A computação quântica está se tornando uma ameaça cada vez mais relevante para a segurança da internet. Alguns preveem que computadores quânticos de grande porte possam surgir já em 2030, colocando em risco a criptografia que sustenta os sistemas bancários, as mensagens e a cibersegurança em todo o mundo. As assinaturas digitais usam algoritmos matemáticos para confirmar a origem de um pagamento, mensagem ou atualização de software.

Sem essas garantias, os sistemas que sustentam a conectividade e as finanças globais deixariam de funcionar. Embora essa ameaça só tenha entrado recentemente na consciência do público em geral, o setor de tecnologia vem se antecipando a ela há muito mais tempo.

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) passou quase uma década promovendo competições abertas para desenvolver substitutos pós-quânticos para os padrões criptográficos atuais. Uma delas está em andamento. Em maio deste ano, uma lista preliminar de nove algoritmos de assinatura digital avançou para uma terceira rodada de análise, apresentando suas alterações finais de projeto em 14 de agosto.

Claude Mythos quebrou o HAWK, um dos principais candidatos pós-quânticos

A natureza crítica desse trabalho foi destacada ainda mais em 28 de julho, quando a Anthropic publicou dois artigos afirmando que o Claude Mythos Preview — um modelo não público disponibilizado a pesquisadores de segurança por meio do projeto Glasswing — identificou novos vetores de ataque em um dos algoritmos criptográficos inscritos na competição.

A empresa apresentou isso como um avanço nas capacidades de cibersegurança de seu modelo principal, que até então só conseguia identificar erros cometidos por programadores ao implementar algoritmos em seu código. Isso é diferente do anúncio mais recente da empresa, no qual ela afirma que o Claude “é capaz de encontrar falhas matemáticas nos próprios algoritmos”.

Um dos modelos afetados foi o HAWK. Esse esquema experimental de assinatura é o único entre os candidatos restantes do NIST baseado em reticulados, um ramo da geometria que envolve grades de pontos em centenas de dimensões. Isso o coloca entre os exemplos mais eficientes em termos de memória, com assinaturas de apenas 555 bytes usando suas configurações de segurança mais baixas.

No entanto, de acordo com um trabalho acadêmico publicado no ano passado, esse tipo de esquema é suscetível a vulnerabilidades baseadas em simetrias ocultas em seu reticulado, o que reduziria aproximadamente pela metade o problema de recuperação da chave. Essa era uma preocupação puramente hipotética, até que o Claude Mythos Preview descobriu justamente uma dessas simetrias no HAWK-256.

Essa configuração do padrão criptográfico HAWK é publicada por seus desenvolvedores para fins de testes públicos de resistência. Ao fazer seu modelo identificar essa vulnerabilidade, a Anthropic reduziu o número de operações necessárias para roubar uma chave secreta de 18 quintilhões para 275 bilhões.

O custo para quebrar inicialmente a chave secreta do HAWK-256 foi significativo. O experimento da Anthropic teve um custo computacional de aproximadamente US$ 100.000 e levou cerca de 60 horas. No entanto, agora que a empresa identificou a viabilidade do método, as operações de recuperação subsequentes levarão menos de quatro horas em um servidor com 96 núcleos.

O HAWK foi retirado, mas o AES permanece intocado

É importante reiterar que o HAWK-256 é uma configuração intencionalmente mais fraca do que aquelas apresentadas ao NIST. O HAWK-512 e o HAWK-1024 também têm uma redução no custo estimado do ataque, mas sua margem de segurança restante ainda os coloca muito acima das capacidades atuais de qualquer invasor. Ainda assim, restaurá-los à margem de segurança original significaria dobrar o tamanho das chaves e, consequentemente, sacrificar sua vantagem em termos de compactação.

Como resultado, os desenvolvedores por trás do HAWK decidiram retirá-lo da avaliação. Sophie Schmieg, pesquisadora de computação pós-quântica no Google, declarou desde então que “Basicamente, com este artigo, o HAWK está morto”.

Ao mesmo tempo que anunciou suas descobertas sobre o HAWK, a Anthropic revelou ter identificado vulnerabilidades em um segundo padrão criptográfico: o AES, a cifra atualmente em uso que protege a maior parte do tráfego criptografado. A Anthropic afirma ter acelerado o melhor ataque anterior entre 200 e 800 vezes, mas há vários fatores atenuantes.

O primeiro é que o ataque teve como alvo uma versão de pesquisa simplificada, com sete rodadas, em vez da cifra completa, de dez rodadas. Ele também presumiu que um invasor poderia obter cerca de 400 octilhões de mensagens escolhidas especialmente e criptografadas com a mesma chave. Por causa dessa aparente inviabilidade, a Anthropic não realizou o ataque completo; em vez disso, verificou computacionalmente apenas partes dele e extrapolou o resultado final.

Como resultado, essa segunda descoberta é materialmente menos significativa do que a primeira, que tirou de circulação um candidato promissor a assinatura pós-quântica.