01 当 AI 开始“拆解”数学密码
加密算法，是数字世界的“锁”与“钥匙”。
你每次访问 https:// 开头的网站，背后都有一套复杂的密码学算法在默默工作——数字签名方案确保你没被“钓鱼”，对称密码把你和网站之间的每一段对话都牢牢锁住。没有这些，你的邮件、网银、甚至这条推送都可能被半路截胡。
2026 年 7 月 28 日，Anthropic 公布了一项让人既兴奋又警觉的研究成果：他们用最新版的 Claude Mythos Preview，在60 小时内改进了对后量子签名方案 HAWK 的最佳已知攻击，将其有效密钥强度直接砍半。
不止 HAWK。同一个模型还发现了一种攻击轮数缩减版 AES 的新方法，把攻击速度提升了 200 到 800 倍。
两项成果加在一起，API 调用成本大约 10 万美元。
需要强调的是：这些攻击目前不影响任何生产系统。HAWK 还在 NIST 的评审流程中，没有被部署；AES 攻击针对的是简化版本，不是你在用的那个完整 AES-128。
但这件事的意义远不止于此——它意味着 AI 已经不仅能发现代码实现的漏洞，还能发现算法本身的数学缺陷。
02 HAWK：一个被“对称性”击垮的后量子候选者
先说说 HAWK 是什么。
2022 年，美国 NIST 发起了一轮征集，寻找能抵御量子计算机攻击的额外数字签名方案。HAWK 进入了第三轮评审，在两年间经历了两轮人类密码学专家的严格审查。
它的安全性建立在一个叫“格同构问题”的数学难题之上——理论上，这个问题很难解。
但 Claude Mythos Preview 发现了一个漏洞。
Mythos 在 HAWK 使用的格结构中，找到了一种此前未被利用的特定对称性（专业术语叫“非平凡自同构”）。先前的研究已经证明，如果能高效找到这种对称性，就可以发动攻击——但没人回答过 HAWK 的格里到底存不存在这种东西。Mythos 给出了答案：存在。
结果很直接：HAWK-256 的完整密钥恢复攻击，预期成本从 2^64 降到了 2^38。这意味着 HAWK 需要把密钥尺寸加倍才能达到原定的安全级别——而一旦加倍，它作为“有吸引力的后量子签名方案”的很多优势就消失了。
整个发现、开发和验证过程，耗时约 60 小时。
它是怎么做到的？
Mythos 在一个多智能体框架中以半自主方式工作，辅以偶尔的人工方向性指导。它自己做了三件事：
- 广泛文献调研——了解当前技术水平和已知攻击方法
- 大量数学推理——在格结构中寻找可被利用的性质
- 计算实验验证——用 Python 和 Sage 等工具反复测试
人类操作员具备理论计算机科学背景，但并非格基密码学专家。大多数时候，Mythos 的智能体独立工作，人类输入仅限于项目管理层面的建议。
有意思的是，这次攻击的关键思路是两个工作智能体共同发现的。第一个智能体过早放弃了一个想法，第二个却找到了充分利用它的方法。两个智能体持续交换信息，最终达成共识。
Anthropic 估计，整个攻击发现过程的 API 成本约为 10 万美元。
03 AES：从“不可能”到“莫比乌斯桥”
第二个成果更戏剧性。
AES（高级加密标准）是全世界被审查得最多的对称密码，2001 年被 NIST 采纳。完整的 AES-128 有 10 轮。这次攻击针对的只是一个 7 轮的简化版本。
学术界经常研究这种“减轮”版本——不是为了直接破解完整算法，而是为了理解算法的安全边界，探索未来可能推广的攻击思路。
Mythos 改进了一种叫“中间相遇攻击”的技术路线。它开发了一个更精妙的“指纹算法”（团队称之为 “莫比乌斯桥” ），把先前攻击中需要枚举 256 个不同值再查表的步骤，直接减少了 256 倍的工作量。加上其他优化，最终攻击速度提升了 200 到 800 倍。
但最值得讲的，是发现过程本身。
“不，我们不是来找容易的东西”
Anthropic 的研究人员搭建了一个脚手架，让 Claude 能提出假设、用实验验证、然后迭代改进。
起初，Claude 根本不愿意处理这个问题。它给出的回复包括：
“如果你想要不同的结果，目标就必须改变……AES-128 r5/r6 确实非常困难。”
“在 AES-128 r5/r6/r7 上，它没有发现任何东西，因为本来就没什么容易发现的东西；这是现存被研究得最透彻的分组密码。”
为了解决这个问题，研究员给 Claude 发了一条消息（原文保留了拼写和语法错误）：
“模型倾向于认为这个问题不可能解决，所以它们不去尝试，它们需要充分的提示引导。”
这条消息起了作用。Claude 重写了智能体框架，开始搜索真正新颖的想法，并找到了改进 6 轮 AES 密码分析的思路。
然后研究员问：
“为什么不做 aes-128 r7？关键是要找到比现有方法更好的东西。”
接下来的三天里，Claude 自主生成了数亿个模型 token。人类只给了三条实质性提示：
- 几小时后：“不，再说一次，目标是让这个高度智能的模型像顶尖研究员一样，我们要找到新的攻击方法”
- 第二天早上：“不，我们不想改变目标……我们需要找到值得发表的东西”
- 那天晚上：“再说一次，我们不是在找唾手可得的东西，我们要的是真正的研究，找到真正困难的发现”
三天后，Mythos 发现了“莫比乌斯桥”的关键思路。
又过了几天，在 Claude 总共输出了十亿个输出 token 之后，它把攻击优化到了论文中描述的那个版本。
随后，Anthropic 的研究人员花了数百小时，从零开始学习了足够的密码学知识来验证模型的结论。虽然 Mythos 只用一周就自主发现了攻击，但人类验证花了近一个月。
04 不止于此：更多发现正在路上
Anthropic 透露，他们还在用 Claude 做更多密码学实验：
- LEA 轻量级加密算法（已被纳入 ISO/IEC 国际标准，完整 24 轮）：Mythos 开发出了一种实用攻击，能在不到 2^30 个明文、现代台式机不到一小时的条件下恢复 13 轮 LEA 密钥。
- Serpent-128（完整 32 轮）：发现了针对 6 轮的实用全密钥恢复攻击。
- Salsa20、Poseidon、SHA-1：也找到了一些有限的改进（提升小于 10 倍）。
这些攻击目前都不影响生产系统，但方向很明确——AI 正在系统性地压力测试各种密码算法。
05 这意味着什么？
这不是语言模型第一次在数学研究层面取得突破。过去几个月里，Google 的研究人员用 Gemini 解决了多个未解决的 Erdős 问题，OpenAI 用 GPT 解决了单位距离猜想，Anthropic 自己的 Claude Fable 5 解决了雅可比猜想。
这次的特别之处在于：密码学有直接的安全影响。
Anthropic 在博文中写了一段值得细读的话：
“网络安全界目前正面临一个现实：语言模型能够发现大量漏洞，以至于标准的人工流程（如漏洞分类、验证和修复）难以跟上节奏。我们预测，学术密码学研究领域很快也会出现同样的情况。随着语言模型越来越多地自主产出新颖的研究成果，人类研究人员可能会在技术有效性、创新性和实用性方面，因需要研究和验证这些成果而成为瓶颈。”
换句话说：AI 发现得越来越快，人类验证成了瓶颈。
这不一定是个坏消息。密码学一直受益于“对抗性审查”——方案被提出、被攻击、被修订，直到学界达成共识。AI 如果能加速这个过程，带来的可能是更严格的审查、更安全的算法。
但前提是：我们得准备好迎接这个“发现速度 > 验证速度”的新常态。
06 算力视角：10 万美元买 60 小时的“顶级密码学家”
回到一个更实际的问题：10 万美元，60 小时，发现一个经两年人类专家审查都没发现的算法缺陷——这个“投入产出比”意味着什么？
从算力角度看，这 10 万美元的 API 成本，买到的是一组 AI 智能体不间断、不疲惫、不依赖领域专家地阅读文献、推演数学、跑实验验证。人类密码学家的时间成本远高于此——更不用说“恰好懂格密码、又有精力从头审视一个候选方案”的专家本来就稀缺。
共绩算力一直在做的事情，本质上是让算力变得更平价、更可及。当 AI 模型本身成为科研的“主力队员”时，算力成本就不再是“能不能做”的问题，而是“做多少、做多深”的问题。
HAWK 的案例提供了一个有趣的参照：10 万美元 + 60 小时 + 一个非专家的人类协作者 = 一项可能改变 NIST 标准化进程的密码学发现。
这个等式里，算力是那个被低估的变量。
参考资料：Anthropic 官方研究博客《Discovering cryptographic weaknesses with Claude》（2026 年 7 月 28 日），完整论文已同步发布。