法学硕士不会破坏对称加密

7 月 28 日，Anthropic 宣布使用其 LLM Claude Mythos 发现了新的密码分析攻击：针对 HAWK 的密钥恢复攻击，HAWK 是 NIST“附加数字签名”标准化项目中的后量子签名方案候选者。除了玩具版HAWK-256（其64位安全性实际上是可以破解的）之外，新的攻击并不实用。但这是对 HAWK 安全性的一次有意义的突破，因为它将 HAWK-512 的估计安全级别从 128 位目标降低到最多 108 位，据推测，低至 81 位（参见论文的附录 C）。改进了对 7 轮 AES-128 的密钥恢复攻击，而完整版本则进行 10 轮。这次攻击对 AES 没有构成威胁，而且完全不足为奇。但由于 AES 的新密码分析结果很少见，因此无论其发现方式如何，该结果都值得注意。负面结果或许更为重要：Mythos 没有发现更强的攻击，更不用说针对全面 AES 了。在 AES 攻击论文中，Anthropic 写道：“我们认为，进一步探索 LLM 辅助密码学研究的方向是很有趣的，特别是在所开发的攻击在计算上难以实现并要求语言模型通过多种方法组合证明其正确性的情况下。我们认为特别重要的一个方向是形式化密码学社区中使用的攻击技术。”我同意这一点，特别是最后一句话：对称密码分析需要更统一的描述框架和抽象；太多的论文在本质上与其他论文做同样的事情时使用临时形式主义和自定义符号和术语。我还希望法学硕士能够发现密码分析攻击的复杂性估计和安全证明中的错误。今年早些时候，我要求法学硕士查找 EUROCRYPT 2026 论文安全证明中的错误，他们在大多数证明中发现了问题（表明证明，但不一定是结果，是不正确的。）Anthropic 还帮助创建了 CryptanalysisBench，这是一个法学硕士基准，包括对 AES、ChaCha 的全轮和缩减轮版本以及提交给 NIST 竞赛（如 BLAKE）的算法的密码分析任务，包括后量子计划。如果您不熟悉密码分析，那么想知道 LLM 是否可以破解 AES、ChaCha、SHA-3 和当今使用的其他对称算法并不是没有道理的，正如一位朋友问我的那样，“您不担心 Mythos 可以破解 BLAKE3 吗？” 。我不是。更广泛地说，我相信法学硕士不会破坏任何已建立的加密方案，也不会反驳 Too Much Crypto 的猜想。马修·格林（Matthew Green）在一篇精彩的文章中（附有我的笔记）写道，“我们的对称密码（块/流密码，还有散列函数和 MAC）非常混乱（再次强调，没有“统一理论”）且稳健（根据经验来看，稍后会详细介绍）。想象一下，一个农民将拖拉机拖入一片流沙，然后将其埋在水泥下。这就是对称密码设计的样子；它是故意设计的提出快速且易于应用的结构（通常是回合的操作），但非常混乱且难以理清（当您迭代回合时），添加许多新的原始情报时间可能不会神奇地改善这一点。”我想详细说明 Matt 所说的混乱和结构，以及为什么这些是法学硕士无法找到针对 SHA-3 或 BLAKE3 的实际碰撞攻击的关键原因。那么，为什么法学硕士不会破坏对称加密呢？在很大程度上但并非完全任意的顺序：它们的高级结构是安全的：这里我指的是诸如块密码的 GCM 和 CTR 操作模式之类的结构以及诸如海绵结构之类的散列函数模式。我还将基于轮的带键或无键排列的构造纳入大多数对称方案的核心——尽管不是全部；例如，Poly1305 就不是圆形的。它们没有数学结构。与实际的数学问题和大多数公钥方案不同，对称密码通常不能被描述为数学结构中的干净变换，该结构允许基于简化的安全证明，但也可以用于密码分析（一个例外是面向算术化的原语，特别是所谓的代数哈希函数，例如在 ZK 证明系统和 FHE 中使用的 Poseidon；另一个例外是 VSH ，一种基于类似 RSA 操作的哈希函数，它被证明是抗碰撞的，但事实证明不是抗原像的，显示了结构的双刃。）在设计散列函数或分组密码时，你的目标是消除任何结构、对称性或模式，这些结构、对称性或模式会让攻击者将计算描述为比它执行的明显无意义的基本操作序列更简单的东西。例如，BLAKE3 本质上是一个长序列的 XOR、模加法和位循环。没有其他方法可以描述它。那里'