Ein Verfahren, das digitale Unterschriften gegen künftige Quantencomputer absichern soll, ist auf einem gewöhnlichen Server in wenigen Stunden gefallen. Das Frontier Red Team von Anthropic hat mit Claude Mythos Preview einen Angriff auf das Post-Quanten-Signaturverfahren HAWK entwickelt und den Geheimschlüssel der kleinsten Parametervariante vollständig wiederhergestellt. Bei den großen Varianten sinkt die Sicherheitsreserve um Größenordnungen, ohne dass sie damit praktisch angreifbar wären. Ein zweites Ergebnis betrifft AES, den weltweiten Standard für symmetrische Verschlüsselung.
Der Unterschied zu gewöhnlichen Sicherheitslücken ist wesentlich: Hier geht es nicht um Programmierfehler in einer Umsetzung, sondern um die Mathematik der Verfahren selbst. Zugleich gilt für beide Ergebnisse, dass sie nach Angaben von Anthropic derzeit kein produktives System gefährden. Wie weit sie tatsächlich reichen, zeigt der Blick auf die Zahlen.
HAWK ist ein Kandidat der dritten Runde im NIST-Verfahren für zusätzliche digitale Signaturen. Das Verfahren soll Signaturen auch gegen künftige Quantencomputer absichern. Nach zwei Runden menschlicher Prüfung entwickelte ein Anthropic-Forscher gemeinsam mit Claude Mythos Preview innerhalb von rund 60 Stunden einen verbesserten Angriff. Er nutzt eine zuvor nicht praktisch ausgeschöpfte Symmetrie im zugrunde liegenden Lattice Isomorphism Problem. Der Angriff reduziert das geschätzte Sicherheitsniveau bestimmter HAWK-Parameter deutlich; er halbiert nicht die physische Schlüssellänge.
Angriff senkt den geschätzten Aufwand für HAWK-256
Nach Angaben der Anthropic-Veröffentlichung sinkt der erwartete Aufwand für einen vollständigen Schlüsselwiederherstellungsangriff auf die kleine Variante HAWK-256 von 264 auf 238. Anthropic bezeichnet größere HAWK-Varianten weiterhin als praktisch nicht angreifbar. HAWK ist noch nicht als NIST-Standard ausgewählt. Um dasselbe Sicherheitsniveau zu erreichen, wären laut Anthropic größere Schlüssel nötig, wodurch HAWK einen Teil seiner Geschwindigkeits- und Größenvorteile verlieren würde.
Das zugehörige Fachpapier von Zygimantas Straznickas und Stephen A. Weis beziffert die Wirkung genauer. In dem Rechenmodell, das die HAWK-Spezifikation selbst verwendet, sinke der Aufwand für eine Schlüsselwiederherstellung bei HAWK-512 von 2150 auf höchstens 2108 Rechenschritte und bei HAWK-1024 von 2288 auf höchstens 2182. Beides bleibt weit außerhalb dessen, was heute berechenbar ist. Anders bei der kleinsten Variante: Für HAWK-256 setzten die Autoren den Angriff tatsächlich um und stellten nach eigenen Angaben auf einem einzelnen Server innerhalb weniger Stunden den geheimen Schlüssel wieder her. Auf Falcon, das bereits von NIST standardisierte Signaturverfahren auf Gitter-Basis, lasse sich die Konstruktion laut Papier nicht übertragen.
Neben dem Post-Quanten-Verfahren nahm das Forschungsteam auch den weltweiten Standard für symmetrische Verschlüsselung (AES) unter die Lupe. Bei einer auf 7 von 10 Runden reduzierten Variante von AES-128 entwickelte Claude Mythos nach Darstellung von Anthropic autonom eine Fingerprint-Methode namens Möbius Bridge. Diese Technik eliminiert einen zuvor erforderlichen Suchschritt der Meet-in-the-Middle-Angriffe um den Faktor 256 und beschleunigt den Gesamtangriff laut Veröffentlichung um das 200- bis 800-Fache. Die volle AES-128-Verschlüsselung mit 10 Runden bleibt von diesem Ergebnis unberührt.
Auch hier liefert das Fachpapier von Milad Nasr und Nicholas Carlini die Zahlen. Der bis dahin beste bekannte Angriff auf 7 Runden stammt aus dem Jahr 2013 und benötigt rund 299 Rechenschritte. Die neue Methode drückt diesen Wert bei gleicher Datenmenge auf 289,3 bis 291,4, je nachdem wie man den Rechenaufwand veranschlagt. Der Ansatzpunkt ist die S-Box, jene Ersetzungstabelle, mit der AES in jeder Runde Bytes vertauscht: Sie sei eben keine zufällige Permutation, sondern algebraisch aufgebaut, und genau diese Struktur nutzt der Angriff aus. Zur Einordnung nennen die Autoren den Stand bei vollem AES-128 - die besten bekannten Angriffe seien dort nur etwa zwei Bit besser als schlichtes Durchprobieren aller Schlüssel.
Automatisierte Agenten-Harnesses und CryptanalysisBench
Die beiden Hauptbefunde entstanden in unterschiedlichen Arbeitsweisen. Beim HAWK-Angriff arbeitete ein Anthropic-Forscher mit Claude zusammen. Für AES baute ein anderer Forscher ein Scaffold, in dem Claude den verbesserten Angriff nach Angaben des Teams vollständig autonom entdeckte. Die Entwicklung des AES-Angriffs dauerte mehrere Tage und erzeugte insgesamt rund eine Milliarde Ausgabetoken. Anthropic beziffert die API-Kosten je Hauptbefund auf ungefähr 100.000 US-Dollar. Gemeinsam mit der ETH Zürich, der Universität Tel Aviv und der Universität Haifa veröffentlichte das Team außerdem CryptanalysisBench.
Anthropic hat zum AES-Befund auch den Gedankengang des Modells offengelegt. Daraus geht die Aufgabenstellung hervor: Das Modell sollte eine völlig neue Angriffsfamilie erfinden, vergleichbar mit den historischen Durchbrüchen der differenziellen oder linearen Kryptanalyse, und nicht eine Variante bestehender Verfahren. Fünf etablierte Angriffsfamilien seien dabei ausdrücklich ausgeschlossen worden. Rund 200 Angriffsvarianten aus diesen Familien hätten automatisierte Arbeitsprozesse zuvor bereits erfolglos durchprobiert.
CryptanalysisBench: 191 Aufgaben, fünf Spitzenmodelle
Der begleitende Benchmark erschien am 20. Juli 2026 als Studie CryptanalysisBench: Can LLMs do Cryptanalysis?. Er umfasst 191 Aufgaben aus sechs Familien kryptografischer Bausteine, überwiegend aus vier NIST-Standardisierungswettbewerben, gegliedert in drei Schwierigkeitsstufen: bereits gebrochene Verfahren, Verfahren ohne bekannten praktischen Angriff sowie Produktivverfahren am aktuellen Forschungsrand.
Getestet wurden fünf Modelle: Claude Opus 4.8, Claude Sonnet 5, Claude Mythos 5, GPT 5.5 sowie das quelloffene GLM 5.2. Sie hätten laut Studie 65 bis 86 Prozent der Aufgaben der ersten Stufe gelöst und je nach Modell 6 bis 12 Verfahren der zweiten Stufe in voller Stärke gebrochen. Nebenbei seien zwei bislang unbekannte Ergebnisse entstanden: ein Angriff auf einen Konstruktionsfehler im Verschlüsselungsverfahren SpoC sowie ein Fehler im veröffentlichten Sicherheitsbeweis des Verfahrens KINDI. Beide Verfahren stammen aus NIST-Wettbewerben und sind nicht in produktivem Einsatz. Die Autoren verstehen den Benchmark ausdrücklich als Frühwarnsystem, das anzeigen soll, wann KI-gestützte Kryptanalyse ernsthaft relevant wird.
Anthropic teilte den HAWK-Angriff im Juni mit den Autoren und koordinierte die öffentliche Bekanntgabe über die NIST-Mailingliste. Für die Überprüfung des AES-Befunds benötigten zwei menschliche Forscher nach Unternehmensangaben fast einen Monat. Diese nachträgliche Validierung ist ein wichtiger Teil des Ergebnisses: Auch bei autonom gefundenen Ideen bleibt menschliche und fachliche Prüfung nötig.
🎯 Was das für die Praxis bedeutet
1. PQC-Fahrpläne flexibel halten: Unternehmen sollten bei der Umstellung auf Post-Quanten-Kryptografie nicht auf ein einziges Kandidatenverfahren setzen, sondern auf Krypto-Agilität achten.
2. KI als zusätzliches Prüfwerkzeug sehen: Die Arbeiten zeigen, dass Modelle Hypothesen für mathematische Angriffe entwickeln können. Ergebnisse müssen von Kryptografie-Fachleuten reproduziert und verifiziert werden.
3. Keine pauschale AES-Panik: Der veröffentlichte AES-Angriff betrifft sieben statt der vollen zehn Runden. Produktives AES-128 wird durch diesen Befund nicht gebrochen.
