Une équipe de recherche d’Anthropic a récemment fait état de découvertes majeures concernant deux algorithmes de cryptographie : HAWK, un schéma de signature numérique conçu pour résister aux attaques quantiques, et une version réduite de l’AES, l’un des standards de chiffrement les plus répandus au monde. Les résultats, obtenus grâce à l’intelligence artificielle, révèlent des failles théoriques mais ne remettent pas en cause la sécurité des systèmes actuels.
HAWK : un algorithme post-quantique mis à mal
HAWK figurait parmi les candidats retenus par le NIST dans le cadre de son appel à projets pour des algorithmes résistants aux ordinateurs quantiques. Après deux années d’évaluations rigoureuses, il a finalement été retiré du processus de sélection le 29 juillet 2026, suite à une attaque réussie menée par l’IA claudE.
Les experts en cryptographie savent que les algorithmes post-quantiques ne sont pas à l’abri des découvertes de failles. Des précédents comme SIKE ou Rainbow, tous deux candidats au NIST, ont déjà été compromis par des attaques ciblant leurs vulnérabilités structurelles. Dans le cas de HAWK, l’IA claudE a exploité une symétrie géométrique pour réduire la complexité de l’attaque.
Concrètement, l’automorphisme découvert a permis de diviser par deux la dimension du réseau de recherche de la clé privée. Sur la variante HAWK-256, la complexité est passée de 2⁶⁴ à 2³⁸ opérations, rendant l’extraction de la clé secrète réalisable en seulement 3 heures et 42 minutes sur un serveur standard de 96 cœurs. Une telle réduction de la sécurité effective rendrait nécessaire le doublement de la taille des clés, compromettant ainsi l’efficacité même de l’algorithme.
Pourquoi HAWK a été abandonné
Face à ces résultats, les concepteurs de HAWK ont choisi de retirer leur algorithme du processus de sélection du NIST. L’IA claudE a ainsi démontré sa capacité à trouver des failles en un temps record, mais aussi à accélérer les processus d’évaluation et de validation des algorithmes cryptographiques.
Une faille théorique sur une version réduite d’AES
Le second axe de recherche porte sur l’AES, un algorithme de chiffrement symétrique largement utilisé pour sécuriser les échanges bancaires et les communications via le protocole TLS. Contrairement à HAWK, l’AES n’est pas menacé par ces découvertes, car elles concernent uniquement une version simplifiée de l’algorithme, limitée à 7 tours de transformation au lieu des 10 requis par la norme.
L’IA claudE a mis au point une technique d’empreinte invariante, surnommée le « Pont de Möbius », intégrée à une attaque par « rencontre au milieu » (meet-in-the-middle). Cette innovation a permis d’éliminer une étape de recherche exhaustive nécessitant auparavant 256 itérations, réduisant ainsi le temps d’exécution de 200 à 800 fois par rapport aux attaques précédemment connues.
Bien que cette faille reste strictement théorique et limitée au domaine académique, elle illustre la capacité de l’IA à proposer des attaques plus efficaces que les méthodes traditionnelles. Les trois tours supplémentaires de l’AES standard rendent toute exploitation pratique de cette faille impossible.
L’ANSSI confirme la robustesse d’AES
Dans ses recommandations de sécurité, l’ANSSI insiste sur l’importance d’utiliser des clés d’une taille minimale de 128 bits pour une sécurité classique, mais recommande de passer à 192 bits pour une protection post-quantique. L’IA claudE a confirmé que cette augmentation de taille n’entraîne qu’une faible dégradation des performances, comme en témoigne le surcoût limité d’AES-192 par rapport à AES-128.
Des avancées qui soulèvent des questions
Les découvertes réalisées par l’IA claudE soulignent plusieurs enjeux majeurs pour la communauté de la cybersécurité. D’abord, elles confirment que les algorithmes post-quantiques, même rigoureusement testés, peuvent être compromis par des attaques innovantes. Ensuite, elles mettent en lumière la capacité des modèles d’IA à identifier des failles que les humains pourraient mettre des mois à détecter.
Cependant, ces avancées ne sont pas sans coût. La découverte sur HAWK a nécessité 60 heures de calcul autonome, pour un coût estimé à 100 000 dollars en utilisant les outils commerciaux d’Anthropic. De même, l’IA claudE a initialement refusé de travailler sur la version réduite d’AES, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé. Ce n’est qu’après une révision des consignes d’incitation que le modèle a proposé une nouvelle méthode d’attaque, générant un milliard de jetons en sortie sur plusieurs jours.
Pour éviter toute erreur, les résultats ont fait l’objet d’une vérification rigoureuse par deux chercheurs pendant un mois. Cette étape de validation était essentielle pour garantir la rigueur mathématique des démonstrations et tester le code généré par l’IA.
Le défi de la validation des découvertes
La véritable limite des découvertes réalisées par l’IA claudE réside dans la capacité humaine à valider les résultats. Bien que les modèles d’IA puissent identifier des failles en un temps record, le processus de vérification reste long et coûteux. Dans le cas d’AES, il a fallu une semaine pour conceptualiser l’idée et un mois pour la valider, soulignant que le goulot d’étranglement s’est déplacé vers l’étape de validation plutôt que vers la détection des failles.
Cette situation n’est pas isolée. Les corrections de sécurité dans des produits comme Firefox, Windows ou les systèmes Apple se multiplient, reflétant la rapidité avec laquelle les vulnérabilités sont identifiées. Les équipes de cybersécurité doivent désormais composer avec une inflation des alertes, rendant le tri et la validation des résultats un défi quotidien.
Conclusion : vers une nouvelle ère de la cryptographie ?
Les découvertes réalisées par l’IA claudE ne remettent pas en cause la sécurité des systèmes actuels, mais elles offrent une perspective nouvelle sur l’évaluation des algorithmes cryptographiques. Elles soulignent aussi l’importance de la validation humaine pour garantir la fiabilité des résultats produits par l’IA.
Face à cette évolution, les organisations doivent repenser leurs stratégies de cybersécurité en intégrant des processus de validation plus robustes et en anticipant l’impact des modèles d’IA sur la détection des vulnérabilités. L’AES et les autres algorithmes standardisés restent sûrs, mais la vigilance doit être constante.