Anthropics KI knackt Krypto-Verfahren – mit einem Benchmark aus Zürich

Ein KI-Modell hat eigenständig neue Angriffe auf zwei kryptografische Verfahren entwickelt, die den Datenverkehr im Internet absichern sollen. Anthropic gab am 28. Juli bekannt, dass sein bisher stärkstes – und nicht öffentlich zugängliches – Modell Claude Mythos Preview einen verbesserten Angriff auf das Post-Quantum-Signaturverfahren HAWK sowie einen neuen Angriff auf eine abgespeckte Variante von AES gefunden hat. Beruhigend vorweg: Laut Anthropic ist kein produktives System betroffen, keine Software muss geändert werden. Interessant für die Schweiz: Den begleitenden Prüf-Benchmark hat Anthropic zusammen mit der ETH Zürich gebaut.

Kryptografische Algorithmen sind die mathematischen Bausteine der digitalen Sicherheit. Rufst du eine Webseite mit «https» auf, prüft dein Browser über ein sogenanntes Signaturverfahren, ob er wirklich mit der echten Seite spricht; der Datenverkehr selbst wird danach mit einem symmetrischen Chiffre verschlüsselt. Neu ist: Claude findet nicht mehr nur Programmierfehler in der Umsetzung dieser Verfahren, sondern mathematische Schwächen in den Algorithmen selbst.

60 Stunden gegen zwei Jahre Experten-Review

Der erste Treffer betrifft HAWK, einen Kandidaten im Standardisierungsverfahren der US-Behörde NIST für Signaturen, die auch künftigen Quantencomputern standhalten sollen. HAWK ist einer der verbliebenen Kandidaten der dritten Runde und hatte bereits zwei Jahre Prüfung durch menschliche Experten überstanden. Mythos verbesserte den besten bekannten Angriff laut Anthropic in 60 Stunden – und halbierte damit effektiv die Schlüsselstärke. Konkret: Für die kleine Variante HAWK-256 sank der erwartete Aufwand für eine vollständige Schlüsselrückgewinnung von 2^64 auf 2^38.

Das Modell fand dafür eine bisher unentdeckte Symmetrie in der mathematischen Struktur, auf der HAWKs Sicherheit beruht. Der Angriff bleibt zwar exponentiell und ist bei grösseren Schlüsseln weiter unpraktikabel – doch um dasselbe Sicherheitsniveau zu halten, müsste man HAWKs Schlüssel verdoppeln, was das Verfahren als attraktiven Kandidaten weitgehend entwertet. Die Kosten dieses Laufs: rund 100'000 US-Dollar an API-Gebühren. Genau dafür ist das NIST-Verfahren aber da – Schwächen sollen gefunden werden, bevor ein Verfahren in Betrieb geht. Dass ein Kandidat spät noch fällt, ist nicht neu: In einer früheren NIST-Runde wurde das Verfahren SIKE innerhalb einer Stunde auf einem Laptop komplett gebrochen.

Als das Modell erst «Nein» sagte

Der zweite Angriff zielt auf AES, den weltweit meistgenutzten symmetrischen Verschlüsselungsstandard. Wichtig: Mythos griff nicht das volle AES an, sondern eine reduzierte Version mit 7 von 10 Runden – solche abgespeckten Varianten studiert die Forschung regelmässig, um Angriffstechniken zu verstehen. Das Modell entwickelte hier ein neues Verfahren, das Anthropic «Möbius Bridge» nennt. Es eliminiert eine der Rateoperationen, die ein Angreifer sonst durchführen muss, und ist damit laut Anthropic 200- bis 800-mal schneller als der bisher beste Angriff.

Der Weg dahin hat eine Pointe. Zunächst weigerte sich das Modell schlicht – es hielt Fortschritte für unmöglich und schrieb Sätze wie «AES-128 r5/r6 is just genuinely hard». Erst nachdem der Forscher es ermutigt hatte, nach «wirklich neuen Ideen» zu suchen, legte Mythos los. Über drei Tage produzierte das Modell rund eine Milliarde Tokens und bekam dabei nur drei inhaltliche Zurufe – meist, um es bei der Stange zu halten. Auch dieser Lauf kostete etwa 100'000 Dollar.

Wenn das Prüfen länger dauert als das Finden

Genau hier liegt der eigentliche Knackpunkt. Während Mythos die AES-Idee in einer Woche fand, brauchten zwei Anthropic-Forscher – selbst keine Kryptografie-Experten – fast einen Monat, um sich von der Korrektheit zu überzeugen. Anthropic zieht daraus eine klare Sorge:

Menschliche Forscher könnten zum Engpass werden, wenn Sprachmodelle zunehmend eigenständig neue Forschungsresultate produzieren – beim Prüfen auf Korrektheit, Neuheit und Nutzen.

Neben den zwei Hauptresultaten nennt Anthropic weitere Funde: einen praktischen Angriff auf eine 13-Runden-Variante des Chiffres LEA, der einen Schlüssel in unter einer Stunde auf einem normalen Desktop zurückrechnet, sowie einen auf sechs Runden von Serpent. Auch hier gilt: Die vollen Verfahren bleiben unangetastet.

Der Schweizer Prüfstein

Damit andere die kryptanalytischen Fähigkeiten von KI-Modellen systematisch messen können, hat Anthropic den Benchmark CryptanalysisBench veröffentlicht – gebaut gemeinsam mit Akademikern der ETH Zürich sowie der Universitäten Tel Aviv und Haifa. Das Verfahren folgte nach eigenen Angaben den Regeln verantwortungsvoller Offenlegung: Die HAWK-Autoren wurden bereits im Juni informiert, US-Regierung und Industriepartner erhielten Vorabkopien, und die Offenlegung lief koordiniert über die öffentliche NIST-Mailingliste.

Anthropic reiht das Ergebnis in eine Serie ein: Google löste mit Gemini offene Erdős-Probleme, OpenAI mit GPT eine Vermutung aus demselben Umfeld, und erst diesen Monat meldete Anthropic, Claude Fable 5 habe die Jacobian-Vermutung gelöst. Innerhalb eines Jahres, schreibt das Unternehmen, seien Sprachmodelle vom Unvermögen, selbst einfachste Chiffren zu knacken, zu Werkzeugen gewachsen, die Schwächen in jahrelang geprüften Krypto-Designs finden. Mythos Preview bleibt vorerst für die Öffentlichkeit gesperrt.