Le 28 juillet 2026, Anthropic a dévoilé les résultats de ses recherches menées par la Frontier Red Team. Ces travaux, centrés sur des faiblesses cryptographiques, mettent en lumière les capacités de l’intelligence artificielle à identifier des vulnérabilités dans des algorithmes de sécurité.

Deux algorithmes ont été analysés : HAWK, un schéma de signature numérique conçu pour résister aux ordinateurs quantiques, et une version réduite d’AES, souvent utilisée en recherche pour évaluer la robustesse des algorithmes de chiffrement. Selon Anthropic, ces découvertes n’ont aucun impact sur les systèmes actuels, mais elles ouvrent des perspectives nouvelles pour la cryptographie de demain.

HAWK : un faucon post-quantique en difficulté

HAWK était jusqu’à récemment un candidat sérieux pour les algorithmes post-quantiques, en lice pour une normalisation par le NIST américain. Ce schéma de signature, basé sur des réseaux euclidiens modulaires, avait déjà passé deux tours d’évaluation par des experts humains sur une période de deux ans. Pourtant, les chercheurs d’Anthropic ont réussi à réduire de moitié sa résistance effective grâce à une attaque améliorée.

L’attaque repose sur l’exploitation d’une symétrie géométrique dans le problème d’isomorphisme de réseaux, permettant de diviser par deux la dimension du réseau recherché. Pour HAWK-256, cela signifie une réduction de la complexité de 2⁶⁴ à 2³⁸ opérations, rendant l’extraction de la clé secrète réalisable en seulement 3 heures et 42 minutes sur un serveur standard de 96 cœurs.

Face à cette vulnérabilité, les concepteurs de HAWK ont officiellement retiré l’algorithme du processus de sélection du NIST. Cette décision marque un tournant dans la course aux algorithmes post-quantiques, rappelant que même les solutions les plus prometteuses peuvent être mises en défaut.

Une version réduite d’AES : une faille théorique sans danger

AES, l’algorithme de chiffrement symétrique le plus utilisé au monde, n’est pas en reste. Les chercheurs ont ciblé une version simplifiée de l’algorithme, limitée à 7 tours au lieu des 10 prévus par la norme. Grâce à une technique appelée « Pont de Möbius », intégrée dans une attaque par rencontre au milieu, ils ont accéléré les meilleures attaques connues d’un facteur 200 à 800.

Cette avancée reste purement théorique, car elle ne concerne que des versions affaiblies d’AES. Les trois tours supplémentaires de la version standard rendent toute exploitation pratique impossible. L’ANSSI, dans ses recommandations, souligne que l’utilisation de clés d’au moins 192 bits permet de maintenir un niveau de sécurité élevé, même face aux futures menaces quantiques.

L’intelligence artificielle au cœur de la cryptographie

Ces découvertes soulignent le rôle croissant de l’IA dans la recherche en cybersécurité. Les outils comme Mythos, une préversion interne d’Anthropic, ont permis de générer des attaques innovantes, parfois contre l’avis initial des modèles eux-mêmes. Par exemple, Mythos avait initialement refusé d’exécuter des tâches sur la version réduite d’AES, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé.

Les coûts de ces recherches restent élevés : environ 100 000 dollars en calculs API pour chaque découverte. De plus, chaque résultat doit être vérifié par des experts humains pendant plusieurs semaines pour s’assurer de sa validité et de sa rigueur mathématique.

Un défi pour la communauté cryptographique

Si ces découvertes n’ont pas d’impact immédiat sur les systèmes en production, elles posent un défi de taille pour la communauté cryptographique. Le nombre croissant de failles découvertes par l’IA dépasse désormais la capacité des experts à les analyser et à les valider rapidement. Les processus traditionnels de triage, vérification et remédiation sont mis à rude épreuve.

Ces travaux rappellent également que la sécurité des systèmes dépend autant des algorithmes que des processus humains qui les entourent. Même si l’IA peut identifier des vulnérabilités, leur exploitation pratique reste complexe et coûteuse, limitant ainsi leur impact réel.