A internet está no meio de uma troca de sua matemática. Grandes computadores quânticos, se chegarem, quebrariam a maior parte da criptografia que hoje protege serviços bancários, atualizações de software e tráfego criptografado, então o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) passou quase uma década conduzindo concursos abertos para escolher substitutos.

Um desses concursos ainda está em andamento. Em 14 de maio, o NIST avançou nove algoritmos para uma terceira rodada de revisão de novos esquemas de assinatura digital. Uma assinatura digital é a matemática que prova que uma mensagem, um pagamento ou uma atualização de software realmente veio do remetente que afirma tê-la enviado. As equipes por trás dos nove sobreviventes têm até 14 de agosto para apresentar mudanças finais em seus projetos.

É por causa desse prazo que o anúncio de terça-feira soa diferente do comunicado habitual de pesquisa em IA.

Em 28 de julho, a Anthropic publicou dois artigos alegando que o Claude Mythos Preview, um modelo de fronteira que a empresa não vende publicamente, encontrou novos ataques matemáticos contra dois algoritmos criptográficos. Um deles é o HAWK, e o HAWK é um dos nove.

A distinção que a empresa está traçando é toda a história. O trabalho de segurança do Claude até agora vinha revelando bugs de implementação, ou seja, erros que programadores cometeram ao traduzir um algoritmo em código funcional. Milhares deles foram encontrados em softwares importantes, inclusive em bibliotecas criptográficas. São o equivalente a uma fechadura bem projetada instalada torta. O que a Anthropic afirma desta vez é que o Claude "é capaz de encontrar falhas matemáticas nos próprios algoritmos". O projeto da fechadura está errado, e uma instalação cuidadosa não ajuda.

O que é o HAWK e o que o ataque faz

O HAWK é o único candidato restante construído sobre reticulados, um ramo da geometria que envolve grades de pontos em centenas de dimensões. Seu apelo era prático. As assinaturas têm 555 bytes no nível mais baixo de segurança, menores do que os padrões que o NIST já aprovou, e o projeto evita a aritmética decimal minuciosa que faz com que esquemas rivais sejam fáceis de codificar incorretamente.

O ataque funciona localizando uma simetria escondida no reticulado do HAWK. Trabalho acadêmico publicado no ano passado havia provado que tal simetria, se existisse, reduziria aproximadamente pela metade o problema de recuperação de chave. Ninguém havia encontrado uma. O modelo encontrou.

Para o HAWK-256, uma configuração deliberadamente subdimensionada que os próprios projetistas do HAWK publicam como alvo para atacantes, o custo de roubar uma chave secreta cai de cerca de 18 quintilhões de operações para cerca de 275 bilhões. A Anthropic divulgou código que recupera essa chave de ponta a ponta em menos de quatro horas em um único servidor de 96 núcleos.

As duas configurações que o NIST realmente avalia, HAWK-512 e HAWK-1024, não foram quebradas. Seus custos estimados de ataque também caem, mas ambos continuam muito além de qualquer coisa que se possa construir. Restaurar a margem de segurança original significaria dobrar os tamanhos das chaves, o que também apagaria a maior parte do que fazia o HAWK valer a pena ser escolhido.

O que o resultado não mostra

A alegação de que um modelo fez o trabalho sustenta muito peso aqui. A própria formulação da Anthropic é "majoritariamente de forma autônoma", e o modelo foi direcionado a um esquema que pesquisas anteriores já haviam apontado como possivelmente vulnerável exatamente a esse tipo de simetria. Um dos autores desse artigo anterior também é um dos projetistas do HAWK.

A verificação continua sendo um trabalho humano, e caro. A Anthropic estimou a conta de computação em aproximadamente US$ 100.000 por resultado, e 60 horas para o HAWK. Seus pesquisadores então passaram várias centenas de horas confirmando o segundo resultado, com dois deles levando quase um mês para alcançar confiança.

A checagem externa começou, mas ainda é limitada. A Anthropic publicou o ataque na lista pública de e-mails do NIST, onde o criptógrafo Daniel Apon respondeu que a matemática parecia correta para ele de forma independente. Além disso, o The Hacker News informou não ter encontrado nenhuma reprodução independente da recuperação da chave, e o NIST não disse se a posição do HAWK mudou.

A segunda descoberta é mais fraca do que sua manchete sugere. Ela acelera um ataque contra o AES, a cifra que protege a maior parte do tráfego criptografado, em 200 a 800 vezes. Mas ela mira uma versão de pesquisa simplificada de sete rodadas, em vez da cifra completa de dez rodadas, e pressupõe que um atacante consiga obter cerca de 400 octilhões de mensagens criptografadas sob a mesma chave. A Anthropic não executou o ataque completo. Mediu componentes e projetou o restante.

A Anthropic também revelou que o modelo inicialmente recusou o problema do AES, insistindo que o alvo era estudado demais para ser melhorado. Os pesquisadores publicaram seus próprios prompts cheios de erros de digitação para pressioná-lo a continuar.

O pano de fundo competitivo faz disso algo menos fora da curva do que parece. O Google submeteu o Gemini a problemas em aberto da coleção de Erdős, e a Anthropic disse neste mês que um modelo público resolveu a Conjectura Jacobiana. A criptografia é simplesmente o domínio em que um resultado alegado pode ser verificado executando código.

O Mythos Preview não está disponível para compra. Ele chega a organizações por meio do Project Glasswing, o programa fechado de segurança da Anthropic.

Para qualquer pessoa acompanhando isso como uma tese de investimento, e não como uma história de matemática, o número que importa não é 67 milhões. É US$ 100.000, e se continua caindo.