1. 引言简短结论HAWK 已经不能说是“目前仍然安全”——它已经退出NIST 的标准化流程。其作者于2026 年 7 月 29 日宣布撤回 HAWK。不过这不会影响任何现有系统因为 HAWK 从未正式部署或广泛使用。2. 发生了什么2026 年 7 月 28 日Steve Weis 在 NIST 的pqc-forum上发布消息宣布发现了一种针对HAWK-n的改进版密钥恢复攻击key recovery attack该攻击可归约为维度为 n/2 1 的最短向量问题SVPShortest Vector Problem。在AGPS’20 门电路复杂度模型gate-count model下这项攻击将密钥恢复成本降低为HAWK-512原先约为2 150 2^{150}2150降至2 108 2^{108}2108HAWK-1024原先约为2 288 2^{288}2288降至2 182 2^{182}2182研究团队还提供了完整实现在一台服务器上仅用几个小时便成功完成了HAWK-256密钥的端到端恢复。来源pqc-forumhttps://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4这项工作来自Anthropic自身的研究项目Claude Mythos Preview。据 Anthropic 介绍该模型以半自主semi-autonomous方式运行约60 小时API 成本约10 万美元最终发现了这一攻击。参考资料https://www.anthropic.com/research/discovering-cryptographic-weaknesseshttps://dataconomy.com/2026/07/29/anthropic-ai-flaws-hawk-aes/3. 攻击原理攻击利用了 HAWK 晶格lattice中此前未被利用的一种对称性symmetry——一种非平凡自同构nontrivial automorphism。此前已有研究证明如果这种自同构存在就可以构造相应攻击。但一直没有证明HAWK 所使用的晶格是否真的具有这种可利用的自同构。van Gent 与 Pulles 的研究已经指出如果这种自同构存在那么密钥恢复问题的维度将大约降低一半从而显著降低攻击复杂度。参考资料https://www.anthropic.com/research/discovering-cryptographic-weaknesseshttps://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html4. 为什么最终选择撤回 HAWK需要强调的是HAWK-512 和 HAWK-1024 并没有被“实际破解practically broken”。攻击复杂度仍然是指数级exponential。但是为了恢复设计时预期的安全等级就必须将密钥尺寸增加约一倍。这样一来HAWK 原本最大的优势——更快的速度更小的密钥和签名尺寸都会基本消失与Falcon相比也就不再具有明显竞争力。因此在漏洞公开后的第二天HAWK 作者Leo Ducas宣布撤回 HAWK。参考资料https://freenode.net/article/claude-finds-a-real-attack-on-hawkhttps://cyberscoop.com/anthropic-claude-mythos-encryption-flaws-hawk-aes-pqc/https://yellow.com/news/claude-cracked-post-quantum-hawk5. 影响范围此次攻击不会影响FalconML-DSA其他基于晶格lattice的签名方案同样也不会影响NIST 于 2024 年发布的后量子密码标准ML-KEMFIPS 203ML-DSAFIPS 204SLH-DSAFIPS 205参考资料https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4https://www.techtimes.com/articles/322174/20260730/south-korea-certifies-hybrid-post-quantum-encryption-module-ai-breaks-hawk-algorithm-60-hours.htm6. 验证过程与后续发展Anthropic 于2026 年 6 月便将这一发现通知了 HAWK 作者团队。随后HAWK 作者参与验证了该攻击Daniel Apon 在 pqc-forum 上进行了独立确认另一支研究团队则利用GPT-5.6沿着完全不同的技术路线得出了相同的攻击方案。随后论坛讨论的重点逐渐从攻击本身转向AI 密码分析AI cryptanalysis的治理问题。其中包括Saarinen 主张今后的密码学证明应尽量采用**机器可验证machine-checkable**的形式Daniel Apon 主张密码学社区应建立统一标准用于评估和裁定AI 自动生成密码分析结果的可信度。参考资料https://postquantum.com/security-pqc/ai-cryptanalysis-hawk-aes/7. 相关资源论文HAWK-n Key Recovery Reduces to SVP in Dimension n/2 1代码https://github.com/anthropics/cryptography-research-demoC、Python、Rust
