最近圈里都在传，AI 把一个 NIST 的后量子签名方案给攻了。是真的吗。
是真的，也不完全是。这期就围着这件事收几条。
Claude Mythos 对 HAWK 找出了密钥恢复攻击
7 月底 Anthropic 公布，他们的模型 Claude Mythos 对 HAWK 给出了一种新的密钥恢复攻击。HAWK 是 NIST 后续数字签名标准化里的候选之一。
听起来很吓人。但补充一句：对完整的 HAWK，这个攻击并不实用。它实际做的事，是把 HAWK-512 的安全强度估计从 128 比特拉低。高限 108 比特，低限可能到 81。
真正被实际攻破的只有 HAWK-256。那一档本来就是玩具档，64 比特的安全级别。
点评：这是"学术上重要、现实里无恙"的典型。安全余量被削了一块，离破还远。你今天不用为这件事改任何密码。
同一个模型还改进了对 7 轮 AES-128 的攻击
这条更说明问题。7 轮，完整的 AES-128 是 10 轮。文章里自己写了，没有找到比已有更强的攻击，也没有对全轮 AES 的攻击。
点评：注意措辞。是"改进了缩减轮数上的已有攻击"，不是"攻破了 AES"。这两句话在传播里经常被压缩成同一句。这就是我收这条的原因。一个东西被讲得很猛，多半是有人想让你觉得它很猛。
JP Aumasson 写了篇文章，结论是 LLM 动不了成熟的对称密码
7 月 31 日发在他博客上的。结论很干脆：BLAKE3、SHA-3、AES 这些，LLM 破不了。他也相信 LLM 推翻不了 Too Much Crypto 那套猜想。
他给的理由里我最喜欢的一条，是引了 Matthew Green 的比喻：对称密码的设计像一台埋进流沙和水泥里的拖拉机。故意搅得一团乱，一层层叠上去，没有干净的数学结构可以下嘴。
点评：这个比喻值得记。很多"AI 即将破解一切"的叙事，默认密码是一道数学题，聪明够了就能解。但对称密码不是一道题，是一滩泥。
为什么对称密码这么扛
Aumasson 列了几条。高层构造本身安全。没有可利用的数学结构。攻击主要靠差分分析这种经验活。加上几十年里无数人撬过都没撬开。
点评：这几条里"经验活"那条最关键。差分分析不是推公式，是大量试、大量看、长手感。这恰好是 LLM 最不占便宜的活。结构化的数学问题它能啃，HAWK 那种带格结构的方案被啃了一口，不奇怪。泥地里它使不上劲。
CryptanalysisBench，一个给 LLM 出密码分析题的基准
Anthropic 也参与了。覆盖缩减轮数的 AES、ChaCha，还有提交给 NIST 竞赛的算法，包括后量子的。
点评：值得放在观察清单上。有了专门的基准，这个方向会持续有动静。以后再看到"AI 攻破 XX"的标题，先问三个问题：哪个基准、几轮、完整方案还是缩减版。问完，八成新闻自己就泄气了。
同一位作者年初让 LLM 挑 EUROCRYPT 2026 论文安全证明的错
结果是在大部分证明里都找到了问题。也就是说，那些证明本身是不对的。
点评：这条我犹豫过要不要收。它和"AI 破不了密码"的方向相反。但恰恰是它让我觉得这篇文章可信。AI 挑人类证明的漏洞，比 AI 从零发明攻击，现实得多，也已经发生了。密码学里真正该紧张的岗位，可能是写证明和审证明的那批人。
说回开头那个问题。AI 把 HAWK 攻了吗。
我的白话版答案是：AI 在有数学结构的方案上削掉了一块安全余量。在没结构的泥地里一无所获。但在"检查人类自己写的证明"这件事上，它已经能干活了。
留给普通人的那句：你的密码都好好的。真正被改变的，是密码学研究本身怎么干活。
本周就这些。
上面有任何一条你试过、或者觉得我讲错了，欢迎告诉我。那条 EUROCRYPT 的我其实只看懂了一半，先放在这里，懂了再补。
下周见。