Les découvertes d’Anthropic : entre théorie et réalité

L’équipe Frontier Red Team d’Anthropic a récemment partagé les résultats de recherches menées avec Claude, une préversion interne de leur modèle Mythos. Ces travaux se concentrent sur deux algorithmes de chiffrement emblématiques : HAWK, un schéma de signature numérique conçu pour résister aux attaques quantiques, et une version simplifiée de l’AES, souvent utilisée à des fins de recherche pour tester la robustesse des systèmes de chiffrement.

Contrairement aux craintes suscitées par certains titres alarmistes, ces découvertes n’ont pas d’impact immédiat sur les infrastructures actuelles. Cependant, elles révèlent des failles intéressantes qui méritent une attention particulière de la part des experts en sécurité.

HAWK : un algorithme post-quantique en sursis ?

HAWK était jusqu’à récemment considéré comme l’un des candidats sérieux pour le programme de standardisation post-quantique du NIST. L’algorithme avait passé avec succès deux phases d’évaluation par des experts humains sur une période de deux ans. Pourtant, les chercheurs d’Anthropic ont réussi à réduire de moitié la résistance de cet algorithme grâce à une nouvelle approche.

La sécurité de HAWK repose sur la difficulté du problème d’isomorphisme de réseaux euclidiens modulaires. Les chercheurs ont découvert une symétrie géométrique dans cette structure, permettant de transformer le problème initial en un problème de recherche de vecteur court dans un réseau de dimension réduite. Pour la variante HAWK-256, cela se traduit par une complexité passée de 2⁶⁴ à 2³⁸ opérations, rendant l’extraction de la clé secrète possible en seulement 3 heures et 42 minutes sur un serveur équipé de 96 cœurs.

Face à cette faille, les concepteurs de HAWK ont pris la décision de retirer l’algorithme du processus de sélection du NIST, jugeant que sa légèreté calculatoire, autrefois son principal atout, ne pouvait plus être préservée sans compromettre sa sécurité.

Une version réduite d’AES : une avancée théorique sans conséquence pratique

Côté AES, les chercheurs se sont intéressés à une version volontairement affaiblie de l’algorithme, limitée à 7 tours de transformation au lieu des 10 prévus par la norme. Grâce à une technique innovante appelée « Pont de Möbius », ils ont pu accélérer les attaques existantes par un facteur compris entre 200 et 800.

Cette découverte, bien que spectaculaire sur le plan théorique, reste cantonnée au domaine académique. Les trois tours supplémentaires de la version standard d’AES rendent en effet toute exploitation pratique impossible. Les experts rappellent que les implémentations actuelles d’AES-128 restent parfaitement sûres, et que l’utilisation de clés de 192 ou 256 bits offre une protection renforcée contre les futures menaces, y compris quantiques.

L’IA au service de la cryptanalyse : révolution ou simple outil ?

Ces travaux soulèvent une question fondamentale : dans quelle mesure l’intelligence artificielle peut-elle transformer le paysage de la cryptanalyse ? Les découvertes d’Anthropic illustrent le potentiel des modèles d’IA pour identifier des failles complexes, mais elles révèlent aussi les limites actuelles de ces outils.

L’équipe a notamment observé que la préversion de Mythos a initialement refusé d’exécuter certaines tâches sur la version réduite d’AES, arguant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé. Il a fallu ajuster les instructions pour que le modèle propose de nouvelles approches, générant plus d’un milliard de jetons en sortie sur plusieurs jours. Ces opérations, si elles avaient été réalisées via des outils commerciaux, auraient coûté environ 100 000 dollars.

Les chercheurs ont ensuite passé un mois à valider formellement les résultats, en vérifiant chaque équation et chaque transformation algébrique proposée par l’IA. Cette phase de validation, cruciale, démontre que l’IA ne remplace pas encore le travail humain, mais peut l’assister de manière significative.

Un nouveau défi pour la communauté de la cybersécurité

Si ces découvertes n’ont pas d’impact direct sur les systèmes en production, elles révèlent un changement de paradigme pour la communauté de la cybersécurité. Le principal défi n’est plus de trouver des failles, mais de valider rapidement et efficacement les résultats produits par les outils automatisés.

Les chercheurs soulignent que les processus actuels de triage, de vérification et de remédiation peinent à suivre le rythme imposé par les avancées technologiques. Les correctifs pour des produits majeurs comme Firefox, Windows ou les systèmes Apple se multiplient, mettant en lumière la pression croissante sur les équipes de sécurité.

Ces travaux rappellent que, malgré les progrès de l’IA, la perspicacité humaine reste indispensable pour garantir la fiabilité des systèmes de chiffrement. Les algorithmes actuels, comme AES, continuent de résister aux attaques, même face aux outils les plus avancés.