Bewertung von Anthropics neuen Ergebnissen zur KI-Kryptoanalyse

• Das nicht veröffentlichte fortgeschrittene Modell Claude Mythos entwickelte einen HAWK-Schlüsselrückgewinnungsangriff und eine verbesserte Attacke auf 7-Runden-AES und zeigt damit die Fähigkeit von KI, bestehende kryptoanalytische Techniken zu verstehen, zu kombinieren und zu erweitern
• Der HAWK-Angriff bricht eingesetzte Systeme nicht sofort, senkt aber die Zahl der Sicherheitsbits ungefähr auf die Hälfte. Man könnte die Schlüsselgröße verdoppeln, doch die Effizienz leidet und die Chancen auf eine Standardisierung sinken stark
• Das AES-Ergebnis zielt nicht auf die vollen 10·12·14 Runden, sondern auf eine 7-Runden-Variante und ist eine unpraktische Attacke, die Forschung von 2013 nur um konstante Faktoren verbessert; für die reale Sicherheit von AES ändert sich daher direkt nichts
• Weil das Modell auch plausibel klingende, aber falsche Ergebnisse leicht erzeugen kann, wird die Verifizierbarkeit zum Engpass. Ausführbarer Code oder einfache Gegenbeispiele lassen sich leicht prüfen, theoretische Geschwindigkeitsverbesserungen erfordern jedoch Expertenprüfung, und auch bei Lean-Beweisen muss die Formulierung des Satzes selbst von Menschen kontrolliert werden
• Public-Key- und Post-Quantum-Kryptografie mit einer begrenzten Zahl struktureller schwieriger Probleme ist ein Bereich, in dem KI vorhandene Werkzeuge breit anwenden kann. Die Grenze, an der sie in anspruchsvoller Forschung plötzlich versagt, existiert noch, verschiebt sich aber schnell nach außen

---

Zwei von Claude Mythos erzeugte kryptoanalytische Ergebnisse

• Anthropic hat einen von dem nicht veröffentlichten fortgeschrittenen Modell Claude Mythos erarbeiteten HAWK-Schlüsselrückgewinnungsangriff sowie eine Attacke auf reduziertes AES veröffentlicht
• Die beiden Ergebnisse unterscheiden sich stark in Ziel und Tragweite
  • Das HAWK-Ergebnis hat praktische Auswirkungen auf ein Signaturverfahren, das als standardisierungsfähig galt
  • Das AES-Ergebnis ist eher ein theoretischer Fortschritt, der frühere Forschung leicht verbessert
• Anthropic hat außerdem eine separate Darstellung des Forschungsprozesses veröffentlicht

Ein Schlüsselrückgewinnungsangriff, der das Sicherheitsniveau von HAWK senkt

• HAWK ist ein Kandidat für ein Post-Quantum-Signaturverfahren auf Basis des module-LIP-Problems und wurde bisher weder ausgerollt noch als Standard angenommen
• Es ist mit dem standardisierten Falcon verwandt, basiert aber auf einem anderen schwierigen Problem, daher ist dieser Angriff nicht auf Falcon übertragbar
• HAWK war bereits intensiv als möglicher künftiger Standard evaluiert worden
• Es handelt sich nicht um einen Angriff, der HAWK mit realen Einsatzparametern sofort bricht; er benötigt weiterhin exponentielle Zeit, senkt aber die Zahl der Sicherheitsbits ungefähr auf die Hälfte
  • Theoretisch ließe sich das durch eine Verdopplung der Schlüsselgröße kompensieren
  • Größere Schlüssel verschlechtern jedoch die Effizienz, und damit wird auch HAWKs eigentlicher Vorteil gegenüber Alternativen schwächer
• Der bereitgestellte Angriffscode gewinnt bei geschwächten Challenge-Instanzen innerhalb weniger Stunden den Schlüssel zurück
  • Das sind nicht die vorgeschlagenen realen Einsatzparameter, aber es reicht aus, um die kryptografische Schwäche zu belegen
• Statt neue Mathematik zu erfinden, wurde das Ergebnis durch Erweiterung und gründliche Anwendung mehrerer bereits bekannter Werkzeuge erzielt
  • Die verwendeten Bausteine sind nicht besonders exotisch
  • Das breite und hartnäckige Kombinieren bekannter Angriffswerkzeuge ist eine Art Aufgabe, in der offensive KI gut ist
• Dadurch ist es nun sehr unwahrscheinlich geworden, dass HAWK je ein realer Standard wird
• Mehr technischer Kontext findet sich in der Zusammenfassung des HAWK-Angriffs

Die begrenzte Tragweite der 7-Runden-AES-Attacke

• AES ist eine seit 2001 standardisierte Blockchiffre und verwendet je nach Schlüsselgröße 10·12·14 Runden
• Das real eingesetzte AES hat wichtige Analysen überstanden, darunter nicht öffentliche Evaluierungen der NSA
• Weil der vollständige Cipher schwer anzugreifen ist, ist es in der Kryptoanalyse üblich, geschwächte Varianten mit reduzierter Rundenzahl zu untersuchen; Anthropics Ergebnis betrifft 7-Runden-AES
• Angriffe auf 7-Runden-AES sind an sich nicht neu; das vorliegende Ergebnis verbessert frühere Forschung von 2013 und verwandte Arbeiten nur um konstante Faktoren
• Es erfordert in der Praxis unrealistisch viele kryptografische Operationen und setzt zudem voraus, dass ein reales Verschlüsselungsgerät zunächst dazu gebracht wird, mit dem geheimen Schlüssel sehr viele Chosen Plaintexts zu verschlüsseln
• Der vollständige Angriff kann nicht praktisch ausgeführt werden, daher basiert das Ausmaß der Verbesserung auf einer Analyse auf dem Papier
  • Ob sich die tatsächliche Laufzeit bei vollständiger Implementierung aller Details wirklich verringert, ist unklar
• Methodisch ist es ein interessanter Fortschritt in der Kryptoanalyse, aber weder ein praktischer Angriff auf vollständiges AES noch bahnbrechend neue Mathematik

Wie die Angriffe mit minimalem menschlichem Eingriff zusammengesetzt wurden

• Die Anthropic-Forscher scheinen das Modell nicht durch ein großes Team von Kryptografie-Experten feinjustiert zu haben, sondern es aufgefordert zu haben, Ergebnisse zu finden, und es dann lange iterieren zu lassen
• Das Modell hat ein Niveau erreicht, auf dem es ohne detaillierten menschlichen Eingriff Folgendes leisten kann
  • bestehende kryptoanalytische Ergebnisse verstehen
  • mehrere Techniken zusammenführen
  • tatsächlich neue Angriffe konstruieren
  • bestehende Angriffe erweitern
• Es ist noch keine superintelligente Kryptoanalyse, aber die Fähigkeit, auf Basis bekannter Forschung reale Fortschritte zu erzielen, ist beträchtlich

Verifikation wird schwieriger als Ergebniserzeugung

• Output, der wie ein neues Ergebnis aussieht, ist nicht immer tatsächlich korrekt
• Das Modell kann neben echten Resultaten noch leichter plausible, aber irreführende Ergebnisse erzeugen, was die Last menschlicher Prüfung erhöht
• Vollständige Angriffe, die wie bei HAWK auf geschwächten Systemen innerhalb weniger Stunden laufen, lassen sich leicht überprüfen
  • Man muss nur den Code erhalten und prüfen, ob Schlüsselrückgewinnung und echte Signaturen für gewählte Nachrichten möglich sind
• Subtile theoretische Geschwindigkeitsverbesserungen wie bei AES sind schwerer zu validieren
  • Mit Lean lassen sich maschinell prüfbare Beweise erstellen
  • Selbst wenn der Beweis korrekt ist, bleibt Expertenprüfung nötig, weil alles von der Formulierung des eigentlichen Satzes abhängt
• Jüngst beachtete mathematische Ergebnisse fallen meist in eine der folgenden Kategorien
  • Sie enthalten maschinell verifizierbare Beweise für gut verstandene Sätze
  • Sie liefern einfache Gegenbeispiele, die sich direkt berechnen lassen, wie beim Gegenbeispiel zur Jacobian-Vermutung
  • Sie wurden von vielen Experten über lange Zeit geprüft und schließlich als gültig anerkannt
• Der Bedarf an menschlicher Verifikation begrenzt das Forschungstempo, und bei nicht katastrophaler Kryptoanalyse dürfte das vorerst so bleiben

Auswirkungen auf symmetrische und Public-Key-Kryptografie

• Symmetrische Kryptografie

  • Symmetrische Kryptografie verwendet absichtlich komplexe und robuste Strukturen, die sich schnell anwenden, aber nur schwer invertieren lassen
  • Mehr KI-Rechenzeit reicht nicht automatisch aus, um diese Strukturen zu brechen, und aktuelle Modelle zeigen nicht die dafür nötige bahnbrechende Intuition
  • Selbst wenn KI mit neuen Techniken Fortschritte erzielt, könnte das auch genutzt werden, um Chiffren selbst stärker zu machen

• Public-Key- und Post-Quantum-Kryptografie

  • Public-Key-Kryptografie braucht mathematische Strukturen mit Trapdoors, bei denen die Vorwärtsberechnung schnell und die Umkehr schwer ist, bestimmte Parteien die Umkehr aber dennoch durchführen können
  • Von Menschen entdeckte nützliche Strukturen sind rar; die wichtigsten Grundlagen sind
    • (EC)DLP
    • RSA
    • Gitterprobleme
    • verschiedene Probleme aus der Codierungstheorie
  • Selbst bei alten Problemen wie RSA ist schwer sicher zu sein, dass genügend Menschen sie analysiert haben; bei neueren Bereichen wie code-basierter oder gitterbasierter Kryptografie ist besonders viel Raum für Angriffsarbeit vorhanden
  • Für KI, die vorhandene Werkzeuge im großen Maßstab anwenden kann, ist das ein fruchtbares Forschungsfeld, in dem reale Fortschritte möglich sind

Eine offene Gelegenheit im Übergang zu Post-Quantum-Standards

• Die Public-Key-Kryptografie befindet sich derzeit im Übergang von EC-basierter Kryptografie und RSA zu Post-Quantum-Algorithmen auf Basis neuer schwieriger Probleme
• Gerade jetzt, wo viele Kandidaten einschließlich HAWK geprüft werden, ist ein guter Zeitpunkt für das Auftreten großskaliger öffentlicher Kryptoanalyse-Kapazitäten
• Solange KI nicht alle zugrunde liegenden schwierigen Probleme zerstört oder in eine Situation wie Impagliazzos Minicrypt führt, kann starke KI-Kryptoanalyse Folgendes bewirken
  • das Vertrauen in die überlebenden schwierigen Probleme erhöhen
  • die kryptoanalytische Literatur robuster machen
  • schwache Kandidaten vor der Standardisierung aussortieren

Veränderungen für Wissenschaftler und das Forschungsökosystem

• Wissenschaftler können mit Modellen über die schwierigsten Probleme diskutieren, aber weil Modelle noch nicht alle Probleme selbstständig lösen können, bleibt auch eine menschliche Rolle bestehen
• Das steigende Tempo neuer Entdeckungen ist für aktive Forscher überwiegend positiv
• Es bleiben aber offene Fragen
  • Wem ist die Leistung für KI-erzeugte Ergebnisse zuzuschreiben?
  • Wer soll die stark zunehmende Zahl von Resultaten begutachten?
• Aus Erfahrungen mit fortgeschrittenen nicht öffentlichen Modellen zeigt sich, dass die Leistung schon in den vergangenen Monaten deutlich gestiegen ist und bei Fragen, die über Jahre interessiert haben, überraschende Kandidaten für Resultate auftauchen
• Solche Veränderungen lassen sich auch bei einigen neuen fortgeschrittenen Modellen beobachten, ohne dass man Claude Mythos und Ressourcen im Umfang von 100.000 Dollar benötigt

Die aktuelle Grenze der Modellfähigkeiten

• Modelle nur als fortgeschrittenes Autocomplete zu sehen oder von einer Verlangsamung des Fortschritts auszugehen, passt nicht zu den Fähigkeiten realer fortgeschrittener Modelle
• In den letzten fünf Monaten gab es bei bestimmten Problemtypen messbare große Fortschritte, und bislang gibt es keine klaren Hinweise auf eine deutliche Leistungsobergrenze
• Wer nur kostenlose KI-Suchergebnisse nutzt, bekommt die Fähigkeiten fortgeschrittener Modelle kaum zu sehen; selbst leistungsstarke Dienste sind für etwa 20 Dollar zugänglich
• Das bedeutet aber nicht, dass Modelle bereits superintelligent sind oder AGI schon erreicht wurde
  • In anspruchsvoller Forschung sind sie bis zu einem gewissen Punkt sehr nützlich, werden aber jenseits einer bestimmten Grenze plötzlich unfähig
  • Menschen finden diese Grenze noch leicht, aber die Grenze selbst verschiebt sich fortlaufend nach außen
• Die Grenze zwischen Bereichen, die Modelle unterstützen können, und Bereichen, die Menschen selbst lösen müssen, verschiebt sich; diese Veränderung wird nicht nur Wissenschaftler, sondern alle Berufe betreffen, einschließlich Juristen, Vertriebsmitarbeitern und Klempnern