Les chercheurs de l’équipe Frontier Red Team d’Anthropic ont récemment publié des travaux révélant des faiblesses critiques dans deux algorithmes de cryptographie : HAWK, un protocole de signature post-quantique, et une version simplifiée d’AES, l’un des standards de chiffrement les plus utilisés au monde. Ces découvertes, réalisées avec une version interne avancée de Mythos, un modèle d’intelligence artificielle, mettent en lumière les défis posés par l’évolution constante des technologies.

Les résultats, bien que théoriques, ont déjà des implications concrètes. HAWK, autrefois candidat sérieux pour la standardisation post-quantique par le NIST, a été retiré du processus de sélection après cette découverte. Quant à AES, malgré sa robustesse avérée, une version réduite a été compromise, rappelant l’importance de la vigilance en matière de sécurité.

HAWK : un algorithme post-quantique en chute libre

HAWK était l’un des protocoles en lice pour succéder aux algorithmes post-quantiques sélectionnés par le NIST en 2022. Conçu pour résister aux attaques des ordinateurs quantiques, il avait passé avec succès deux phases d’évaluation par des experts humains sur une période de deux ans. Pourtant, une faille majeure a été identifiée.

Les chercheurs ont exploité une vulnérabilité dans le Module Lattice Isomorphism Problem, sur lequel repose la sécurité de HAWK. En découvrant une symétrie géométrique inattendue, ils ont réduit de moitié la complexité de la recherche de la clé privée. Pour HAWK-256, la complexité est passée de 2⁶⁴ à 2³⁸ opérations, permettant une extraction effective de la clé secrète en moins de quatre heures sur un serveur standard doté de 96 cœurs.

Cette faille rend l’algorithme inutilisable en l’état. Pour retrouver un niveau de sécurité acceptable, il aurait fallu doubler la taille des clés et des signatures, ce qui aurait compromis l’efficacité de calcul, un atout majeur de HAWK. Face à cette réalité, les concepteurs ont officiellement retiré l’algorithme du processus de sélection du NIST dès le 29 juillet 2026.

Une version réduite d’AES compromise, mais sans danger immédiat

AES est un pilier de la cryptographie moderne, utilisé quotidiennement pour sécuriser les transactions bancaires et les échanges via le protocole TLS. Les processeurs Intel et AMD intègrent même des instructions dédiées pour accélérer son traitement. Malgré cela, une version affaiblie d’AES-128, limitée à sept tours de transformation au lieu des dix prévus par la norme, a été compromise.

L’attaque repose sur une technique innovante appelée Pont de Möbius, intégrée dans une méthode meet-in-the-middle. Cette approche a permis d’éliminer une étape de recherche exhaustive, réduisant le temps d’exécution de 200 à 800 fois par rapport aux attaques précédentes, publiées en 2013. Cependant, Anthropic précise que cette vulnérabilité reste strictement théorique et inexploitable en pratique.

Les trois tours supplémentaires d’AES standard offrent une protection suffisante contre cette faille. L’ANSSI, dans ses recommandations, rappelle que les clés symétriques doivent avoir une taille minimale de 128 bits, mais recommande de passer à 192 bits pour une sécurité post-quantique optimale. AES-192 et AES-256 restent donc des choix judicieux pour les applications critiques.

L’intelligence artificielle, un outil à double tranchant

Ces découvertes soulignent le rôle croissant des modèles d’intelligence artificielle dans la recherche en cybersécurité. Les travaux sur HAWK et AES ont nécessité environ 60 heures de calcul autonome, pour un coût estimé à 100 000 dollars si réalisés via les services commerciaux d’Anthropic. Pourtant, l’IA a également démontré ses limites : une version préliminaire de Mythos a d’abord refusé de traiter le problème, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé. Après ajustement des consignes, le modèle a généré près d’un milliard de jetons pour concevoir une nouvelle méthode d’attaque.

Les résultats ont ensuite été validés par des chercheurs humains sur une période d’un mois, afin d’éliminer toute possibilité d’erreur ou d’hallucination. Cette étape de vérification souligne l’importance de la collaboration entre l’IA et les experts humains pour garantir la rigueur des découvertes.

Un appel à la prudence et à l’innovation

Si ces failles n’ont pas d’impact direct sur les systèmes actuels, elles rappellent la nécessité d’une veille technologique constante. La communauté de la cybersécurité est déjà sous pression, avec une augmentation exponentielle des vulnérabilités découvertes grâce à l’IA. Le vrai défi n’est plus de trouver des failles, mais de valider et de corriger les résultats de manière efficace.

Les travaux d’Anthropic confirment également que l’IA peut jouer un rôle clé dans la détection de failles, mais que son utilisation doit être encadrée pour éviter des coûts prohibitifs et des erreurs d’interprétation. Avec des centaines de vulnérabilités découvertes chaque année, il est crucial de maintenir un équilibre entre automatisation et expertise humaine.

Ces découvertes ouvrent la voie à de nouvelles recherches. Anthropic évoque déjà des résultats préliminaires sur d’autres algorithmes, confirmant que l’IA pourrait bien devenir un acteur incontournable de la cybersécurité de demain.