Chiffrement : claude identifie des failles dans HAWK et une version d’AES, mais sans danger immédiat

Les chercheurs de l’équipe Frontier Red Team d’Anthropic viennent de publier un rapport détaillant des failles cryptographiques identifiées à l’aide de leur modèle Claude. Deux algorithmes majeurs sont concernés : le schéma de signature post-quantique HAWK et une version simplifiée de l’AES.

Si ces découvertes ne menacent pas la sécurité des systèmes actuels, elles soulèvent des questions sur la robustesse des protocoles cryptographiques à long terme. Voici ce qu’il faut retenir de leurs travaux.

HAWK, un candidat post-quantique mis en difficulté

HAWK était jusqu’à récemment l’un des finalistes de l’appel à candidatures lancé par le NIST pour sélectionner des algorithmes résistants aux ordinateurs quantiques. Ce schéma de signature numérique avait franchi deux tours d’évaluation par des experts humains sur une période de deux ans.

Pourtant, une équipe utilisant une version préliminaire de Mythos (le modèle interne d’Anthropic) est parvenue à rompre sa sécurité en exploitant une symétrie géométrique cachée dans le problème d’isomorphisme de réseaux euclidiens modulaires.

En divisant par deux la dimension du réseau, les chercheurs ont réduit la complexité de 2⁶⁴ à 2³⁸ opérations pour la variante HAWK-256. Résultat : la clé secrète a pu être extraite en seulement 3 heures et 42 minutes sur un serveur standard équipé de 96 cœurs.

Face à cette faille, les concepteurs de HAWK ont retiré l’algorithme du processus de sélection du NIST dès le 29 juillet 2026. Pour restaurer un niveau de sécurité acceptable, il aurait fallu doubler la taille des clés, ce qui aurait compromis l’un des principaux atouts de cet algorithme : sa légèreté de calcul.

Pourquoi cette faille est-elle préoccupante ?

Cette découverte rappelle que les algorithmes post-quantiques ne sont pas à l’abri des failles. Même les meilleurs candidats peuvent être compromis par des attaques innovantes, comme celles permises par l’intelligence artificielle.

L’histoire récente regorge d’exemples similaires, comme SIKE, cassé en une heure sur un PC classique, ou Rainbow, vulnérable après 53 heures de calcul. Ces échecs montrent que la cryptographie post-quantique reste un domaine en pleine évolution, où chaque découverte peut bouleverser les certitudes établies.

Une faille théorique sur une version réduite d’AES

Le Advanced Encryption Standard (AES), algorithme emblématique de chiffrement symétrique, est utilisé quotidiennement pour sécuriser des communications sensibles, notamment dans les protocoles bancaires et TLS.

Pour tester sa robustesse, les chercheurs emploient des versions simplifiées de l’algorithme, réduites à 7 tours au lieu des 10 prévus par la norme. C’est exactement ce type de version qui a été cassé par Mythos.

Les scientifiques ont mis au point une technique d’empreinte invariante appelée « Pont de Möbius », intégrée dans une attaque par rencontre au milieu. Cette méthode élimine une étape de recherche exhaustive, accélérant les attaques existantes d’un facteur 200 à 800.

Toutefois, cette faille reste strictement théorique : elle ne concerne que la version réduite à 7 tours et ne peut pas être exploitée contre la version standard d’AES-128 ou AES-256.

Que dit l’ANSSI ?

Dans ses dernières recommandations, l’ANSSI rappelle que la taille minimale des clés symétriques doit être de 128 bits, mais recommande de passer à 192 bits pour une sécurité post-quantique. Cette transition n’entraînerait qu’une faible dégradation des performances, comme le montre le faible surcoût d’AES-192 par rapport à AES-128.

Pour les plus exigeants, l’agence suggère d’utiliser des clés de 256 bits ou plus, garantissant ainsi une sécurité renforcée.

L’intelligence artificielle au service de la cryptographie

Ces découvertes soulignent le rôle croissant de l’IA dans la recherche en cryptographie. En effet, Mythos a permis de générer des attaques innovantes en analysant des millions de combinaisons et en proposant des optimisations algorithmiques.

Cependant, ces opérations ont un coût : pour découvrir la faille dans HAWK, l’équipe a dû consacrer 60 heures de calcul autonome, pour un coût estimé à 100 000 dollars en passant par les services d’Anthropic. Mythos a même refusé dans un premier temps de traiter la version réduite d’AES, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé. Après ajustement des consignes, le modèle a finalement proposé une nouvelle méthode d’attaque.

Les résultats ont ensuite été vérifiés pendant un mois par deux chercheurs, qui ont contrôlé la rigueur mathématique des démonstrations et testé le code généré par l’IA. Cette étape était cruciale pour éliminer toute hallucination ou erreur de calcul.

Un défi pour la communauté cryptographique

Ces travaux révèlent un déplacement du goulot d’étranglement dans la recherche en sécurité informatique. Désormais, le problème n’est plus de trouver des failles, mais de les valider et de les corriger rapidement.

Les équipes de développement de navigateurs comme Firefox, de systèmes d’exploitation comme Windows ou macOS, font face à une inflation des correctifs, rendant la gestion des vulnérabilités de plus en plus complexe.

Anthropic évoque d’autres expériences préliminaires en cours, suggérant que cette tendance ne fera que s’amplifier. La communauté cryptographique devra donc s’adapter à ce nouveau paysage, où l’intelligence artificielle joue un rôle central.

En conclusion, si ces découvertes n’ont pas d’impact immédiat sur la sécurité des systèmes actuels, elles rappellent l’importance de rester vigilant et d’investir dans la recherche pour anticiper les menaces futures.