Les équipes de recherche d’Anthropic viennent de publier un rapport détaillé sur les vulnérabilités découvertes dans deux algorithmes de cryptographie : HAWK, un schéma de signature post-quantique, et une version simplifiée d’AES. Si les résultats sont réels, aucune faille critique n’affecte les systèmes en production aujourd’hui. Cependant, les avancées réalisées grâce à l’intelligence artificielle soulèvent des questions sur l’avenir de la sécurité informatique.

HAWK : l’algorithme post-quantique qui a mordu la poussière

Le projet HAWK était en lice pour devenir un standard de signature numérique résistant aux attaques quantiques, dans le cadre d’un appel lancé par le NIST. Après deux années d’évaluation par des experts, l’algorithme avait franchi plusieurs étapes clés. Pourtant, Mythos, une version expérimentale de l’IA d’Anthropic, a réussi à le compromettre en exploitant une faille jusqu’alors inconnue.

En analysant les fondements mathématiques de HAWK, l’IA a identifié une symétrie géométrique cachée dans le problème d’isomorphisme de réseaux euclidiens. Cette découverte a permis de réduire de moitié la complexité nécessaire pour extraire une clé privée. Résultat : sur la variante HAWK-256, la complexité est passée de 2⁶⁴ à 2³⁸ opérations, rendant l’attaque réalisable en moins de quatre heures sur un serveur standard.

Face à cette vulnérabilité, les concepteurs de HAWK ont retiré leur algorithme du processus de sélection du NIST dès le lendemain de la publication. Une décision qui marque un tournant dans la course aux algorithmes post-quantiques, où la résistance aux attaques évolue rapidement.

Une version réduite d’AES : quand la théorie défie la pratique

L’Advanced Encryption Standard (AES), utilisé massivement pour sécuriser les communications bancaires et les échanges via TLS, reste un pilier de la cryptographie moderne. Anthropic s’est intéressé à une version volontairement affaiblie d’AES-128, limitée à sept tours au lieu de dix, pour tester les limites de la sécurité théorique.

Grâce à une nouvelle technique baptisée « Pont de Möbius », intégrée à une attaque par « meet-in-the-middle », l’équipe a accéléré les attaques existantes d’un facteur 200 à 800. Cette méthode contourne une étape de recherche exhaustive en réduisant le nombre d’itérations nécessaires de 256 à une seule. Cependant, les trois tours supplémentaires de la version standard d’AES rendent cette faille totalement inapplicable en conditions réelles.

L’IA au secours de la sécurité… ou de l’insécurité ?

Ces découvertes soulèvent un paradoxe : Mythos Preview, la version interne d’Anthropic, a d’abord refusé de participer à la recherche sur la version réduite d’AES, estimant que l’algorithme était déjà trop robuste. Après ajustement des instructions, l’IA a généré près d’un milliard de jetons et conçu une nouvelle méthode d’attaque en plusieurs jours – un processus qui aurait coûté 100 000 dollars via des services cloud classiques.

Cette expérience met en lumière l’efficacité des modèles de langage dans la détection de failles, mais aussi leur lourdeur computationnelle. Les chercheurs ont dû consacrer près d’un mois à valider les résultats, éliminant toute possibilité d’hallucination ou d’erreur algorithmique. Pourtant, rien ne prouve qu’un humain n’aurait pas pu aboutir aux mêmes conclusions… avec plus de temps.

Un nouveau défi pour les experts en cybersécurité

L’afflux de découvertes réalisées par les outils d’IA dépasse désormais la capacité des équipes humaines à les analyser et à y répondre. Les correctifs pour des logiciels comme Firefox, Windows ou les systèmes Apple s’accumulent, illustrant ce déplacement du goulot d’étranglement : trouver des failles n’est plus le problème, mais les valider et les corriger.

Anthropic prévoit de publier d’autres résultats similaires à l’avenir. Une chose est sûre : l’ère de l’IA en cryptographie est bel et bien lancée, et elle redéfinit les règles du jeu.