HAWK витримав роки тестування, але через Mythos було виявлено фатальну слабкість.
Квантово-стійкий криптографічний алгоритм, який розглядався як офіційний стандарт США, вибув з перегонів після того, як модель безпеки Anthropic допомогла знайти вразливість, що зробила його зламаним.
Алгоритм відомий як HAWK. Це схема цифрового підпису, розроблена для протистояння майбутнім атакам з боку квантових комп’ютерів. HAWK пройшов два раунди тестування NIST (Національний інститут стандартів і технологій) для оцінки безпеки алгоритмів постквантової криптографії (PQC) шляхом широкого тестування. HAWK перебував на третьому етапі тестування, призначеному для виявлення саме тих видів недоліків, які допоміг виявити Mythos.
Після оголошення Anthropic результатів у понеділок, розробник HAWK заявив у вівторок, що відкликає його.
Ще до розробки Anthropic вихваляла результати двох криптографічних завдань, які вона запропонувала своїй моделі безпеки Mythos AI. Модель виявила слабкі місця в математичних проблемах, що лежать в основі HAWK, а також, окремо, у широко використовуваному шифрі AES.
Незважаючи на відкликання HAWK, важко сказати, наскільки звіт компанії є маркетинговим перебільшенням, але результати все ще заслуговують на увагу, оскільки вони можуть сигналізувати про важливі досягнення в зламуванні криптографії, яка є ключовою для конфіденційності та безпеки.
Перш ніж заглиблюватися в результати, кілька застережень.
По-перше, результати є поступовими. Вони не зламують жодну з криптосистем, на які хтось покладається сьогодні. Натомість вони розкривають методи помірного зменшення роботи, необхідної для подолання систем.
По-друге, протестовані криптосистеми були ослабленими версіями тих, що визначені в їхніх формальних специфікаціях. Такі «викликові екземпляри» надаються авторами специфікацій для використання в експертній оцінці. Стандартно використовувати ослаблені версії в тестуванні, але реальні версії значно надійніші в робочих середовищах.
По-третє, навіть із покращенням, базові «примітиви» — тобто основні математичні проблеми, що становлять будівельні блоки криптосистем — залишаються безпечними, принаймні наразі.
Нарешті, обидві атаки використовують методи, які, ймовірно, будуть нездійсненними поза тестовими середовищами.
HAWK мертвий
Anthropic заявив, що його модель Mythos — яка наразі залишається доступною лише обмеженій групі довірених користувачів — змогла просунути атаки на дві криптосистеми. Перша система — це HAWK, схема цифрового підпису, розроблена для протистояння майбутнім атакам квантових комп’ютерів.
Приблизно за 60 годин роботи та близько 100 000 доларів обчислювальних витрат дослідник Anthropic без досвіду в криптографії спонукав Mythos покращити найкращу існуючу атаку на алгоритм, яка фактично зменшила його ключову міцність удвічі.
Математика, на якій ґрунтується безпека HAWK, — це складність проблеми ізоморфізму ґраток, яка, на відміну від найпоширеніших сьогодні схем цифрового підпису, вважається стійкою до атак квантових комп’ютерів. Найкраща відома класична комп’ютерна атака для розв’язання цієї проблеми працює шляхом пошуку так званих симетрій автоморфізму. Mythos видав раніше невідомий метод пошуку таких симетрій. Результат скоротив довжину ключа вдвічі.
Слабкість можна усунути, подвоївши довжину ключа, але додаткові обчислення роблять HAWK менш привабливим, ніж доступні алгоритми підпису PQC. В академічних колах криптографічні алгоритми вважаються зламаними, коли слабкості дозволяють зловмиснику отримати ключ швидше, ніж це можливо за допомогою атаки грубою силою.
Метью Грін, професор Університету Джонса Гопкінса та експерт із криптографії, сказав, що вражаючим у цьому відкритті було те, що воно базувалося на кількох існуючих методах, які раніше ніхто не намагався об’єднати.
«Що особливо турбує (і тому особливо підходить для ШІ), так це те, що атака не винаходить принципово нової математики», — написав Грін. «Вона просто розширює купу інструментів, які були під рукою і добре відомі, і досягає хорошого результату».
Щоб знайти атаку, Claude Mythos Preview працював напівавтономно в агентському середовищі, з періодичним людським керівництвом та нетехнічним напрямком. Mythos знайшов атаку після детального огляду літератури для розуміння поточного стану справ, а також значних математичних міркувань та обчислювальних експериментів. Після знаходження атаки Mythos впровадив наскрізний конвеєр верифікації, щоб переконати себе — і оператора-людину — в правильності атаки.
Для пошуку вдосконаленого методу Mythos розгорнув двох окремих агентів, які працювали переважно незалежно. Один спочатку відхилив метод як непрацездатний. Другий знайшов спосіб зробити його робочим. Зрештою, агенти працювали злагоджено, доки не досягли згоди щодо ефективності вдосконаленої атаки. (Як і в описі атаки на AES далі в цій статті, методологія атаки на HAWK була спрощена. Повні деталі дивіться в публікації Anthropic або двох довших статтях про атаки на HAWK та AES відповідно.)
Софі Шміг, експерт з PQC у Google, сказала, що HAWK вже підозрювали у слабкостях, які зрештою будуть виявлені. Тим не менш, метод подвоєння сили ключа, знайдений за допомогою Mythos, зробив цей кандидатський алгоритм менш конкурентоспроможним порівняно з існуючими схемами цифрового підпису PQC, такими як ML-DSA та FN-DSA.
«По суті, з цією статтею HAWK мертвий», — написала вона.
Менше драми, але все ще доволі цікаво
Атака на AES дала менш драматичні результати. Вона базується на вдосконаленні, знайденому за допомогою Mythos для виконання атаки «зустріч посередині» («meet-in-the-middle»), яка використовується для отримання ключа в моделі загрози вибраного відкритого тексту, найкращої відомої існуючої атаки на AES. Ця техніка вводить велику кількість відомих відкритих текстів у криптосистему та аналізує зашифрований вивід на наявність підказок, які, за достатньої кількості вхідних даних, зрештою розкривають невідомий ключ. Раніше найкраща відома атака «зустріч посередині» проти AES вимагала приблизно 2105 вхідних даних відкритого тексту — числа, достатнього, щоб зробити метод нездійсненним.
Mythos допоміг знайти нову техніку «зустріч посередині», яка покладається на Möbius Bridge, більш складний алгоритм відбитків пальців, що використовується в атаках «зустріч посередині». Використовуючи його, за словами Гріна, код, створений Mythos, зміг зменшити кількість необхідних вхідних даних до 289. Anthropic заявив, що таке скорочення може зменшити час, необхідний для таких атак, у 200–800 разів.
Можливість генерувати таку кількість вхідних даних робить атаку недосяжною за межами лабораторії. Крім того, фактичне прискорення невідоме, оскільки ослаблений алгоритм AES, що тестувався, використовував лише сім раундів. Специфікаційно-сумісний AES, за словами Гріна, використовує 10, 12 або 14 раундів, залежно від довжини ключа.
Anthropic ретельно розписує більшість цих застережень. Однак у понеділковій публікації в блозі стверджується, що результати все одно є значущими і можуть зрештою кардинально змінити процес криптоаналізу, або ж ворожого тестування криптосистем.
«Спільнота кібербезпеки зараз стикається з тим фактом, що мовні моделі здатні виявляти стільки помилок, що стандартні людські процеси (як-от пріоритезація вразливостей, перевірка та виправлення) ледве встигають», — написав Anthropic. «Ми прогнозуємо, що незабаром те саме буде стосуватися академічних досліджень криптографії. Оскільки мовні моделі все частіше самостійно створюють нові дослідницькі результати, людські дослідники можуть стати вузьким місцем у вивченні та валідації цих результатів на технічну обґрунтованість, новизну та корисність».
У звіті Anthropic не згадується, чи використовували його дослідники Mythos для атак на інші тестовані криптосистеми, такі як еліптична криптографія та RSA. Покращення атак на ці системи були б більш вражаючими. Досягнувши найвищого результату проти алгоритму, який ще перебуває на ранніх стадіях розробки, незрозуміло, наскільки значну перевагу насправді надала модель Mythos. Немає жодного способу дізнатися, чи були дослідники, які використовували традиційні методи криптоаналізу, вже близькі до виявлення тієї ж атаки.
Зрештою, урок цього дослідження простий. Криптоаналіз за допомогою ШІ залишається непротестованим, а постачальники таких платформ зацікавлені у перебільшенні їхніх переваг. Водночас зростає кількість доказів того, що LLM можуть надати значні переваги у пошуку криптографічних слабкостей. Було б помилкою вважати, що LLM одного дня не відіграватимуть важливу роль у гонці між захистом і компрометацією наших найважливіших активів.
Заголовок та основний текст цієї статті було оновлено, щоб відобразити відкликання HAWK.
Оригінал статті: arstechnica.com