L’équipe de recherche Frontier Red Team d’Anthropic a récemment publié un rapport détaillé sur les failles cryptographiques identifiées dans deux algorithmes de sécurité majeurs : HAWK, un schéma de signature numérique post-quantique, et une version réduite d’AES. Si ces découvertes soulèvent des questions légitimes, elles ne remettent pas en cause l’intégrité des systèmes actuels.
HAWK : l’algorithme post-quantique qui recule
Le projet HAWK, candidat à la standardisation par le NIST pour les algorithmes résistants aux ordinateurs quantiques, vient de subir un revers de taille. Une équipe de chercheurs utilisant une version interne de l’IA Claude a mis en lumière une faille critique dans son mécanisme de sécurité.
L’attaque repose sur l’identification d’une symétrie géométrique dans le problème d’isomorphisme de réseaux euclidiens modulaires, une faiblesse qui réduit de moitié la résistance théorique de l’algorithme. Concrètement, la complexité de récupération de la clé privée sur la variante HAWK-256 est passée de 2⁶⁴ à 2³⁸ opérations, permettant une extraction effective en seulement 3 heures et 42 minutes sur un serveur équipé de 96 cœurs.
Cette réduction de sécurité rend HAWK inutilisable en l’état. Les concepteurs ont d’ailleurs annoncé son retrait immédiat du processus de sélection du NIST, mettant fin à son ambition de devenir un standard post-quantique. Cette affaire rappelle les précédents échecs de SIKE et Rainbow, également victimes d’attaques ciblant leurs faiblesses structurelles.
AES : une version affaiblie vulnérable, mais sans danger réel
Côté AES, l’étude se concentre sur une version réduite à 7 tours (au lieu des 10 requis par la norme), utilisée uniquement à des fins de recherche pour tester les limites de l’algorithme. Les chercheurs ont exploité une technique innovante nommée « Pont de Möbius » pour accélérer une attaque par « rencontre au milieu » (meet-in-the-middle), réduisant la complexité de 256 à une seule itération.
Résultat : les attaques sont désormais 200 à 800 fois plus rapides que les méthodes précédentes. Cependant, cette vulnérabilité reste purement théorique. La version complète d’AES-128 avec ses 10 tours conserve une robustesse intacte, rendant toute exploitation pratique impossible. L’ANSSI recommande tout de même d’utiliser des clés d’au moins 192 bits pour une sécurité post-quantique, une mesure déjà largement adoptée.
L’IA au service de la cryptographie : opportunité ou menace ?
Ces découvertes soulèvent un paradoxe : si l’intelligence artificielle comme Claude permet d’identifier des failles insoupçonnées, elle nécessite des ressources colossales. Environ 60 heures de calcul ont été nécessaires pour compromettre HAWK, pour un coût estimé à 100 000 dollars en conditions réelles. De même, l’attaque sur la version réduite d’AES a généré plus d’un milliard de tokens, révélant une capacité d’auto-amélioration impressionnante, mais coûteuse.
Ces travaux démontrent que l’IA peut révolutionner la recherche en cybersécurité, mais posent aussi la question de l’accessibilité. Seules les organisations disposant de moyens financiers importants pourront exploiter ces outils, creusant l’écart entre les acteurs majeurs et les autres.
Un goulot d’étranglement qui se déplace
Ces révélations illustrent un changement de paradigme dans la cybersécurité : le défi n’est plus de trouver des failles, mais de les valider. Les processus humains de vérification, déjà sous pression face à l’afflux de vulnérabilités découvertes par l’IA, peinent à suivre le rythme.
Les équipes de recherche d’Anthropic ont dû consacrer un mois à l’analyse et à la validation des résultats, illustrant l’importance cruciale de la rigueur scientifique. Ces travaux confirment que l’intelligence artificielle est un atout majeur, mais qu’elle ne remplace pas l’expertise humaine.
