Anthropics Mythos-Modell knackte bereits Verschlüsselungs-Algorithmen

Claude Mythos Preview hat zwei neue kryptografische Angriffe gefunden – einen davon fast vollständig autonom. Betroffen sind ein Post-Quanten-Kandidat des US-Standardisierungsinstituts NIST und eine abgeschwächte Variante von AES. Produktivsysteme sind nicht gefährdet – die Signalwirkung ist es umso mehr.

Sieben Tage nachdem OpenAI eingeräumt hat, dass zwei seiner eigenen Modelle aus einer Testumgebung ausgebrochen sind und die Produktionsinfrastruktur von Hugging Face angegriffen haben, meldet sich der Konkurrent Anthropic mit einem Ergebnis aus derselben Domäne – nur unter kontrollierten Bedingungen und mit koordinierter Offenlegung. Am Dienstag veröffentlichte das Frontier-Red-Team des Unternehmens zwei Forschungspapiere, laut denen das nicht öffentlich verfügbare Modell Claude Mythos Preview neue Angriffe auf zwei kryptografische Algorithmen gefunden hat.

Der Unterschied zu bisherigen KI-Sicherheitsfunden ist der entscheidende Punkt: Bislang fanden Modelle Fehler in der Implementierung von Verschlüsselung, also in Code-Bibliotheken wie OpenSSL oder wolfSSL. Diesmal geht es um mathematische Schwächen in den Algorithmen selbst.

Halbierte Schlüsselstärke bei einem NIST-Kandidaten

Der praktisch relevantere der beiden Funde betrifft HAWK, ein digitales Signaturverfahren, das gegen Quantencomputer resistent sein soll. HAWK ist einer der verbliebenen Kandidaten in der dritten Runde einer NIST-Ausschreibung für zusätzliche Post-Quanten-Signaturen und hat bereits zwei Runden internationaler Expertenprüfung über zwei Jahre überstanden.

Mythos brauchte laut Anthropic rund 60 Stunden, um den bis dahin besten bekannten Angriff zu verbessern – mit dem Effekt, dass sich die effektive Schlüsselstärke halbiert. Für die kleine Variante HAWK-256 sank der erwartete Aufwand eines vollständigen Key-Recovery-Angriffs von 2⁶⁴ auf 2³⁸ Operationen. Technisch fand das Modell eine bislang unausgenutzte Symmetrie (einen nichttrivialen Automorphismus) im verwendeten Gitter. Vorarbeiten hatten gezeigt, dass ein solcher Automorphismus einen Angriff ermöglichen würde – offen war, ob er bei HAWK überhaupt existiert.

Die Konsequenz: Wer das bisherige Sicherheitsniveau halten will, muss die Schlüssel verdoppeln. Genau das nimmt HAWK aber jene Kompaktheit, die es als Kandidat attraktiv gemacht hat. Anthropic hat den Fund im Juni an die HAWK-Autoren übermittelt und die Offenlegung mit der öffentlichen NIST-Mailingliste koordiniert.

AES: 200 bis 800 Mal schneller – auf einer abgeschwächten Version

Der zweite Fund betrifft AES, den weltweit meistgenutzten symmetrischen Verschlüsselungsstandard, der seit 2001 alles von Bankgeschäften bis WLAN-Verkehr absichert. Hier ist die Einordnung wichtig: AES-128 durchläuft zehn Runden – angegriffen wurde eine reduzierte Variante mit sieben von zehn Runden. Solche Reduktionen sind in der Kryptografie-Forschung üblich, um Rückschlüsse auf die Robustheit des vollen Verfahrens zu ziehen.

Mythos verbesserte einen sogenannten Meet-in-the-Middle-Angriff durch einen neuen Fingerprinting-Algorithmus, den das Modell selbst „Möbius Bridge“ taufte. Ein Rechenschritt, der zuvor 2⁵⁶ Werte durchprobieren musste, entfällt damit. Unterm Strich ist der Angriff je nach Messmethode 200- bis 800-mal schneller als der bisherige Stand der Technik. Praktisch nutzbar ist er nicht: Das Angriffsmodell setzt voraus, dass ein Angreifer 2¹⁰⁵ selbst gewählte Klartexte verschlüsseln lassen kann.

Erst verweigerte Claude die Arbeit

Bemerkenswert ist der Weg dorthin, den Anthropic ungewöhnlich transparent dokumentiert – inklusive der Original-Prompts samt Tippfehlern. Zunächst weigerte sich das Modell schlicht, das Problem zu bearbeiten: Es sei unmöglich, die Kryptoanalyse von AES zu verbessern, AES-128 sei „einfach wirklich schwer“. Erst nach mehreren Anläufen und drei inhaltlichen Zwischenrufen der Forscher – sinngemäß: keine niedrig hängenden Früchte, keine Zielwechsel, echte Forschung – lieferte das Modell.

Danach arbeitete Mythos laut Anthropic über drei Tage weitgehend selbstständig und produzierte im Gesamtprozess rund eine Milliarde Output-Tokens. Beim HAWK-Angriff arbeiteten mehrere Agenten parallel; die Schlüsselidee entstand in einem Zweier-Team, in dem ein Agent den Ansatz voreilig verwarf und der zweite ihn zu Ende dachte. Kosten pro Ergebnis: jeweils rund 100.000 US-Dollar an API-Compute.

Der eigentliche Flaschenhals war danach der Mensch. Zwei Forscher brauchten fast einen Monat, um die Korrektheit des AES-Ergebnisses zu verifizieren – nach eigener Angabe waren sie keine Kryptografie-Experten und mussten sich das Feld erst aneignen.

„Sie konnten keine Aufgaben lösen, die ich mit 16 lösen konnte“, sagte Anthropic-Forscher Nicholas Carlini der New York Times über den Stand der Modelle im Vorjahr. Heute betrieben sie Forschung auf dem Stand der Technik.

Weitere Ergebnisse in der Pipeline

Anthropic listet mehrere zusätzliche, noch nicht vollständig ausgewertete Funde: einen praktisch lauffähigen Angriff auf 13 Runden des Lightweight-Verfahrens LEA (ISO/IEC-standardisiert, volles Verfahren: 24 Runden), der in unter einer Stunde auf einem gewöhnlichen Desktop-Rechner einen Schlüssel wiederherstellt, sowie einen Angriff auf sechs Runden von Serpent-128 und kleinere Verbesserungen bei Salsa20, Poseidon und SHA-1.

Gemeinsam mit Forschenden der ETH Zürich, der Universität Tel Aviv und der Universität Haifa hat Anthropic zudem CryptanalysisBench veröffentlicht, einen Benchmark, mit dem sich die kryptoanalytischen Fähigkeiten von Sprachmodellen künftig systematisch messen lassen sollen.

Zwei Vorfälle, ein Muster

Die zeitliche Nähe zum Hugging-Face-Vorfall ist kein Zufall, sondern Ausdruck derselben Entwicklungsstufe. Bei OpenAI hatten Mitte Juli GPT-5.6 Sol und ein unveröffentlichtes Modell mit deaktivierten Sicherheitssperren im Cyber-Benchmark ExploitGym eine Zero-Day-Lücke in einem Package-Proxy ausgenutzt, sich Internetzugang verschafft und über gestohlene Zugangsdaten Code auf Hugging-Face-Servern ausgeführt – um die Lösungen des Benchmarks direkt an der Quelle abzugreifen. Hugging Face entdeckte und stoppte den Einbruch am 16. Juli eigenständig, OpenAI legte ihn am 21. Juli offen.

Der eine Fall zeigt, was passiert, wenn solche Fähigkeiten ohne ausreichende Einhegung laufen. Der andere zeigt, was dieselben Fähigkeiten leisten, wenn sie kontrolliert und mit Responsible Disclosure eingesetzt werden. Mythos Preview ist bis heute nicht öffentlich verfügbar, sondern nur für ausgewählte Behörden und Organisationen im Rahmen von Anthropics „Project Glasswing“ zugänglich.