção completa.
O ataque pressupõe que um adversário consiga obter cerca de 2^105 textos simples escolhidos, criptografados sob uma única chave fixa e desconhecida.
Essa exigência, por si só, já o coloca muito além do uso no mundo real.
Ataques anteriores do tipo meet-in-the-middle trocam memória por computação ao armazenar estados intermediários do cifrador e comparar cálculos feitos a partir de extremidades opostas do sistema.
Em uma etapa do ataque anterior, era preciso testar 2^56 valores antes de pesquisar a tabela.
O Mythos desenvolveu uma impressão digital invariante que a Anthropic chama de Ponte Möbius.
Como essa impressão não muda ao longo desse valor adivinhado, o ataque consegue remover a enumeração de 256 possibilidades.
Considerando o custo da transformação e outras otimizações, a Anthropic estima que o ataque ao AES-128 com sete rodadas ficou de 200 a 800 vezes mais rápido, dependendo de como o tempo de execução é medido.
O artigo que acompanha o resultado para o AES apresenta a construção matemática, enquanto o artefato divulgado fornece código para cada experimento citado no estudo.
O código da Anthropic executa recuperação completa de chave em caixa-preta contra um cifrador menor, semelhante ao AES, com chave de 24 bits.
Para o AES-128 real com sete rodadas, ele mede entradas individuais da tabela e candidatos online.
Implementações separadas em C, Python e Rust testam as alegações de cada componente, e a Anthropic projeta essas medições para o ataque completo.
Ele não executa a recuperação total do AES-128 do início ao fim.
O resultado prático é mais restrito do que os nomes HAWK e AES podem sugerir.
A recuperação completa do HAWK mira o HAWK-256, um parâmetro de desafio e não um dos conjuntos de parâmetros de segurança do NIST.
No caso do AES-128 com sete rodadas, a Anthropic projeta o custo total do ataque a partir de medições dos componentes, e ele continua inviável em escala realista.
A empresa disse que, inicialmente, o modelo se recusou a prosseguir, insistindo que melhorar o AES era impossível.
A Anthropic publicou as mensagens de acompanhamento do pesquisador, com todos os erros de digitação, que levaram o modelo a continuar investigando.
Segundo a Anthropic, o Mythos Preview encontrou a Ponte Möbius após cerca de três dias e algumas centenas de milhões de tokens de saída.
Nos dias seguintes, o método foi refinado até a geração de aproximadamente 1 bilhão de tokens de saída.
O custo maior ficou por conta dos humanos.
A execução do modelo consumiu cerca de US$ 100.000 em uso de API, mas os pesquisadores gastaram várias centenas de horas verificando o método.
A Anthropic disse que dois pesquisadores levaram quase um mês para ganhar confiança de que o resultado estava correto.
Na avaliação da empresa, a verificação foi o principal gargalo visível.
As divulgações vieram após o lançamento, em 20/07, do CryptanalysisBench, um benchmark com 191 tarefas desenvolvido por pesquisadores da ETH Zurich, da Anthropic, da Universidade de Haifa, da Technische Universität Berlin e da Universidade de Tel Aviv.
Cinco modelos quebraram entre 65% e 86% dos esquemas mais fáceis da primeira camada e, na segunda, entre seis e 12 esquemas de força total.
Esse benchmark avaliou o Mythos 5, que a Anthropic descreve como a atualização mais recente do Mythos Preview.
A divulgação sobre o HAWK e o AES cita especificamente o Mythos Preview.
Em 29/07/2026, o NIST ainda listava o HAWK como candidato da terceira rodada.
O anúncio da Anthropic no fórum do NIST agradeceu à equipe do HAWK pela ajuda na verificação do resultado e pelo feedback, mas não informou se isso envolveu a revisão da prova, a execução do artefato público ou ambos.
O tópico público não tinha respostas no momento da checagem, e o Caveira Tech não localizou uma reprodução independente da recuperação do HAWK-256 da Anthropic durante esta análise.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...