AI 成为密码学守门人：Claude 发现后量子密码漏洞，重构量子电路
一、HAWK 的突然退赛：谁让后量子签名少了一个候选人？
2026 年 5 月 14 日，NIST 正式发布 NIST IR 8610，宣布九家后量子数字签名方案进入第三轮评估：FAEST、HAWK、MAYO、MQOM、QR-UOV、SDitH、SNOVA、SQIsign 和 UOV。这是继 ML-KEM（基于 Kyber）、ML-DSA（基于 Dilithium）和 SLH-DSA（基于 SPHINCS+）之后，NIST 为补强后量子签名能力而设立的"额外签名方案"标准化通道。
三个月后的 7 月 28 日，HAWK 团队主动 withdrew（撤回）——不是经过公开密码分析发现漏洞，而是因为 Anthropic 的 Claude 模型在安全审查中发现了一条新的攻击路径。
Anthropic 的研究发表在《Discovering cryptographic weaknesses with Claude》一文。核心发现是：Claude Mythos Preview 在约 60 小时内，通过系统性的对抗性搜索，改进了一套针对 HAWK 的已知攻击方法，将其有效密钥强度削弱了约一半（从 2^64 降至约 2^38 量级，对小参数集）。
关键细节：
- HAWK 是一种基于格的签名方案，安全性依赖于格同构问题（Lattice Isomorphism Problem）的计算难度
- 攻击方法基于格中非平凡自同构的发现，这允许更快的枚举攻击
- 修复方式是加倍密钥尺寸，但这使 HAWK 失去竞争力——论文作者直接指出"with this paper, HAWK is dead"
- 攻击不跨算法传染，仅影响 HAWK，不影响 ML-KEM/ML-DSA（基于不同的数学基础）
二、为什么 AI 能发现人类遗漏的漏洞？
HAWK 的格结构极其复杂——密钥空间巨大，操作路径呈指数级分支——这正是系统化搜索擅长匹配的特征场景。
Anthropic 的研究路径有几个关键特征：
1. 系统化文献梳理。模型首先对领域内进行广泛调研，理解当前最优攻击方法的状态，找到可改进的切入点。
2. 对抗性搜索与验证。Claude 以"寻找验证失败案例"为目标，在大量输入组合中进行定向搜索，结合形式化推理工具（Python、Sage）进行计算验证。整个过程大约 60 小时，约 10 万美元 API 成本。
3. 自我迭代与纠错。研究发现两个子代理分别工作——一个最初否决了方案，另一个找到了使其可行的路径。最终两者协作产出完整结果。
这个过程与传统的"学者发表论文 → 社区验证"模式有本质区别：响应时间从数月/数年缩短到数周，发现密度从单人智力提升到一个模型团队的并行搜索。
值得注意的是，Anthropic 特别强调 HAWK 的漏洞不影响已定稿的标准——ML-KEM 和 ML-DSA 基于不同的数学基础，这条攻击路径不会跨算法传染。
三、AI 不只是守门人：Claude 在重新设计量子电路
HAWK 事件暴露的是 AI 的批判性能力——它能在已有方案中找到缺陷。但两个月后，Anthropic 在同一研究方向上展示了 AI 的建设性能力。
2026 年 10 月 16 日，Anthropic 发表研究《Designing more efficient quantum circuits with Claude》，核心发现是：Claude Mythos 5 可以在零人工干预的情况下，自主提出更优的量子电路设计方案，并在 evaluator 程序的反馈闭环中持续迭代改进。
研究选取了八个计算基元作为测试集，覆盖化学模拟、优化问题、量子模拟、数论和数值计算等领域。结果：
- 在铁硫簇（FeMoco）模拟任务中，Claude 设计的电路比人工设计减少了约 150,000 倍的操作门数量——从 50 万亿次 Toffoli 门降至约 3.4 亿次
- 在模逆运算（modular inversion）这一椭圆曲线密码的核心步骤上，Claude 发现了全新的可逆算法结构
- 在 Leading 量子优化算法（DQI）的最昂贵步骤上，Claude 的设计使成本降低约 12 倍
量子电路设计的特殊约束
研究特别指出量子电路设计有两个经典编程不具备的硬约束：
- 不可分支性：量子电路不能做"如果-那么"决策，必须同时包含所有可能分支的操作
- 不可丢弃性：量子计算中不能简单擦除中间结果，唯一的选择是"反计算"（uncompute），即反向执行以撤销中间状态
四、密码学标准制定范式的隐性转移
将这两件事并置，可以看到一个清晰的趋势：后量子密码标准化进程正在从纯人类专家主导，转向人机协作甚至 AI 辅助的发现循环。
传统流程 vs. AI 介入后的新流程对比
| 环节 | 传统流程 | AI 介入后的变化 |
|---|---|---|
| 候选方案设计 | 学术团队独立研究，周期 2-5 年 | AI 辅助生成候选结构，大幅压缩探索期 |
| 安全性分析 | 全球密码学界开放评审，周期 6-18 个月 | AI 并行进行对抗性搜索，响应时间缩短至数周 |
| 标准定稿 | NIST 委员会投票决定 | 定稿逻辑不变，但前置分析密度大幅提升 |
| 工程实现优化 | 人类工程师手调 | AI 自动寻找更优电路结构和参数 |
这对国密体系意味着什么？
很多人讨论后量子密码时聚焦于"要不要换"、"什么时候换"，但忽视了另一个更深层的问题：如果 AI 正在加速密码分析的速度，那么算法的"安全窗口"本身也在被压缩。
一个算法可能在 AI 辅助分析下只维持 3-5 年的安全预期，而非传统预估的 10-15 年。这对国密标准制定者提出了一个新课题：SM2、SM3、SM9 等国密算法在当前 AI 分析能力下的安全余量究竟是多少？是否需要提前布局"后国密"的迁移预案？
答案目前尚无定论，但趋势已经很清晰——当 AI 可以同时做"进攻"（寻找漏洞）和"防守"（设计更优结构）时，密码学竞赛的跑道变短了，但速度也变快了。
五、负责任披露：一种新的技术伦理范式
Anthropic 在 HAWK 事件中的处理方式提供了一个值得研究的范例。他们没有选择立即公开完整的攻击细节，而是在公开前进行了严格的影响评估，并主动通知 NIST，确保标准制定流程有反应时间。
这种"负责任披露"的模式有几个关键特征：
- 先发影响评估：先确认漏洞的影响边界（仅 HAWK，不影响 ML-KEM/ML-DSA）
- 有控制的公开：提供完整的技术报告供学术界验证，而非零散泄露
- 主动通知标准机构：在公开前通知 NIST，确保标准制定流程有反应时间
六、企业需要关注什么？
对于正在推进后量子迁移的企业，Anthropic 的这两项研究释放了三个明确信号：
第一，迁移窗口比预想的更紧。 AI 加速了密码分析，意味着现行算法的安全寿命可能短于历史经验值。CBOM（密码资产清单）的建设不应再按"还有 10 年"的节奏规划，而应按"每年重新评估一次当前算法的 AI 安全余量"的节奏推进。
第二，AI 既是威胁也是工具。 同样的 AI 能力可以发现你系统里的漏洞，也可以帮你找到更高效的量子电路实现——关键是哪一方先用。建议企业将 AI 密码分析纳入年度风险评估框架，而非仅在发生公开漏洞时才响应。
第三，标准的不确定性在增加。 NIST 第三轮从 9 个候选缩至 8 个，未来是否还会有类似事件？企业在选择具体算法时，应优先考虑具有更强数学基础多样性、且已通过多轮 AI 审计的方案，而非急于押注某一特定候选。
参考来源
- Anthropic (2026-07-28): Discovering cryptographic weaknesses with Claude — https://www.anthropic.com/research/discovering-cryptographic-weaknesses
- Anthropic (2026-10-16): Designing more efficient quantum circuits with Claude — https://www.anthropic.com/research/designing-efficient-quantum-circuits
- NIST IR 8610 (2026-05-14): Status Report on the Second Round of the Additional Digital Signature Schemes — https://doi.org/10.6028/NIST.IR.8610
- eprint.iacr.org/2026/1593: Straznickas & Weis, "HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1" — https://eprint.iacr.org/2026/1593
- arXiv:2610.22367: Gu et al., "Discovering state-of-the-art quantum circuits with large language models" — https://arxiv.org/abs/2610.22367