Évaluation des nouveaux résultats d’Anthropic en cryptanalyse par IA

• Le modèle avancé non public Claude Mythos a produit une attaque de récupération de clé contre HAWK et une amélioration d’une attaque sur AES à 7 tours, montrant la capacité de l’IA à comprendre, combiner et étendre des techniques de cryptanalyse existantes
• L’attaque contre HAWK ne casse pas immédiatement le système déployé, mais réduit d’environ moitié le nombre de bits de sécurité. Il serait possible de doubler la taille des clés, mais cela réduirait l’efficacité et rendrait aussi une standardisation très improbable
• Le résultat sur AES vise une variante à 7 tours, et non les versions complètes à 10, 12 ou 14 tours ; il s’agit d’une attaque non pratique qui améliore un travail de 2013 d’un facteur constant, sans changement direct pour la sécurité réelle d’AES
• Comme le modèle peut facilement produire des résultats plausibles mais erronés, la vérifiabilité devient le goulot d’étranglement. Du code exécutable ou des contre-exemples simples sont faciles à vérifier, mais les améliorations théoriques de vitesse exigent une revue par des experts ; même une preuve Lean nécessite qu’un humain vérifie la manière dont l’énoncé du théorème est formulé
• Les cryptosystèmes à clé publique et post-quantiques, où le nombre de difficultés structurelles est limité, constituent un domaine dans lequel l’IA peut appliquer largement les outils existants. Il subsiste encore une frontière où elle devient soudain incompétente dans la recherche avancée, mais cette frontière se déplace rapidement vers l’extérieur

---

Deux résultats de cryptanalyse produits par Claude Mythos

• Anthropic a publié une attaque de récupération de clé contre HAWK et une attaque contre AES à nombre de tours réduit produites par son modèle avancé non public Claude Mythos
• Les deux résultats diffèrent fortement par leur cible et leur portée
  • Le résultat sur HAWK a un impact concret sur un schéma de signature qui pouvait prétendre à une standardisation
  • Le résultat sur AES ressemble plutôt à une avancée théorique améliorant légèrement des travaux existants
• Anthropic a également publié une présentation du processus de recherche

Une attaque de récupération de clé qui abaisse le niveau de sécurité de HAWK

• HAWK est un candidat de schéma de signature post-quantique fondé sur le problème des réseaux modulaires homomorphes (module-LIP) ; il n’est pas encore déployé ni adopté comme standard
• Il est lié à Falcon, en cours de standardisation, mais repose sur un problème différent ; cette attaque ne s’applique donc pas à Falcon
• HAWK avait déjà fait l’objet d’une évaluation substantielle comme futur candidat à la standardisation
• Il ne s’agit pas d’une attaque qui casse immédiatement HAWK avec ses paramètres de déploiement réels, et elle nécessite toujours un temps exponentiel, mais elle réduit d’environ moitié le nombre de bits de sécurité
  • En théorie, on peut compenser en doublant la taille des clés
  • Des clés plus grandes réduisent l’efficacité, ce qui affaiblit aussi la raison d’être de HAWK : être plus efficace que les alternatives
• Le code d’attaque fourni récupère une clé en quelques heures sur des instances de défi affaiblies
  • Ce ne sont pas les paramètres proposés pour un déploiement réel, mais c’est suffisant pour démontrer une faiblesse cryptographique
• Le résultat n’invente pas de nouvelles mathématiques ; il étend et applique de manière approfondie plusieurs outils déjà connus
  • Les ingrédients utilisés n’ont rien de particulièrement exotique
  • Combiner largement et avec persistance des outils d’attaque connus est un type de tâche dans lequel une IA offensive excelle
• Ce résultat rend très improbable que HAWK devienne un standard réel
• Le contexte technique détaillé est disponible dans le résumé de l’attaque contre HAWK

La portée limitée de l’attaque sur AES à 7 tours

• AES est un chiffrement par bloc utilisé comme standard depuis 2001 et exécute 10, 12 ou 14 tours selon la taille de la clé
• Les déploiements réels d’AES ont résisté à d’importantes analyses, dont une validation non publique de la NSA
• Comme il est difficile d’attaquer le chiffrement complet, il est courant en cryptanalyse d’étudier des versions à nombre de tours réduit ; le résultat d’Anthropic vise AES à 7 tours
• Les attaques sur AES à 7 tours ne sont pas nouvelles, et ce résultat améliore d’un facteur constant des travaux antérieurs de 2013 ainsi qu’un article lié
• Il exige un volume colossal d’opérations cryptographiques, irréaliste en pratique, et il faudrait d’abord amener un dispositif de chiffrement réel à chiffrer un très grand nombre de textes clairs choisis avec la clé secrète
• L’attaque complète ne pouvant pas être exécutée en pratique, le gain repose sur une analyse sur le papier
  • Il n’est pas clair que le temps d’exécution réel diminue une fois tous les détails implémentés
• Sur le plan des techniques, c’est une avancée cryptanalytique intéressante, mais ce n’est ni une attaque pratique contre AES complet ni de nouvelles mathématiques révolutionnaires

Un processus de synthèse d’attaques avec une intervention humaine minimale

• Les chercheurs d’Anthropic semblent avoir demandé au modèle de trouver des résultats puis l’avoir laissé effectuer de longues itérations, plutôt que de le régler finement avec une grande équipe d’experts en cryptographie
• Le modèle a atteint un niveau lui permettant d’effectuer les tâches suivantes sans intervention humaine détaillée
  • Comprendre des résultats de cryptanalyse existants
  • Synthétiser plusieurs techniques
  • Construire de véritables nouvelles attaques
  • Étendre des attaques existantes
• Ce n’est pas encore de la cryptanalyse superintelligente, mais sa capacité à produire de réels progrès à partir de recherches connues est notable

Une vérification devenue plus difficile que la génération de résultats

• Une sortie qui ressemble à un nouveau résultat n’est pas toujours réellement correcte
• Le modèle peut produire plus facilement de vrais résultats, mais aussi des résultats plausibles et trompeurs, ce qui accroît la charge de revue humaine
• Dans un cas comme HAWK, une attaque complète exécutée en quelques heures sur un système affaibli est facile à vérifier
  • Il suffit de recevoir le code et de confirmer la récupération de la clé ainsi que la possibilité de signer réellement un message choisi
• Dans un cas comme AES, une amélioration théorique subtile de la vitesse est difficile à valider
  • On peut produire une preuve vérifiable par machine avec Lean
  • Même si la preuve est correcte, elle reste sensible à la manière dont l’énoncé du théorème lui-même est formulé, ce qui exige une vérification par des experts
• Les résultats mathématiques récemment remarqués relèvent généralement des catégories suivantes
  • Ils incluent une preuve vérifiable par machine pour un théorème bien compris
  • Ils fournissent un contre-exemple simple directement calculable, comme le contre-exemple à la conjecture jacobienne
  • Leur validité est reconnue après un long examen par de nombreux experts
• La nécessité d’une vérification humaine limite le rythme de la recherche, et cette situation pourrait durer quelque temps pour la cryptanalyse non critique

Effets sur la cryptographie symétrique et à clé publique

• Cryptographie symétrique

  • Les chiffrements symétriques utilisent volontairement des structures complexes et robustes qui peuvent être appliquées rapidement mais sont difficiles à inverser
  • Ajouter du temps de calcul IA ne suffit pas à résoudre directement ces structures, et les modèles actuels ne montrent pas l’intuition révolutionnaire nécessaire pour les casser
  • Même si l’IA progresse avec de nouvelles techniques, elle pourrait aussi servir à renforcer les primitives elles-mêmes

• Cryptographie à clé publique et post-quantique

  • La cryptographie à clé publique nécessite des structures mathématiques avec une trappe : le calcul dans un sens est rapide, l’inverse est difficile, mais certaines parties peuvent l’inverser
  • Les structures pratiques découvertes par les humains ne sont pas nombreuses, et les principales bases sont les suivantes
    • (EC)DLP
    • RSA
    • Problèmes de réseaux
    • Divers problèmes de la théorie des codes
  • Même pour un vieux problème comme RSA, il est difficile d’être certain qu’il a été analysé par suffisamment de personnes ; les domaines plus récents, comme la cryptographie fondée sur les codes ou les réseaux, laissent particulièrement de la place à la recherche d’attaques
  • C’est un terrain de recherche fertile où une IA appliquant à grande échelle des outils existants peut produire des progrès substantiels

Une opportunité ouverte pendant la transition vers les standards post-quantiques

• La cryptographie à clé publique est actuellement en transition, des systèmes basés sur les courbes elliptiques et RSA vers des algorithmes post-quantiques fondés sur de nouveaux problèmes difficiles
• Le moment, où de nombreux candidats dont HAWK sont évalués, est propice à l’apparition de capacités de cryptanalyse publique à grande échelle
• Si l’IA ne fait pas s’effondrer tous les problèmes difficiles sous-jacents et ne nous amène pas à un monde de type Minicrypt d’Impagliazzo, une IA puissante en cryptanalyse pourrait avoir les effets suivants
  • Accroître la confiance dans les problèmes difficiles survivants
  • Rendre la littérature de cryptanalyse plus solide
  • Éliminer les candidats vulnérables avant leur adoption comme standards

Changements pour les scientifiques et l’écosystème de recherche

• Les scientifiques peuvent discuter des problèmes les plus difficiles avec les modèles, mais comme ceux-ci ne résolvent pas encore tous les problèmes de manière autonome, le rôle humain demeure
• L’accélération du rythme des découvertes est globalement positive pour les chercheurs actifs
• Des problèmes non résolus subsistent
  • À qui attribuer le mérite des résultats produits par l’IA
  • Qui examinera l’explosion du nombre de résultats
• D’après l’expérience acquise avec des modèles avancés non publics, leurs performances se sont nettement améliorées ces derniers mois, et des candidats résultats surprenants sont apparus sur des questions suivies depuis des années
• Même sans Claude Mythos ni 100 000 dollars de ressources, certains nouveaux modèles avancés permettent déjà d’observer ces changements

Les limites actuelles des capacités des modèles

• Voir les modèles comme une simple autocomplétion avancée, ou juger que leur progrès ralentit, ne correspond pas aux capacités réelles des modèles avancés
• Au cours des cinq derniers mois, certains types de problèmes ont connu de grands progrès mesurables, et il n’existe jusqu’ici aucune preuve d’un plafond de performance clair
• En utilisant uniquement les résultats de recherche IA gratuits, il est difficile d’accéder aux capacités des modèles avancés, tandis que des services performants sont disponibles pour environ 20 dollars
• Cela ne signifie pas pour autant que les modèles sont déjà superintelligents ou que l’AGI est accomplie
  • Dans la recherche avancée, ils peuvent être très utiles jusqu’à un certain point, puis devenir soudain incompétents au-delà d’une frontière donnée
  • Les humains peuvent encore trouver facilement cette frontière, mais celle-ci continue de se déplacer vers l’extérieur
• La frontière entre les domaines où les modèles apportent une assistance et ceux que les humains doivent résoudre eux-mêmes se déplace, et ce changement finira par affecter tous les métiers, pas seulement les scientifiques, mais aussi les juristes, les commerciaux et les plombiers