Claude AI i Bezpieczeństwo Kryptograficzne: Jak AI Odkrywa Luki w Szyfrach
Przez dekady kryptografia była domeną elit akademickich — matematyków i kryptologów, którzy latami badali algorytmy w poszukiwaniu słabości. Anthropic właśnie pokazał, że ten model się zmienia. Claude, ich najnowszy model w wariancie Mythos Preview, autonomicznie odkrył matematyczne słabości w sprawdzonych algorytmach kryptograficznych — i zrobił to w ułamku czasu, jaki zajęłoby to ludzkiemu zespołowi.
Dla firm zarządzających infrastrukturą IT i systemami bezpieczeństwa to sygnał, którego nie można ignorować.
Co Odkrył Anthropic — Konkretne Wyniki
Badania Anthropic nie są akademicką ciekawostką. Claude pracował w środowisku agentowym przez kilka dni, analizując literaturę naukową, przeprowadzając eksperymenty obliczeniowe i weryfikując własne hipotezy. Efekty są konkretne.
Atak na HAWK — algorytm postkwantowy
HAWK to jeden z kandydatów NIST do standardu kryptografii postkwantowej — szyfrów zaprojektowanych z myślą o odporności na ataki komputerów kwantowych. Claude zidentyfikował w nim specyficzną symetrię (nontrivial automorphism) w strukturze kratowej, która de facto zmniejsza efektywną siłę klucza o połowę.
W praktyce: HAWK-256, który miał oferować bezpieczeństwo na poziomie 2^64 operacji, po odkryciu Clauda wymaga jedynie 2^38 operacji. To wciąż liczba astronomicznie duża dla dzisiejszych komputerów, ale różnica jest fundamentalna z punktu widzenia standardów bezpieczeństwa.
Odkrycie zajęło 60 godzin pracy z udziałem jednego badacza. Koszt API: około 100 000 dolarów. Tyle samo kosztowałoby kilka tygodni pracy specjalistycznego zespołu kryptologów.
Algorytm Möbius Bridge — przyspieszenie ataku na AES
Claude opracował autorski algorytm zwany „Möbius Bridge” — metodę fingerprintingu, która eliminuje jeden krok w obliczeniach atakujących 7-rundową wersję AES (pełny AES ma 10 rund). Wynik: przyspieszenie od 200 do 800 razy w porównaniu z poprzednimi najlepszymi metodami.
Przełomowe jest też to, jak Claude do tego doszedł: pracował niemal w pełni autonomicznie przez 3 dni, wymagając tylko 3 interakcji z badaczem. W tym czasie wygenerował blisko miliard tokenów wyjściowych — co odpowiada setkom tysięcy stron tekstu matematycznego.
LEA — praktyczny atak w zasięgu komputera domowego
Lightweight Encryption Algorithm (LEA) to szyfr stosowany w urządzeniach IoT i systemach wbudowanych. Claude znalazł atak na 13 z 24 rund algorytmu, który:
- Odtwarzał klucze przy mniej niż 2^30 zaszyfrowanych tekstach
- Działał w ciągu kilku godzin na komputerze domowym
- Poprzedni rekord wynosił 2^98 tekstów i 2^86 operacji
Różnica między poprzednim stanem wiedzy a odkryciem Clauda jest przepaścią.
Jak Claude Wykrywa Podatności — Metodologia
Żaden z tych wyników nie powstał przez „wpisanie pytania w chatbota”. Claude działał w złożonym środowisku agentowym z dostępem do narzędzi obliczeniowych.
Architektura badań:
- Środowisko sandbox z izolowanym dostępem do Pythona i Sage (narzędzie do algebry obliczeniowej)
- Dostęp do baz literatury naukowej z dziedziny kryptografii
- Wieloagentowa współpraca — wiele instancji Clauda weryfikowało się wzajemnie
- Automatyczne pipeline’y weryfikacyjne sprawdzające poprawność matematyczną
Proces wyglądał tak: Claude najpierw przeprowadzał rozległy przegląd literatury — identyfikował stan wiedzy na dany temat, luki badawcze i obiecujące kierunki. Następnie formułował hipotezy matematyczne i testował je obliczeniowo. Wyniki trafiały do weryfikacji przez inne instancje modelu lub przez badaczy ludzkich.
Anthropic współpracował przy tym z uczelniami: ETH Zurych, Uniwersytetem Tel Awiwu i Uniwersytetem Hajfy, tworząc CryptanalysisBench — ustandaryzowany framework do oceny zdolności modeli językowych w kryptoanalizie.
Co To Znaczy dla Firm IT
Żadne z tych odkryć nie wymaga natychmiastowej zmiany systemów w waszej firmie. Ale implikacje są daleko idące i dotyczą każdego, kto zarządza danymi w środowisku korporacyjnym.
Po pierwsze: czas do odkrycia się skraca dramatycznie. Luki, które wcześniej wymagały lat pracy zespołu ekspertów, mogą teraz zostać zidentyfikowane w ciągu dni. Oznacza to zarówno szybsze reagowanie na zagrożenia przez społeczność badawczą, jak i konieczność szybszego aktualizowania wewnętrznych standardów bezpieczeństwa przez firmy.
Po drugie: walidacja algorytmów kryptograficznych staje się wąskim gardłem. Badacze Anthropic przyznają wprost: weryfikacja matematycznych twierdzeń generowanych przez Clauda zajęła im miesiące. Narzędzia AI generują hipotezy szybciej, niż ludzie są w stanie je sprawdzić. To nowy rodzaj ryzyka — nie wynikający z błędów AI, ale z tempa jego odkryć.
Po trzecie: infrastruktura postkwantowa wymaga śledzenia. Firmy planujące migrację na algorytmy postkwantowe — w odpowiedzi na zagrożenie ze strony komputerów kwantowych, które mogą złamać RSA i ECC — powinny śledzić wyniki oceny NIST. Odkrycia Clauda dotyczą HAWK, który jest jednym z kandydatów. Decyzja NIST o jego ewentualnym wycofaniu lub modyfikacji będzie wprost wynikać z takich badań.
Po czwarte: wrasta asymetria wiedzy między dużymi a małymi graczami. Badania Anthropic kosztowały 100 000 dolarów za sesję. Jeszcze przez kilka lat tego rodzaju analizy będą dostępne głównie dla dużych korporacji technologicznych i agencji rządowych. Ale historia pokazuje, że koszty AI spadają szybko. Dziś ekskluzywne, za 3-5 lat dostępne dla każdego dostawcy usług chmurowych.
Praktyczne kroki dla działów IT
Dla CTO i dyrektorów IT w firmach produkcyjnych, finansowych i infrastrukturze krytycznej te obserwacje przekładają się na konkretne działania:
- Audyt używanych algorytmów. Zinwentaryzuj, które algorytmy kryptograficzne są używane w waszej infrastrukturze — TLS, szyfrowanie baz danych, podpisy cyfrowe. Algorytmy o historii >15 lat powinny być na liście do przeglądu.
- Monitoring standardów NIST i ENISA. Odkrycia Clauda dotyczą kandydatów NIST do standardu postkwantowego. Jeśli NIST zmieni rekomendacje, dostawcy oprogramowania (Microsoft, AWS, Google) będą musieli reagować. Warto wiedzieć o tym wcześniej.
- Plan migracji postkwantowej. Migracja systemów kryptograficznych to projekt na 2-4 lata. Firmy, które zaczną planowanie teraz, nie będą musiały działać pod presją czasu, gdy zagrożenie stanie się realne.
- Edukacja zespołu IT. Badania Anthropic to sygnał, że kryptografia przestaje być „zrób raz i zapomnij”. Regularne przeglądy i aktualizacje wiedzy w zespole bezpieczeństwa powinny stać się standardem.
Dla działów IT w firmach produkcyjnych, finansowych i infrastrukturze krytycznej oznacza to jedno: harmonogram migracji na nowsze standardy kryptograficzne powinien uwzględniać dynamikę badań AI — które od teraz będą jednym z głównych motorów zmian w tej dziedzinie.
Ograniczenia — Czego Nie Robi Ten Przełom
Uczciwa ocena wymaga jasnego sformułowania granic tych odkryć.
Żaden z ataków nie zagraża produkcyjnym systemom. HAWK nie jest wdrożony — to kandydat NIST wciąż w fazie oceny. Atak na AES dotyczy wersji 7-rundowej, nie pełnego 10-rundowego szyfru używanego w praktyce. Pełny AES pozostaje bezpieczny.
Ataki wciąż są obliczeniowo niemożliwe. „200-800 razy szybciej” brzmi imponująco, ale gdy punktem odniesienia są operacje wymagające więcej mocy obliczeniowej niż wszystkie centra danych na świecie, praktyczna różnica jest zerowa. Poprawa wydajności nie przekłada się na realne zagrożenie.
Koszt jest wysoki. 100 000 dolarów za sesję API to bariera niedostępna dla większości aktorów zagrożeń. Claude nie zdemokratyzował kryptoanalizy — przesunął ją na wyższy poziom, wciąż niedostępny dla przeciętnego hakera.
Odkrycia wymagają miesięcy weryfikacji. Nawet jeśli model generuje trafne hipotezy, ich matematyczna weryfikacja przez ludzi jest żmudna i czasochłonna. To ogranicza tempo, w jakim wyniki mogą trafić do praktyki.
Podsumowanie i CTA
Anthropic pokazał coś, co przez lata było science fiction: system AI autonomicznie odkrywający fundamentalne słabości w algorytmach kryptograficznych — szyfrach, które chroniły dane przez dekady. Mimo że konkretne zagrożenia dla produkcyjnych systemów są minimalne, kierunek jest wyraźny.
Kryptografia wchodzi w erę, w której tempo odkryć będzie napędzane przez modele AI, a nie przez rytm konferencji naukowych i cykl publikacji. Firmy zarządzające wrażliwymi danymi — medycznymi, finansowymi, prawnymi — powinny już dziś budować procesy monitorowania standardów kryptograficznych i planować cykle aktualizacji.
Potrzebujesz audytu bezpieczeństwa infrastruktury IT lub wsparcia w planowaniu migracji na algorytmy postkwantowe? B2B Solution pomaga firmom B2B zrozumieć i wdrożyć nowoczesne standardy bezpieczeństwa. Porozmawiajmy.