Eine Woche bis zum Fund, fast ein Monat bis zur Gewiss­heit

Anthropic hat am 28. Juli zwei Funde seines Modells Claude Mythos Preview veröffentlicht. Der erste betrifft HAWK, ein Signaturverfahren, das gegen Angriffe mit Quantenrechnern bestehen sollte und dafür beim US-Normungsinstitut im Auswahlverfahren stand. Das Modell fand darin eine bis dahin nicht ausgenutzte Symmetrie und halbierte damit nach Anthropics Angabe die wirksame Schlüsselstärke: Der Aufwand, einen Schlüssel der kleinen Variante HAWK-256 zurückzurechnen, sinkt von 2 hoch 64 auf 2 hoch 38 Rechenschritte. Der zweite Fund beschleunigt einen bekannten Angriff auf eine künstlich verkürzte Fassung von AES um das 200- bis 800-fache.

Beide Funde ändern nichts an laufenden Systemen, und Anthropic sagt das selbst deutlich: Keine Software im Einsatz muss deswegen geändert werden. HAWK war nirgends im Einsatz, der AES-Angriff trifft sieben von zehn Runden und braucht rund 2 hoch 105 gewählte Klartexte, was ihn außerhalb jeder Reichweite hält. Für HAWK selbst hatte der Fund trotzdem Folgen: Das Entwicklerteam zog das Verfahren am 29. Juli aus dem Wettbewerb zurück, weil der Angriff die für die Schlüsselsuche nötige Blockgröße ungefähr halbiert und größere Parameter es gegenüber anderen Verfahren unattraktiv machen. Das Normungsinstitut führt es seither als zurückgezogen. Das eigentliche Ergebnis ist ein anderes.

Wie das zustande kam

Für HAWK arbeitete das Modell rund sechzig Stunden in einer Umgebung mit mathematischer Software und Zugriff auf veröffentlichte Arbeiten. Die Zahl schließt das Prüfen schon ein, denn das Modell baute sich eine durchgehende Prüfkette gleich mit. Der Mensch daneben kam aus der theoretischen Informatik und war kein Fachmann für Git­ter­kryp­to­gra­phie. Beim AES-Fund kamen über drei Tage drei inhaltliche Anweisungen, den Rest arbeitete das System selbst: Hypothese, Prüfung, nächste Hypothese, rund eine Milliarde erzeugte Token. Jeder der beiden Funde kostete etwa 100.000 Dollar für die Modellaufrufe.

Das sind die Zahlen, die üblicherweise in der Schlagzeile stehen. Interessanter ist die daneben.

Die Umkehrung

Beim AES-Fund dauerte die Nachprüfung ein Vielfaches der Entdeckung. Das Modell fand den Angriff in einer Woche, zwei Forschende brauchten fast einen Monat, bis sie sicher waren, dass die gefundene Methode stimmt. Zwei Sätze weiter oben steht der Grund, und er ist bemerkenswert offen für eine Unter­neh­mens­ver­öf­fent­li­chung: Man stoße an die Grenzen des eigenen Wissens. Die Beteiligten sind nach Anthropics Angabe keine Fachleute für Kryptographie, und das Einarbeiten gehörte zu den mehreren hundert Stunden, die sie aufwendeten.

Bei HAWK ließ sich die Frage einfacher beantworten, denn der Angriff lässt sich vollständig durchrechnen und zeigt damit selbst, ob er funktioniert. Der AES-Angriff braucht mindestens 2 hoch 89 Rechenschritte und kann deshalb nie ganz durchlaufen. Die Nachprüfung setzte sich laut der AES-Arbeit aus Teilen zusammen: ein Beweis im Beweisassistenten Lean, ein vollständiger Durchlauf an einer stark verkleinerten Chiffre, gemessene Laufzeiten einzelner Bausteine.

Bisher galt die Rechenzeit als der teure Teil der Arbeit mit einem Modell. In diesem Fall war sie der billige. Teuer war die Frage, ob das Ergebnis stimmt, und diese Frage ließ sich nicht dem Modell überlassen, das es erzeugt hat. Bis jemand es geprüft hat, bleibt ein Ergebnis eine Behauptung mit sehr guter Begründung.

Was daraus folgt

Der Fall ist ungewöhnlich in seinem Gegenstand und gewöhnlich in seiner Form. Wer ein Modell auf eine Aufgabe ansetzt, deren Antwort er selbst beurteilen kann, hat ein Werkzeug. Wer es auf eine Aufgabe ansetzt, deren Antwort er nicht beurteilen kann, hat eine Behauptung und muss den Prüfweg getrennt bauen. Dazwischen liegt der ganze Unterschied, und er entscheidet sich an der Aufgabe. Bei HAWK war der Prüfweg die Ausführbarkeit. Bei AES musste er erst aus Einzelnachweisen entstehen, deshalb der Monat.

Dazu passt, was acht Tage vorher erschien: ein Prüfsatz mit 191 Kryptoanalyse-Aufgaben, den Anthropic gemeinsam mit der ETH Zürich, der Universität Haifa, der TU Berlin und der Universität Tel Aviv veröffentlicht hat. Er führt jeden eingereichten Angriff gegen eine frische Instanz des Verfahrens aus. Das Nachrechnen übernimmt damit die Maschine. Das ist die Antwort auf genau diesen Engpass. Auf diesem Weg fiel dort auch ein Angriff auf das Ver­schlüs­se­lungs­ver­fahren SpoC auf, den die Autoren für neu halten. Die Grenze nennt die Arbeit selbst: Diese Prüfung erreicht nur praktisch ausführbare Angriffe. Ein theoretischer Angriff mit hohem Aufwand wie der AES-Fund bleibt Handarbeit.

Einordnung

Für den Einsatz im Alltag lässt sich die Rechnung umdrehen: Bevor eine Aufgabe an ein Modell geht, lohnt die Frage, wer das Ergebnis prüft und wie lange das dauert. Bei Texten, Auswertungen oder Code außerhalb des eigenen Fachs gerät dieser Posten leicht aus dem Blick. In diesem Fall machte er den größten Teil der Arbeit aus. Warum die Prüfzeit in jede Übergabe an ein Modell gehört, rechnet KI als Mitarbeiter, Kapitel 01 vor.