HAWK retiré du NIST : une IA d'Anthropic a affaibli un candidat post-quantique

Le 28 juillet 2026, Anthropic a publié un billet de sa Frontier Red Team intitulé « Discovering cryptographic weaknesses with Claude ». Son modèle Claude Mythos Preview y a trouvé des attaques inédites contre deux systèmes cryptographiques : HAWK, un schéma de signature post-quantique en lice pour devenir un standard américain, et AES, le chiffrement symétrique le plus utilisé au monde. Le lendemain, l'équipe qui développe HAWK a retiré sa candidature du processus du NIST.

À notre connaissance, c'est la première fois qu'un résultat produit par un modèle de langage fait sortir un candidat de la course à un standard cryptographique. C'est aussi un sujet où la distance entre le titre et le fait est énorme. Rien de ce que vous utilisez aujourd'hui n'est cassé, et cet article existe surtout pour expliquer pourquoi.

Ce que Mythos a trouvé dans HAWK

HAWK est un schéma de signature numérique. C'est la brique qui prouve à votre navigateur qu'il parle bien au site annoncé, et non à un imposteur. Depuis 2022, le NIST fait passer une série de candidats post-quantiques à travers un processus de revue publique, dans l'espoir d'en standardiser quelques-uns avant l'arrivée d'ordinateurs quantiques capables de casser RSA et ECDSA. HAWK avait franchi deux tours et se trouvait au troisième.

Sa sécurité repose sur la difficulté du Lattice Isomorphism Problem, un problème de réseaux euclidiens. L'attaque de Mythos consiste à exhiber une symétrie particulière, un automorphisme non trivial, dans le réseau qu'utilise HAWK. Des travaux antérieurs avaient prouvé que trouver un tel automorphisme permettrait une attaque, sans savoir s'il en existait un d'accessible. Mythos a répondu à la question.

Résultat, annoncé par Anthropic sur pqc-forum, la liste de diffusion publique du NIST : dans le modèle de comptage de portes de référence, le coût de récupération de clé passe de 2¹⁵⁰ à 2¹⁰⁸ pour HAWK-512, et de 2²⁸⁸ à 2¹⁸² pour HAWK-1024. Sur le plus petit paramètre, HAWK-256, il tombe de 2⁶⁴ à 2³⁸, et là l'équipe est allée jusqu'au bout : une implémentation retrouve la clé secrète de bout en bout en quelques heures sur un seul serveur. Le code est publié sur GitHub.

Un point de vocabulaire compte ici. L'attaque reste exponentielle : elle ne s'exécute pas en temps polynomial, et sur les grandes tailles de clé HAWK demeure hors d'atteinte. En cryptographie académique, un algorithme est néanmoins dit « cassé » dès qu'une méthode permet de retrouver une clé plus vite que la force brute. C'est le cas.

Pourquoi l'équipe HAWK a jeté l'éponge

La faiblesse se corrige : il suffit de doubler la taille des clés. Le problème est que HAWK n'avait pas d'autre argument que sa compacité face aux schémas déjà standardisés. Doubler les clés lui retire sa raison d'être. L'équipe, qui avait reçu l'attaque d'Anthropic en juin et participé à sa vérification, en a tiré la conclusion elle-même.

Quelques heures plus tard, Dustin Moody, du programme post-quantique du NIST, remerciait l'équipe sur la même liste et actualisait la page officielle du 3ᵉ tour. HAWK y est désormais marqué comme retiré.

David Wong est l'auteur de Real-World Cryptography et travaille sur la sécurité chez zkSecurity. Sa réaction dit bien l'état d'esprit du milieu : ce n'est pas la surprise qui domine, c'est la confirmation d'une bascule que beaucoup voyaient venir.

Ce que ça ne change pas pour vos données

Le second résultat est celui qui provoque les titres alarmants, et c'est le moins spectaculaire des deux. Mythos a amélioré une attaque dite « meet in the middle » contre AES-128 réduit à 7 tours sur 10, grâce à une technique d'empreinte que le modèle a baptisée Möbius Bridge. Anthropic annonce un gain de vitesse de 200 à 800 fois sur les meilleures attaques connues.

Sauf que cette attaque suppose de faire chiffrer 2¹⁰⁵ messages choisis avec la clé visée, un volume qui n'existe nulle part dans l'univers observable, et qu'Anthropic chiffre en note de bas de page à plusieurs centaines de millions de dollars de mise en œuvre. Matthew Green rappelle de son côté que les attaques sur AES à 7 tours ne sont pas nouvelles et que ce résultat est une amélioration modeste, à facteur constant, sur des travaux de 2013.

Le vrai signal : une IA qui recombine ce qui existait déjà

C'est le point que Matthew Green, professeur de cryptographie à Johns Hopkins, insiste à mettre en avant, et c'est celui qui devrait retenir l'attention.

Le déroulé de la découverte va dans le même sens. Le chercheur d'Anthropic aux commandes avait une formation en informatique théorique mais aucune expertise en cryptographie sur réseaux ; son rôle s'est limité à de la gestion de projet, du genre « note tes idées quelque part » ou « utilise plutôt cette bibliothèque ». Mythos a travaillé en agents multiples dans un harnais proche de Claude Code, avec accès à Python, Sage et la littérature publiée. L'idée clé est née d'un binôme : le premier agent avait rejeté la piste comme infaisable, le second a trouvé comment l'exploiter, et les deux ont convergé.

Sur AES, le processus a été encore plus révélateur. Le modèle refusait d'abord d'y toucher, répondant en substance qu'il n'y avait rien à trouver sur le chiffrement le plus étudié qui existe. Il a fallu trois relances, publiées telles quelles par Anthropic, fautes de frappe comprises, pour qu'il produise plusieurs centaines de millions de jetons en trois jours et sorte le Möbius Bridge. Puis deux chercheurs ont passé près d'un mois à se convaincre que le résultat était correct.

« Le goulot d'étranglement se déplace : ce n'est plus de trouver le résultat, c'est de le valider. »

C'est exactement ce qu'Anthropic prédit dans sa conclusion, en transposant à la cryptographie académique ce que la cybersécurité vit déjà : les modèles trouvent plus de failles que les processus humains de tri et de correction n'en absorbent. Nous en avions vu une illustration avec l'agent d'OpenAI utilisé pour pirater Hugging Face. Et le fil pqc-forum en donne une deuxième preuve en direct : dans la même discussion, un chercheur a partagé une attaque différente contre HAWK, produite avec GPT-5.6 et lui aussi avec un minimum d'aide humaine. Un contributeur y appelle déjà à écrire des règles communes pour arbitrer les résultats de cryptanalyse générés par IA.

Reste la part de communication. Dan Goodin, d'Ars Technica, souligne qu'il est difficile de démêler le marketing du signal, tout en jugeant le signal bien réel. Il note surtout une absence : Anthropic ne dit pas si Mythos a été lancé contre des systèmes bien plus éprouvés comme RSA ou les courbes elliptiques. Et personne ne peut savoir si des cryptanalystes humains étaient déjà proches de cette attaque.

Un dernier repère pour situer l'événement. Mythos Preview n'est pas un produit : il reste réservé à un cercle restreint d'utilisateurs de confiance, et ce n'est pas le modèle qui répond dans Claude, ni celui que nous décrivons dans notre analyse d'Opus 5. Sur le terrain voisin de l'évaluation des capacités cyber des modèles, notre lecture du rapport UK AISI et CAISI consacré à Kimi K3 montre à quel point ces mesures demandent d'être lues ligne à ligne.