Claude findet HAWK-Schwäche: Was das für Post-Quanten-Kryptografie heißt

Ein KI-Modell hat einen ernst zu nehmenden Angriff auf ein Verfahren der Post-Quanten-Kryptografie gefunden. Forschende von Anthropic berichten, Claude Mythos Preview habe die angenommene Sicherheit des Signaturkandidaten HAWK deutlich reduziert und außerdem eine bekannte Attacke auf eine vereinfachte AES-Variante beschleunigt. Für heutiges Onlinebanking, verschlüsselte Webseiten oder Passwörter besteht deshalb keine neue akute Gefahr, doch für die Prüfung künftiger Verschlüsselungsstandards ist das Ergebnis bemerkenswert.

Das Wichtigste in Kürze

• Claude Mythos Preview entwickelte laut Anthropic in rund 60 Stunden einen verbesserten Schlüsselangriff auf HAWK.
• Bei einer kleinen HAWK-256-Variante sank der geschätzte Aufwand von 2⁶⁴ auf demonstrierte 2³⁸ Rechenschritte.
• HAWK ist ein Kandidat im laufenden NIST-Verfahren und wird noch nicht in produktiven Systemen eingesetzt.
• Der zweite Fund betrifft nur sieben von zehn Runden bei AES-128. Vollständiges AES bleibt ungebrochen.
• Der praktische Engpass verschiebt sich von der Ideensuche zur unabhängigen Prüfung großer Mengen maschinell erzeugter Forschung.

Was Claude bei HAWK tatsächlich gefunden hat

Digitale Signaturen bestätigen, dass eine Nachricht, ein Softwarepaket oder eine Webseite wirklich vom angegebenen Absender stammt und unterwegs nicht verändert wurde. Weil hinreichend leistungsfähige Quantencomputer viele heute verbreitete Signaturverfahren gefährden könnten, lässt das US-Standardisierungsinstitut NIST seit Jahren neue, quantenresistente Verfahren öffentlich prüfen. HAWK ist einer von neun Kandidaten, die das NIST im Mai 2026 in die dritte Bewertungsrunde aufgenommen hat.

HAWK arbeitet mit mathematischen Gittern. Seine Sicherheit beruht unter anderem auf der Annahme, dass eine bestimmte Beziehung zwischen solchen Gittern schwer zu finden ist. Claude identifizierte nach Angaben von Anthropic eine zuvor nicht genutzte Symmetrie, in der Fachsprache einen nichttrivialen Automorphismus. Damit lässt sich die Suche nach dem geheimen Schlüssel erheblich verkürzen. Der Angriff bleibt exponentiell, wird also mit größeren Schlüsseln weiterhin sehr schnell sehr teuer. Er macht HAWK nicht mit einem gewöhnlichen Laptop in Sekunden angreifbar.

Deutlich wird die Wirkung an einer kleinen Testvariante. Für HAWK-256 war ein vollständiger Schlüsselangriff zuvor mit ungefähr 2⁶⁴ Arbeitsschritten veranschlagt worden. Der von Claude mitentwickelte Ansatz demonstriert einen Aufwand von etwa 2³⁸. Bei größeren Parametern bleibt der Angriff unpraktisch, doch die Sicherheitsreserve fällt kleiner aus als angenommen. Um denselben Abstand zu Angreifern wiederherzustellen, müssten die Schlüssel nach Anthropic ungefähr verdoppelt werden. Das träfe ausgerechnet einen Hauptvorteil von HAWK: kompakte Schlüssel und Signaturen bei hoher Geschwindigkeit.

Der Fund kam nicht aus einem einzelnen Chatfenster. Anthropic beschreibt einen agentischen Versuchsaufbau mit mehreren Arbeitsinstanzen, Zugriff auf Fachliteratur sowie Mathematikwerkzeuge wie Sage und Python. Ein menschlicher Forscher steuerte das Projekt, ohne Spezialist für gitterbasierte Kryptografie zu sein. Claude sichtete Literatur, formulierte Hypothesen, führte Experimente aus und baute schließlich eine durchgängige Verifikation samt Demonstrationscode. Anthropic beziffert die dafür verbrauchten API-Kosten auf rund 100.000 Dollar.

Warum AES nicht geknackt ist

Der zweite Befund klingt in verkürzten Schlagzeilen noch größer, betrifft aber ausdrücklich nicht das AES, das heute Daten schützt. AES-128 verarbeitet jeden Datenblock in zehn aufeinanderfolgenden Runden. Kryptografen untersuchen bewusst Varianten mit weniger Runden, weil sich daran neue Angriffstechniken entwickeln und Sicherheitsreserven abschätzen lassen. Claude arbeitete an einer künstlich geschwächten Variante mit sieben Runden.

Der verbesserte Angriff nutzt ein Verfahren, das Rechenzeit gegen Speicher tauscht. Vereinfacht gesagt werden Zwischenergebnisse vorbereitet und später mit Kandidaten abgeglichen. Claude entwickelte dafür einen Fingerabdruck, der eine bisher nötige Folge von 256 Vermutungen überflüssig macht. Nach Abzug der zusätzlichen Rechenkosten soll der Angriff je nach Messweise 200- bis 800-mal schneller sein als die zuvor beste Methode.

Praktisch bleibt selbst dieser verkürzte Angriff weit außerhalb realistischer Reichweite. Das zugrunde liegende Szenario setzt bis zu 2¹⁰⁵ frei wählbare Klartexte voraus, die ein Angreifer mit demselben unbekannten Schlüssel verschlüsseln lassen müsste. Vor allem fehlen drei vollständige AES-Runden. Wer daraus ableitet, Claude habe AES gebrochen, verwechselt gezielte Grundlagenforschung mit einem Angriff auf ein eingesetztes Verschlüsselungssystem.

Der NIST-Prozess funktioniert genau dafür

Der HAWK-Fund ist kein Beleg dafür, dass die Auswahl quantenresistenter Verfahren gescheitert ist. Kandidaten werden absichtlich vor der Standardisierung veröffentlicht, damit Fachleute ihre Sicherheitsannahmen angreifen können. Das NIST hat bereits mehrere Post-Quanten-Verfahren standardisiert; HAWK soll diese Standards allenfalls ergänzen und ist nicht Bestandteil produktiver Infrastrukturen. Ein Problem vor der Einführung zu finden ist daher ein Erfolg des offenen Prüfverfahrens.

Vorsicht gegenüber HAWK gab es schon vor dem Claude-Ergebnis. Cloudflare verwies im Juli auf die vergleichsweise neue mathematische Sicherheitsannahme und auf eine Reihe von Arbeiten, die sich dem für HAWK relevanten Spezialfall annäherten. Zugleich bietet das Verfahren reale Vorzüge: Laut Projektseite kommt HAWK ohne Gleitkommaarithmetik aus, arbeitet auch auf kleinen Geräten mit wenig Speicher und erzeugt kompakte Signaturen. Genau diese Abwägung zwischen Effizienz und konservativem Vertrauen ist der Kern einer seriösen Standardisierung.

Der neue Angriff betrifft zudem weder andere NIST-Kandidaten noch gitterbasierte Kryptografie als Ganzes. Auch daraus folgt eine nüchterne Lehre: Nicht jede Schwäche eines einzelnen Entwurfs ist eine Krise der gesamten Post-Quanten-Sicherheit. Sie kann aber entscheiden, ob ein Kandidat überarbeitet wird, größere Parameter braucht oder aus dem Rennen fällt.

Der neue Engpass heißt Verifikation

Bemerkenswert ist weniger die Behauptung, eine KI sei nun ein besserer Kryptograf als jeder Mensch. Entscheidend ist ihre Arbeitsgeschwindigkeit. Anthropic berichtet, Claude habe die AES-Idee innerhalb etwa einer Woche entwickelt, während zwei Forschende anschließend mehrere hundert Stunden brauchten, um das Ergebnis zu prüfen und veröffentlichungsreif zu machen. Bei der HAWK-Attacke halfen ausführbarer Code und eine vollständige Testkette; abstraktere Resultate lassen sich wesentlich schwerer absichern.

Damit entsteht dasselbe Skalierungsproblem, das bereits bei automatisch gefundenen Softwarefehlern sichtbar wird. Werkzeuge wie OpenAIs offenes Sicherheitswerkzeug Aardvark können die Suche verbreitern, aber ein Fund wird erst durch Reproduktion, fachliche Begutachtung und verantwortliche Veröffentlichung belastbar. In der Kryptografie ist diese Hürde besonders hoch, weil ein übersehener Denkfehler ebenso folgenschwer sein kann wie eine voreilig verbreitete Angriffsidee.

Für die nächsten Monate sind deshalb drei Dinge wichtiger als eine weitere Rekordmeldung: unabhängige Replikationen der HAWK- und AES-Arbeiten, eine öffentliche Reaktion des NIST auf die HAWK-Parameter und gemeinsame Regeln für den Umgang mit tatsächlich produktionsrelevanten KI-Funden. Claude hat diesmal keinen digitalen Schutzwall eingerissen. Das Modell hat aber gezeigt, dass die mathematische Prüfung künftiger Schutzwälle schneller und breiter werden kann. Ob daraus bessere Standards entstehen, entscheidet die Qualität der menschlichen Kontrolle.