Internet est en train de remplacer ses fondements mathématiques. Les grands ordinateurs quantiques, s’ils voient le jour, briseraient la majeure partie de la cryptographie qui protège aujourd’hui les services bancaires, les mises à jour logicielles et le trafic chiffré, si bien que le National Institute of Standards and Technology des États-Unis consacre depuis près d’une décennie des concours ouverts à la sélection de remplaçants.

L’un de ces concours est toujours en cours. Le 14 mai, le NIST a fait passer neuf algorithmes à un troisième tour d’examen pour de nouveaux schémas de signature numérique. Une signature numérique est le mécanisme mathématique qui prouve qu’un message, un paiement ou une mise à jour logicielle provient bien de l’expéditeur qu’il prétend être. Les équipes derrière les neuf finalistes ont jusqu’au 14 août pour soumettre les modifications finales de leurs conceptions.

C’est pourquoi l’annonce de mardi n’a pas le même impact qu’un communiqué habituel sur la recherche en IA.

Le 28 juillet, Anthropic a publié deux articles affirmant que Claude Mythos Preview, un modèle de pointe que l’entreprise ne commercialise pas publiquement, a découvert de nouvelles attaques mathématiques contre deux algorithmes cryptographiques. L’un d’eux est HAWK, et HAWK fait partie des neuf.

La distinction que l’entreprise établit est au cœur de l’histoire. Jusqu’à présent, le travail de sécurité de Claude a mis au jour des bogues d’implémentation, c’est-à-dire des erreurs commises par des programmeurs lors de la traduction d’un algorithme en code fonctionnel. Des milliers ont été découverts dans de grands logiciels, y compris dans des bibliothèques cryptographiques. C’est l’équivalent d’une serrure solide posée de travers. Ce qu’Anthropic affirme cette fois, c’est que Claude « est capable de trouver des failles mathématiques dans les algorithmes eux-mêmes ». Le concept de la serrure est mauvais, et une installation soignée n’y change rien.

Ce qu’est HAWK, et ce que fait l’attaque

HAWK est le seul candidat restant fondé sur les réseaux euclidiens, une branche de la géométrie impliquant des grilles de points dans des centaines de dimensions. Son attrait était pratique. Les signatures font 555 octets au niveau de sécurité le plus bas, soit moins que les standards que le NIST a déjà approuvés, et la conception évite l’arithmétique décimale délicate qui rend les schémas concurrents faciles à coder incorrectement.

L’attaque fonctionne en localisant une symétrie cachée dans le réseau euclidien de HAWK. Des travaux universitaires publiés l’an dernier avaient prouvé qu’une telle symétrie, si elle existait, réduirait d’environ moitié le problème de récupération de clé. Personne n’en avait trouvé. Le modèle, si.

Pour HAWK-256, une configuration volontairement sous-dimensionnée que les propres concepteurs de HAWK publient comme cible pour les attaquants, le coût du vol d’une clé secrète tombe d’environ 18 quintillions d’opérations à environ 275 milliards. Anthropic a publié du code qui récupère une telle clé de bout en bout en moins de quatre heures sur un seul serveur à 96 cœurs.

Les deux configurations que le NIST évalue réellement, HAWK-512 et HAWK-1024, ne sont pas compromises. Leurs coûts d’attaque estimés baissent également, mais restent tous deux très au-delà de tout ce qu’il est possible de construire. Restaurer la marge de sécurité d’origine impliquerait de doubler la taille des clés, ce qui effacerait aussi l’essentiel de ce qui rendait HAWK digne d’être choisi.

Ce que le résultat ne montre pas

L’affirmation selon laquelle un modèle a fait le travail porte ici une lourde charge. La propre formulation d’Anthropic est « en grande partie de manière autonome », et le modèle a été orienté vers un schéma que des recherches antérieures avaient déjà signalé comme potentiellement vulnérable à exactement ce type de symétrie. L’un des auteurs de cet article antérieur est aussi l’un des concepteurs de HAWK.

La vérification reste une tâche humaine, et coûteuse. Anthropic a évalué la facture de calcul à environ 100 000 $ par résultat, et à 60 heures pour HAWK. Ses chercheurs ont ensuite passé plusieurs centaines d’heures à confirmer le second résultat, deux d’entre eux mettant près d’un mois à acquérir la certitude nécessaire.

Les vérifications externes ont commencé, mais elles restent limitées. Anthropic a publié l’attaque sur la liste de diffusion publique du NIST, où le cryptographe Daniel Apon a répondu que les calculs lui paraissaient corrects de manière indépendante. Au-delà de cela, le site The Hacker News a rapporté n’avoir trouvé aucune reproduction indépendante de la récupération de clé, et le NIST n’a pas indiqué si le statut de HAWK changeait.

Le second résultat est plus faible que son titre ne le laisse penser. Il accélère de 200 à 800 fois une attaque contre AES, le chiffrement qui protège la majeure partie du trafic chiffré. Mais il vise une version de recherche allégée à sept tours plutôt que le chiffrement complet à dix tours, et il suppose qu’un attaquant puisse obtenir environ 400 octillions de messages chiffrés avec la même clé. Anthropic n’a pas exécuté l’attaque complète. L’entreprise a mesuré des composants et projeté le reste.

Anthropic a également indiqué que le modèle avait d’abord refusé le problème AES, affirmant que la cible avait été trop étudiée pour qu’il soit possible de l’améliorer. Les chercheurs ont publié leurs propres invites truffées de fautes pour le pousser à continuer.

Le contexte concurrentiel fait que cela est moins atypique qu’il n’y paraît. Google a soumis Gemini à des problèmes ouverts de la collection Erdős, et Anthropic a déclaré ce mois-ci qu’un modèle public avait résolu la conjecture jacobienne. La cryptographie est simplement le domaine où un résultat revendiqué peut être vérifié en exécutant du code.

Mythos Preview n’est pas disponible à l’achat. Il parvient aux organisations via Project Glasswing, le programme de sécurité fermé d’Anthropic.

Pour quiconque suit cela comme une thèse d’investissement plutôt que comme une histoire de mathématiques, le chiffre qui compte n’est pas 67 millions. C’est 100 000 $, et la question est de savoir s’il continue de baisser.