Claude Mythos Preview fissure HAWK du NIST : le vrai problème est la vérification

Le 28 juillet 2026, Anthropic a publié une divulgation qui aurait dû déclencher une alerte maximale dans le monde de la cybersécurité : Claude Mythos Preview a identifié une faiblesse structurelle dans un candidat du NIST ayant survécu à deux ans de revue par les pairs, et amélioré la meilleure attaque connue sur une variante de recherche d’AES-128, le tout pour environ 100 000 dollars de temps de calcul. La couverture médiatique qui a suivi a oscillé entre panique existentielle et relativisme tranquille, deux postures également éloignées de la réalité. La question centrale n’est pas de savoir si la cryptographie post-quantique est « cassée » — elle ne l’est pas. La question est de savoir si les institutions chargées de vérifier et de répondre à ce type de découvertes peuvent opérer à la vitesse à laquelle l’analyse cryptographique assistée par IA est désormais capable de les produire.

HAWK : le candidat qui a survécu jusqu’à ce qu’il ne survive plus

HAWK est un schéma de signature numérique soumis au projet de standardisation cryptographique post-quantique du NIST en 2024. Son acronyme — HAtticage-based signatures With superfast Kicks — résume son architecture : un design basé sur les réseaux euclidiens (lattice-based) qui s’appuie sur le problème d’isomorphisme de réseaux modulaires (Module-LIP) comme fondement de sécurité. En mai 2026, HAWK atteignait le troisième tour de la voie supplémentaire pour les signatures numériques, devenant le seul candidat basé sur les lattices parmi les neuf algorithmes que le NIST venait de retenir ce mois-là. Au 28 juillet 2026, c’est aussi un candidat avec une faiblesse structurelle connue.

Le problème mathématique sous-jacent — déterminer si deux structures de réseaux sont secrètement la même forme — est réputé difficile à la fois pour les ordinateurs classiques et pour les ordinateurs quantiques. C’est précisément cette propriété qui rend HAWK attractif en tant que candidat pour la cryptographie post-quantique : il s’appuie sur une classe de problèmes qui survivrait à un ordinateur quantique cryptographiquement pertinent, c’est-à-dire capable de briser RSA ou la cryptographie à courbe elliptique. Ce que Mythos Preview a trouvé n’est pas que ce problème est devenu facile. Il a identifié que la construction spécifique de HAWK possède une propriété exploitable supplémentaire que ses concepteurs n’avaient pas identifiée.

Concrètement, le réseau de HAWK opère sur un anneau cyclotomique de puissance de deux, et cet anneau possède une symétrie de Galois : la transformation qui envoie une racine de l’unité vers sa négation. Des chercheurs avaient déjà établi en 2025 que si un tel automorphisme non trivial existait dans le champ cyclotomique particulier de HAWK, il pourrait être utilisé pour monter une attaque de réduction de rang sur le problème de récupération de clé. Ils avaient démontré la voie mathématique. Ce qu’ils n’avaient pas trouvé, c’était l’automorphisme lui-même. Van Gent et Pulles l’avaient documenté dans un papier de 2025, notant qu’aucun automorphisme de ce type n’affectait alors HAWK en pratique.

Mythos Preview l’a trouvé. Travaillant à l’intérieur d’un harness de recherche construit sur Claude Code, qui lui donnait accès à Python, à la bibliothèque logicielle mathématique Sage et à un corpus de publications cryptographiques, le modèle a conduit une revue de littérature automatisée, généré et testé des hypothèses mathématiques, et exécuté des expériences computationnelles — en grande partie sans intervention humaine. Le résultat : l’identification de l’automate τ-cocycle qui rend l’attaque réelle.

L’attaque fonctionne en construisant un réseau τ-cocycle à partir de la clé publique de HAWK, en appliquant des algorithmes de réduction de réseau et de crible (sieving), puis en récupérant une clé de signature secrète fonctionnellement équivalente. Les chiffres sont sans équivoque. Pour HAWK-256, le paramètre de challenge fourni comme cible cryptanalytique, le facteur de travail pour la récupération complète de la clé est passé de 2^64 opérations à 2^38 — soit un facteur d’environ 67 millions. Sur un serveur à 96 cœurs, l’implémentation publiée récupère le matériel de signature HAWK-256 en environ 3 heures et 42 minutes. Pour les jeux de paramètres que le NIST définit effectivement — HAWK-512 et HAWK-1024 — l’attaque reste exponentielle et impraticable, avec le facteur de travail pour HAWK-512 passant de 2^150 à 2^108, et pour HAWK-1024 de 2^288 à 2^182. Les chiffres restent astronomiques. Ils ne sont plus ce que HAWK prétendait.

La conséquence pratique pour HAWK est sans ambiguïté : restaurer les marges de sécurité initialement revendiquées exigerait de doubler environ les tailles de clé à travers tous les jeux de paramètres. Ce changement éliminerait une grande partie de ce qui rendait HAWK compétitif — sa compacité et son efficacité relatives par rapport aux autres candidats. Que le NIST révise les paramètres de HAWK, ajuste ses revendications de sécurité, ou le retire purement et simplement de la considération n’a pas été publiquement déterminé au moment de la rédaction. Ce qui est clair, c’est que HAWK est entré au troisième tour en tant que candidat prometteur et en est sorti avec une faiblesse structurelle documentée.

Anthropic a divulgué l’attaque aux auteurs de HAWK en juin 2026 et a coordonné une divulgation publique simultanée sur la liste de diffusion du NIST, accompagnée du release de recherche. L’équipe HAWK a aidé à vérifier le résultat avant la divulgation. Aucune reproduction indépendante de bout en bout de la récupération de clé HAWK-256 n’avait été publiquement confirmée au moment de la rédaction, bien que le code publié soit disponible pour quiconque dispose des ressources computationnelles appropriées pour tenter la vérification.

Le pont de Möbius : pourquoi AES n’est pas cassé

La deuxième découverte d’Anthropic a reçu moins d’attention et mérite plus de scrutiny, car c’est précisément celle qui a généré la couverture la plus trompeuse.

Mythos Preview a également développé une nouvelle technique d’attaque contre une variante affaiblie d’AES-128 — plus précisément, AES-128 à 7 tours. Le standard mondial AES-128 utilise 10 tours. La variante à 7 tours est une cible de recherche depuis 2013, lorsque Dunkelman, Keller et Shamir ont publié la meilleure attaque meet-in-the-middle (par le milieu) antérieure contre celle-ci. Mythos a trouvé un moyen de rendre cette attaque plus rapide.

La contribution spécifique est une technique de fingerprinting que le modèle a baptisée le pont de Möbius. La S-box d’AES (le composant de substitution non linéaire) est construite à partir d’une inversion dans GF(2^8) (le corps fini à 256 éléments) suivie d’une application affine. Mythos a identifié un invariant fingerprint sous cette action affine qui retire l’un des neuf octets de clé que l’attaque antérieure devait deviner — ce qui vaut un facteur 256 en coût d’énumération. Calculer l’invariant naïvement coûte plus qu’il n’économise, donc le papier ajoute une table de puissance packed, un parcours en code de Gray, et un cache XOR-séparable pour ramener le calcul par entrée d’environ 2^19 lookups à environ 2^8,6.

L’amélioration en temps d’exécution est réelle mais plus étroite que ne le suggère le titre. L’attaque nécessite toujours 2^105 plaintexts choisis, ce qui signifie que sous la métrique standard de complexité équilibrée, le coût total de l’attaque est dominé par la collecte de données. Une variante rééquilibrée atteint une complexité de 2^96,3 contre 2^99 pour l’attaque de 2013, soit une amélioration de 2,7 bits sur une cible qui n’avait pas bougé depuis 2013. Le cadrage « 200 à 800 fois plus rapide » dans certaines couvertures décrit la colonne temporelle de l’attaque, pas la complexité équilibrée complète. L’amélioration réelle dans l’attaque complète est tangible mais modeste.

AES-128 à 10 tours, déployé dans les navigateurs, les systèmes bancaires et le stockage chiffré dans le monde entier, n’est pas affecté. L’attaque nécessitait des hypothèses qui ne tiennent pas au compte complet de tours, et le papier lui-même note qu’AES complet a absorbé la découverte avec une marge confortable. Il s’agit d’un résultat de recherche sur une variante à tours réduits — pas d’une menace pratique pour quoi que ce soit qui tourne en production aujourd’hui.

La contribution la plus significative, enfouie dans la même divulgation d’Anthropic, concernait en réalité LEA — un standard national coréen et un chiffrement par blocs léger ISO utilisé dans les appareils contraints, notamment les téléphones mobiles et le matériel IoT. Mythos a récupéré une clé LEA à 13 tours en moins de 2^30 plaintexts et en moins d’une heure sur un workstation de bureau, contre une meilleure attaque précédemment publiée nécessitant 2^98 paires de plaintexts et 2^86 opérations de calcul. L’attaque à 13 tours s’exécute de bout en bout, ce qui est plus difficile à réaliser que des améliorations de complexité sur papier, même si LEA à 24 tours complets reste non cassé. Six tours de Serpent-128 sont également tombés. Ces résultats sont moins spectaculaires en termes de titre mais représentent des attaques complètes et vérifiables sur des variantes à tours réduits — exactement le type de découverte que du code exécutable permet de confirmer.

Les trois niveaux de défaillance cryptographique

Le cadre le plus utile pour comprendre ce que ces résultats signifient réellement vient de Marin Ivezic de PostQuantum.com, qui a catégorisé les défaillances cryptographiques en trois niveaux avant d’analyser les résultats d’Anthropic.

Niveau un : un bug d’implémentation. Une erreur de code, une fuite par timing, un usage incorrect d’API. Le design mathématique de l’algorithme est sain ; le logiciel s’est trompé. On patche la bibliothèque et on passe à autre chose. C’est ce que Project Glasswing, le précédent effort d’Anthropic, avait trouvé en avril 2026, lorsque Mythos avait découvert des vulnérabilités dans les bibliothèques cryptographiques OpenSSL et wolfSSL. Ces découvertes étaient de niveau un. Les résultats HAWK et AES sont catégoriquement différents.

Niveau deux : une faiblesse de design algorithmique. La structure mathématique choisie par les concepteurs possède plus de propriétés exploitables que quiconque ne le réalisait lorsque les paramètres ont été fixés. Le problème difficile sous-jacent n’est pas mort, mais la construction spécifique ne délivre pas la marge de sécurité revendiquée. C’est là que se situent les résultats HAWK et AES. Le problème module-LIP sous-jacent de HAWK est intact. Ce que Mythos a trouvé, c’est que la construction cyclotomique spécifique de HAWK possède une symétrie de Galois qui divise par deux la dimension effective de l’oracle SVP (Shortest Vector Problem, problème du vecteur le plus court) — une propriété de la structure algébrique que le papier HAWK lui-même confirme suivre la mathématique plutôt que n’importe quel codebase particulier. Pour AES, la découverte est que la structure d’inversion de la S-box avait des implications inexploitées pour les attaques meet-in-the-middle que les travaux antérieurs n’avaient pas identifiées.

Niveau trois : une rupture complète aux paramètres pratiques. Le schéma spécifié complet est vaincu à ses paramètres destinés. SIKE a été brisé de cette manière en 2022, lorsqu’une attaque exploitant l’échange de points de torsion auxiliaire de SIDH a vaincu le schéma entièrement sur un laptop en environ une heure. Un algorithme de factorisation en temps polynomial en serait une version extrême : une hypothèse mathématique entière qui meurt d’un coup.

Rien cette semaine n’est un événement de niveau trois. Identifier correctement le niveau détermine quelle action, le cas échéant, suit. Les découvertes de niveau deux sont exactement ce que la crypto-agilité — la capacité à substituer des algorithmes cryptographiques sans reconcevoir des systèmes entiers — existe pour gérer, et exactement à quoi la plupart des organisations ne sont pas bien préparées.

« Les découvertes de niveau deux sont exactement ce que la crypto-agilité existe pour gérer, et exactement à quoi la plupart des organisations ne sont pas bien préparées. »

Marin Ivezic, PostQuantum.com

Le problème de vérification dont personne ne parle

La phrase la plus importante de toute la divulgation est enfouie dans la conclusion du papier AES, et elle ne concerne pas AES.

Le papier indique que l’idée mathématique centrale a pris des dizaines d’heures de calcul du modèle pour être développée. La validation humaine — lire le papier, comprendre les mathématiques, vérifier les preuves, et reproduire les résultats — a pris des centaines d’heures réparties sur deux chercheurs. Ce ratio est le chiffre que les planificateurs de sécurité, les CISO et les organismes de standardisation devraient mettre sur leurs listes de surveillance.

Le processus de revue cryptographique suppose que les experts humains peuvent évaluer les nouvelles découvertes à peu près au même rythme que les chercheurs les produisent. Cette hypothèse est désormais sous tension. L’analyse cryptographique assistée par IA peut générer des découvertes de niveau deux pour un coût d’environ 100 000 dollars et une semaine de temps de calcul. Le domaine compte environ une douzaine de personnes dans le monde capables de réviser de manière compétente un papier de cryptanalyse basée sur les lattices. Elles ont des emplois du temps chargés. Elles ne constituent pas un système de production pour suivre le rythme de sortie d’une IA.

Anthropic a suivi les protocoles de divulgation responsable. L’attaque a été partagée avec les auteurs de HAWK avant publication, vérifiée avec leur aide, et divulguée simultanément à la liste de diffusion du NIST. Le modèle utilisé était un modèle frontière restreint disponible uniquement pour des partenaires vetted du Project Glasswing. Le résultat a été publié avec du code exécutable attaché, permettant une vérification indépendante. Ce sont les conditions sous lesquelles la découverte est gérable : un acteur connu, une méthode divulguée, des résultats reproductibles, et du temps pour répondre avant que quoi que ce soit ne soit déployé.

Aucune de ces conditions n’est garantie la prochaine fois. La capacité qu’Anthropic a démontrée — auditer un design cryptographique à une profondeur qui surpasse deux ans de revue humaine experte, pour 100 000 dollars de calcul — n’est pas inhéremment exclusive à Anthropic, n’est pas inhéremment restreinte à la recherche défensive, et ne va pas ralentir. À mesure que les capacités frontières de l’IA deviennent plus largement accessibles, l’hypothèse selon laquelle seuls des laboratoires responsables avec des politiques de divulgation feront ce type de travail s’affaiblit.

La question que cela soulève n’est pas de savoir si l’IA trouvera davantage de faiblesses dans les algorithmes cryptographiques. Elle en trouvera, et probablement bientôt. La question est de savoir si les institutions qui existent pour répondre à ces découvertes — le processus de standardisation du NIST, les normes de divulgation responsable qui coordonnent entre chercheurs et vendeurs, la capacité de revue de la communauté académique — peuvent opérer à la vitesse que la nouvelle capacité exige.

Les cryptographes ont trouvé des faiblesses dans les algorithmes tout au long de l’histoire du domaine. Le projet de standardisation PQC du NIST, qui fonctionne depuis 2016, a été spécifiquement conçu pour faire émerger des faiblesses avant que tout candidat ne soit déployé. HAWK survivant à deux tours de revue experte avant qu’une faiblesse ne soit trouvée n’est pas un échec du processus — c’est le processus qui fonctionne, simplement dans une timeline que la nouvelle capacité a compressée d’années en semaines. Le problème est que le processus a été conçu pour un monde où les découvertes arrivent une par une ou deux par deux contre des candidats, où la vérification est une affaire de revue par les pairs académique routinière, et où l’écart entre la découverte et la divulgation responsable est gérable. Ce monde est encore là. Il pourrait ne pas l’être longtemps.

Ce que le processus NIST a trouvé, et ce qu’il affronte désormais

Le projet de standardisation cryptographique post-quantique du NIST fonctionne depuis 2016, lorsque l’agence a lancé un appel à algorithmes capables de survivre à un ordinateur quantique cryptographiquement pertinent. Vingt-trois schémas de signature et 59 schémas de chiffrement ou d’encapsulation de clé ont été soumis. Le premier ensemble de standards — ML-KEM (FIPS 203), ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) — a été finalisé en 2024. FN-DSA (FIPS 206), basé sur le schéma de signature Falcon, a été sélectionné pour standardisation avec un brouillon attendu fin 2026 et une finalisation en 2027.

Les neuf candidats avancés au troisième tour de la voie signatures supplémentaires en mai 2026 — incluant HAWK, FAEST, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign et UOV — sont entrés dans une phase d’évaluation de deux ans. Le rapport de statut du deuxième tour du NIST lui-même avait explicitement demandé à la communauté de regarder de plus près l’hypothèse module-LIP à l’intérieur des champs cyclotomiques particuliers de HAWK. L’attaque est arrivée précisément là où le NIST avait pointé.

Le fait que la découverte vienne d’un modèle d’IA plutôt que d’une équipe de recherche humaine est nouveau. Le fait qu’une faiblesse soit trouvée dans un candidat avant la standardisation ne l’est pas — SIKE a été entièrement brisé en 2022, avant qu’il n’atteigne aucun standard. Ce qui est nouveau, c’est le coût et la vitesse de découverte par rapport au coût et à la vitesse de vérification. Cette asymétrie n’est pas une préoccupation théorique. C’est un défi opérationnel présent pour toute organisation qui s’appuie sur la timeline de standardisation du NIST comme horizon de planification pour la migration cryptographique.

Les exigences CNSA 2.0 de la NSA mandatent déjà que les systèmes de sécurité nationaux commencent à migrer vers des algorithmes résistants au quantique. OMB M-23-02 et le National Security Memorandum-10 de la Maison-Blanche fixent des timelines pour la migration des agences fédérales. Les standards finaux du NIST sont la référence technique que ces timelines supposent. Si le pipeline d’algorithmes candidats alimentant le processus de standardisation du NIST est désormais audité plus vite que le processus ne peut évaluer les découvertes, les timelines de migration font face à plus que l’informatique quantique comme facteur de risque.

Les résultats annexes qui ont reçu moins d’attention

Les résultats de suivi dans la divulgation d’Anthropic n’ont pas reçu la même couverture que HAWK et AES, mais certains sont plus immédiatement exploitables.

Deux modèles Claude ont indépendamment trouvé une attaque complète de récupération de clé à 128 bits sur le design d’authentification-chiffrement SpoC non modifié, en utilisant seulement deux requêtes oracle. Un troisième modèle a trouvé une erreur dans la preuve publiée de sécurité CCA (Chosen-Ciphertext Attack, attaque à ciphertext choisi) du schéma d’encapsulation de clé KINDI et a produit une attaque de réaction de déchiffrement fonctionnelle. Ni SpoC ni KINDI ne sont devenus des standards déployés, donc ces résultats ne nécessitent aucune réponse opérationnelle immédiate. Mais ils constituent la preuve la plus claire dans la divulgation que la cryptanalyse assistée par IA atteint déjà au-delà de l’optimisation d’attaques connues sur des cibles de recherche à tours réduits, pour trouver des défauts de design dans des constructions complètes que les reviewers humains n’avaient pas identifiés.

Cette distinction compte pour le modèle de menace. Une faiblesse dans une variante à 7 tours d’AES n’est pas une menace pour quoi que ce soit de déployé. Un défaut de design dans un schéma d’authentification-chiffrement qui permet une récupération complète de clé en deux requêtes oracle, trouvé par un modèle qui n’avait pas accès au code source de l’implémentation, est une catégorie de résultat différente — même si le schéma qu’il cible n’est pas encore déployé. La préoccupation n’est pas ce que la cryptanalyse IA peut faire aux algorithmes qui sont sur le terrain depuis 20 ans. C’est ce qu’elle peut faire à la prochaine génération d’algorithmes avant qu’ils n’y arrivent.

Ce qui doit réellement se passer

Trois choses suivent des résultats de cette semaine et méritent d’être séparées du bruit.

La première est que la candidature de HAWK n’est pas terminée, mais elle est compliquée. L’attaque est exponentielle et le paramètre de challenge est pratiquement cassé. Les jeux de paramètres plus grands restent difficiles. Que le NIST révise les paramètres de HAWK, rouvre son analyse de sécurité, ou l’avance avec une faiblesse connue enregistrée est une décision pour le processus de standardisation, pas pour cet article. Ce qui est clair, c’est que HAWK est entré au troisième tour avec un bilan de santé clean et en est sorti sans.

La deuxième est que rien de déployé n’est cassé. HAWK n’a pas été standardisé ni déployé. AES-128, AES-192 et AES-256 complets ne sont pas affectés par le résultat AES. LEA à sa paramétrisation complète à 24 tours n’est pas affecté. Les standards finaux du NIST — ML-KEM, ML-DSA et SLH-DSA — sont intacts. La réponse opérationnelle immédiate aux découvertes de cette semaine est : aucun changement requis.

La troisième, et celle qui mérite plus d’attention qu’elle n’en a reçu, est le problème de vérification. Saarinen a proposé une réponse spécifique dans le sillage de la divulgation : exiger des preuves vérifiables par machine et des démonstrations à échelle réduite dans le cadre du processus de soumission et de revue, afin que le coût de vérification s’adapte avec le volume des revendications plutôt qu’avec la patience de la douzaine de personnes qualifiées pour les arbitrer. Ceci ne résoudrait pas le problème — la cryptanalyse générée par IA arriverait toujours plus vite que la vérification ne peut procéder — mais cela déplacerait le goulot d’étranglement de l’attention humaine vers les ressources computationnelles, qui s’adaptent différemment.

La communauté cryptographique dispose d’environ un cycle de release pour développer des normes à ce sujet avant d’en avoir besoin. La divulgation d’Anthropic a été gérée de manière responsable par un laboratoire bien doté avec des relations de divulgation établies. La prochaine pourrait ne pas l’être.

Tableau récapitulatif des résultats Anthropic du 28 juillet 2026

Conclusion

L’épisode du 28 juillet 2026 n’est pas une rupture de la sécurité d’Internet. C’est un signal d’alarme sur la cadence à laquelle l’écosystème cryptographique devra désormais fonctionner. Le NIST a conçu son processus de standardisation pour faire émerger des faiblesses avant le déploiement — HAWK en est un exemple propre. Ce que cette divulgation change n’est pas la probabilité qu’un candidat ait une faiblesse, mais la vitesse à laquelle elle peut être trouvée par rapport à la vitesse à laquelle elle peut être validée.

Le scénario optimiste est celui d’un écosystème qui absorbe la nouvelle cadence : chercheurs et vendors qui s’organisent autour de délais de revue compressés, soumissions accompagnées de preuves vérifiables par machine, et normes de divulgation qui tiennent compte du fait que les découvertes arrivent désormais par paquets plutôt qu’au compte-gouttes. Le scénario pessimiste est celui d’un processus de revue submergé, d’une multiplication de divulgations incomplètes ou hors protocole, et d’une migration post-quantique qui doit composer à la fois avec les progrès de l’informatique quantique et avec la volatilité d’un pipeline algorithmique audité plus vite qu’il ne peut être standardisé. La fenêtre pour faire pencher la balance vers le scénario optimiste est courte. Elle est probablement d’un cycle de release. La communauté cryptographique a intérêt à l’utiliser.

Sources

• Anthropic — Discovering cryptographic weaknesses with Claude (28 juillet 2026)
• PostQuantum.com — AI Broke a NIST Candidate. Not Your Encryption. (28 juillet 2026)
• Tech Times — AI Cracks Post-Quantum Cipher in 60 Hours After Two Years of Human Review Failed (28 juillet 2026)
• NIST CSRC — Post-Quantum Cryptography Standardization Project
• The Quantum Insider — NIST Advances Nine Post-Quantum Signature Algorithms to Third Round (mai 2026)
• Palo Alto Networks — What Are NIST PQC Standards?

Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.