Claude dimezza la chiave effettiva del candidato post-quantum HAWK

Anthropic ha comunicato il 28 luglio 2026 che Claude Mythos Preview, al lavoro per circa 60 ore in un harness agentico con un costo API vicino a 100.000 dollari, ha ridotto il costo atteso di key recovery del candidato di firma post-quantum HAWK-256 da 2⁶⁴ a 2³⁸, dimezzando la dimensione effettiva della chiave di uno schema sopravvissuto a due anni di revisione esperta.

Cosa hanno trovato i ricercatori

HAWK è uno schema di firma digitale su reticoli nel processo di standardizzazione post-quantum del NIST, apprezzato per firme compatte e verifica rapida. Per attaccarlo, un singolo ricercatore Anthropic, con formazione in informatica teorica e alle prime armi con la crittanalisi su reticoli, ha lavorato in coppia con Claude Mythos Preview dentro un harness in stile Claude Code che coordina più agenti worker con accesso a Python, al sistema di algebra computazionale Sage e alla letteratura crittografica pubblicata. La collaborazione è durata circa 60 ore in totale con un costo API di circa 100.000 dollari. L'attacco risultante dimezza la dimensione effettiva della chiave di HAWK: per HAWK-256 il costo atteso per recuperare una chiave privata scende da 2⁶⁴ a 2³⁸ operazioni. L'attacco è implementabile end to end, il che ha reso diretta la verifica degli esperti, e Anthropic lo ha comunicato al team di HAWK a giugno insieme al codice dimostrativo.

Il secondo risultato spinge più in là l'automazione. Puntando su AES-128 ridotto a 7 dei suoi 10 round, il modello ha lavorato a partire da tre prompt sostanziali distribuiti su tre giorni, ha generato circa un miliardo di token di output e ha prodotto un attacco meet-in-the-middle basato su una tecnica di fingerprinting da lui battezzata Möbius Bridge. L'attacco è da 200 a 800 volte più veloce del migliore risultato precedente, in un modello chosen-plaintext che presuppone 2¹⁰⁵ richieste di plaintext. La verifica è diventata il passaggio costoso: i ricercatori Anthropic hanno investito diverse centinaia di ore per imparare abbastanza crittanalisi da valutare l'affermazione, due di loro hanno impiegato quasi un mese per acquisire fiducia nel metodo, e accademici esterni hanno confermato i risultati prima della pubblicazione.

I due flussi di lavoro differiscono per grado di autonomia. L'attacco a HAWK è emerso in modo semi-autonomo, con una guida umana occasionale a orientare gli agenti. Il risultato su AES è arrivato in modo quasi del tutto autonomo: il ricercatore ha costruito uno scaffold in cui Claude formula ipotesi, esegue esperimenti e raffina le proprie idee, poi si è fatto da parte. La distinzione pesa per chiunque modelli la scalabilità di questa capacità, perché il collo di bottiglia umano si è spostato dal dirigere la ricerca al verificarne l'output.

Per misurare la capacità in modo sistematico, Anthropic ha collaborato con accademici di ETH Zurigo, Università di Tel Aviv e Università di Haifa su CryptanalysisBench, una suite di 191 task distribuiti su sei famiglie di primitive crittografiche, ordinati in tre livelli: primitive con rotture note, primitive integre testate a forza piena e ridotta, e schemi di livello produzione alla frontiera della ricerca. Il paper, depositato su arXiv il 20 luglio 2026 con autori come Nicholas Carlini e Florian Tramèr, riporta che cinque modelli frontier risolvono dal 65 all'86 per cento degli schemi Tier 1 e tra 24 e 61 varianti ridotte dei bersagli più difficili. Accanto ai risultati principali, il modello ha ottenuto un key recovery pratico su LEA a 13 round con meno di 2³⁰ plaintext cifrati, un key recovery completo su Serpent-128 a 6 round e guadagni modesti, sotto il 10x, contro Salsa20, Poseidon e SHA-1. La capacità è reale ed è disomogenea, esattamente la forma che assume una frontiera.

Perché conta oltre il laboratorio

Prima i limiti onesti. Entrambi gli attacchi principali restano a tempo esponenziale. HAWK sopravvive con chiavi raddoppiate, e Anthropic precisa che il raddoppio cancella gran parte del vantaggio prestazionale che rendeva lo schema un candidato post-quantum attraente. Il risultato su AES lascia intatto il cifrario completo a 10 round, ed eseguire l'attacco a 7 round costerebbe centinaia di milioni di dollari, il che lo mantiene saldamente teorico. Ogni scoperta è specifica del proprio bersaglio e lascia intatti gli altri candidati NIST. Letta come crittografia, è un progresso incrementale del tipo che il campo produce ogni anno.

Letta come misura di capacità, segna una soglia. Un modello frontier ha prodotto crittanalisi originale e verificata da esperti contro uno schema che aveva assorbito due anni di scrutinio accademico aperto, con un costo di scoperta vicino a 100.000 dollari e un costo di calendario di pochi giorni. L'economia ora corre al contrario rispetto al modello tradizionale: la scoperta ha consumato 60 ore-macchina, la validazione diverse centinaia di ore-esperto. La verifica esperta, più della generazione di idee, diventa la risorsa scarsa, con conseguenze dirette su assunzioni e formazione dei team di sicurezza. Processi di standardizzazione, filiere di certificazione e review interne sono tutti calibrati su un mondo in cui la ricerca offensiva avanza al passo degli specialisti umani. Anthropic ha condiviso copie in anteprima con il governo USA e con partner industriali prima della pubblicazione, segnale che la crittanalisi su scala macchina è entrata nelle ipotesi di pianificazione delle infrastrutture nazionali.

Esiste una lettura difensiva di pari peso. Lo stesso harness che ha trovato l'attacco a HAWK può auditare le primitive che un'impresa intende adottare, a un prezzo (circa 100.000 dollari per campagna) che rientra in un normale budget di sicurezza. Le organizzazioni che integrano la crittanalisi guidata da modelli nelle proprie pipeline di valutazione conquistano l'asimmetria; quelle che si affidano allo stato dell'arte pubblicato ereditano ciò che i modelli troveranno in seguito.

La decisione R&D

Per un CTO o un responsabile ricerca che pianifica la migrazione post-quantum, il risultato manda in pensione un'assunzione precisa: la profondità della revisione umana passata come indicatore affidabile della superficie di attacco residua. HAWK ha assorbito due anni di attenzione esperta e ha perso 26 bit di sicurezza in 60 ore-macchina. La domanda per la roadmap 2027 discende in modo diretto: quale primitiva crittografica del vostro piano di deployment ha guadagnato il proprio posto con un'economia della revisione precedente alla crittanalisi su scala macchina, e quale voce di budget finanzia un audit avversariale guidato da modelli prima del rilascio?