L’équipe de recherche Frontier Red Team d’Anthropic a récemment publié un rapport détaillant ses travaux sur deux algorithmes de sécurité majeurs : HAWK, un schéma de signature numérique conçu pour résister aux ordinateurs quantiques, et une version allégée d’AES, un standard mondial de chiffrement. Ces découvertes, bien que spectaculaires, ne menacent pas directement les infrastructures actuelles.

Le faucon post-quantique : un espoir en chute libre

HAWK était l’un des candidats retenus par le NIST américain pour son appel à projets sur les algorithmes post-quantiques. Ce schéma de signature numérique avait franchi avec succès deux phases d’évaluation par des experts humains sur une période de deux ans. Pourtant, une faille majeure a été identifiée grâce à l’intelligence artificielle.

Les chercheurs ont exploité une symétrie géométrique dans le problème d’isomorphisme de réseaux euclidien modulaire, réduisant la complexité de recherche de la clé privée de moitié. Par exemple, sur la variante HAWK-256, la complexité est passée de 2⁶⁴ à 2³⁸ opérations. Une attaque réussie a été menée en seulement 3 heures et 42 minutes sur un serveur standard de 96 cœurs.

Cette réduction de la sécurité rend HAWK inutilisable en l’état. Pour compenser, il aurait fallu doubler la taille des clés et des signatures, ce qui aurait compromis son principal avantage : sa légèreté de calcul. Face à cette faille, les concepteurs de HAWK ont retiré l’algorithme de la sélection du NIST dès le 29 juillet.

Que cache vraiment la faille d’AES ?

AES, un algorithme de chiffrement symétrique largement adopté pour sécuriser les transactions bancaires et les communications via TLS, n’est pas directement menacé. Les travaux d’Anthropic ciblent une version simplifiée d’AES-128, réduite à 7 tours au lieu des 10 prévus par la norme.

L’équipe a développé une technique innovante appelée « Pont de Möbius », intégrée à une attaque par rencontre au milieu. Cette méthode élimine une étape de recherche exhaustive, accélérant les attaques existantes d’un facteur 200 à 800. Cependant, cette vulnérabilité reste strictement académique et inapplicable en conditions réelles.

L’ANSSI recommande d’utiliser des clés symétriques d’au moins 128 bits, ou 192 bits pour une sécurité post-quantique. AES-192 et AES-256 offrent des alternatives viables sans perte de performance significative.

Une avancée théorique aux implications concrètes

Bien que ces découvertes n’affectent pas les systèmes en production, elles illustrent le pouvoir croissant de l’intelligence artificielle dans la recherche en cybersécurité. Anthropic souligne que la génération de ces attaques a nécessité environ 60 heures de calcul et un investissement estimé à 100 000 dollars en utilisant les outils commerciaux de l’entreprise.

L’équipe a également observé que le modèle Mythos Preview a initialement refusé de travailler sur la version simplifiée d’AES, affirmant qu’aucune amélioration n’était possible. Après ajustement des consignes, le modèle a généré près d’un milliard de jetons sur plusieurs jours pour concevoir une nouvelle méthode d’attaque.

Ces résultats ont été validés par deux chercheurs sur une période d’un mois, garantissant leur rigueur mathématique et leur cohérence. Cette étape de vérification est cruciale pour éviter les erreurs ou les interprétations erronées des algorithmes.

Le futur de la cybersécurité : entre promesses et défis

Ces découvertes soulèvent une question majeure : l’intelligence artificielle accélère-t-elle la découverte de failles au point de saturer les capacités humaines de vérification ? Les processus de validation traditionnels peinent à suivre le rythme imposé par les LLM, comme en témoigne l’augmentation des correctifs dans des logiciels populaires comme Firefox ou Windows.

Anthropic précise que ces travaux ne sont que le début. D’autres publications suivront, confirmant l’intérêt croissant des modèles d’IA pour la cryptographie. Cependant, le défi reste entier : comment exploiter ces avancées sans compromettre la sécurité des systèmes ?