Anthropic攻破HAWK-256：后量子签名方案的安全警示

事件概览

Anthropid近日发布了一项针对HAWK-256的**实用性密钥恢复攻击（practical key-recovery attack）**研究，引发密码学与AI安全交叉领域的广泛关注。HAWK是一种基于格（lattice-based）的后量子数字签名方案，而HAWK-256则是其提供约256位安全强度的参数配置。这项研究之所以值得重视，不仅在于它揭示了一个具体方案的潜在缺陷，更在于它折射出后量子密码学（PQC）在标准化与实际部署过程中面临的严峻挑战。

所谓"实用性攻击"，与纯理论攻击有本质区别：它意味着攻击者能够在现实可接受的计算资源和时间成本下，从签名或公开信息中恢复出私钥。一旦私钥被恢复，攻击者便可以伪造任意签名，整个签名体系的安全承诺随之崩塌。

HAWK方案的技术背景

什么是HAWK签名方案

HAWK是一种较新的格基签名方案，其设计目标是在后量子安全的前提下，实现更小的签名体积和更高的运算效率。它建立在**模块化格（module lattices）**和特定代数结构之上，采用了类似FALCON的"哈希-签名"范式，但引入了不同的采样与陷门机制以追求性能优势。

格基密码学是后量子密码学中最重要的技术路线之一。所谓"格"，在数学上指的是n维欧几里得空间中由一组基向量的整数线性组合构成的离散点集。格上的困难问题——如最短向量问题（SVP）、最近向量问题（CVP）以及带错误学习问题（LWE）——被认为即使在量子计算机面前也保持计算困难性，这是其作为后量子密码基石的理论依据。与基于大整数分解（RSA）或离散对数（椭圆曲线）的传统方案不同，格问题目前没有已知的高效量子算法（如Shor算法）能够攻破。

在NIST后量子密码标准化进程中，格基方案一直是主力军。NIST自2016年启动后量子密码标准化项目，旨在遴选能够抵抗量子计算攻击的公钥加密和数字签名算法。经过多轮评估，2022年首批标准算法出炉：用于密钥封装的CRYSTALS-Kyber（现称ML-KEM）、用于数字签名的CRYSTALS-Dilithium（ML-DSA）和FALCON，以及基于哈希的备选方案SPHINCS+（SLH-DSA）。HAWK作为后续征集中提交的方案之一，凭借其紧凑性与速度成为一个有竞争力的候选者。然而，正是这种对效率的激进优化，往往可能在安全边界上埋下隐患。

FALCON（Fast-Fourier Lattice-based Compact Signatures over NTRU）是NIST已选定的格基签名标准之一，其核心技术是基于NTRU格的GPV签名框架，使用快速傅里叶采样从格上的高斯分布中高效生成签名。HAWK继承了类似的"哈希-然后-签名"范式，但在陷门构造和签名采样方面做了不同的设计选择——例如采用不同的格结构或简化的采样过程——以期获得更短的签名长度和更快的签名生成速度。然而，这些优化可能削弱了安全边界，正如本次攻击所揭示的那样。

密钥恢复攻击为何最为严重

对签名方案而言，攻击可分为多个层级：伪造单条消息签名、选择性伪造、通用伪造，以及最严重的密钥恢复。Anthropic此次公布的攻击直指最高级别——完整恢复签名私钥。这表明HAWK-256在特定实现或参数下，其底层困难问题的实际安全性可能被高估了。

在密码学的安全性证明框架中，签名方案通常在EUF-CMA（存在性不可伪造性，在自适应选择消息攻击下）模型中进行分析。密钥恢复攻击不仅打破了EUF-CMA安全性，更意味着整个密码系统的底层数学假设在给定参数下不成立——攻击者不再需要利用签名预言机或特殊的消息结构，而是能够直接从公开信息中提取出完整的私钥材料。

为何是Anthropic发起这项研究

值得玩味的是，此次研究由以大语言模型著称的AI公司Anthropic发布，而非传统密码学研究机构。这一现象背后有几层含义：

首先，头部AI公司正在深度投入底层安全基础设施的研究。随着AI系统承载越来越多的敏感数据与关键决策，其依赖的密码学组件必须经得起量子时代的考验。签名方案关乎模型权重签发、供应链完整性、API认证等诸多环节。在AI模型的部署链条中，数字签名用于确保模型权重未被篡改（模型完整性验证）、验证推理请求的来源合法性（API身份认证）、以及保护训练数据和微调过程的可追溯性。一旦签名方案被攻破，攻击者可能注入恶意模型权重或伪造合法的API调用，后果不堪设想。

其次，这可能也反映出AI辅助密码分析的兴起。现代密码攻击往往涉及大规模的格约减、参数搜索与优化，而机器学习方法在寻找攻击路径、优化算法参数方面展现出潜力。在格攻击中，核心工具是格基约减算法（如BKZ），其性能高度依赖于块大小、剪枝策略等参数的选择。机器学习方法可用于预测最优攻击参数、发现非显然的格结构弱点、以及加速搜索过程中的决策。此外，深度学习已被用于侧信道攻击中的信号提取、对称密码的差分特征搜索等场景。虽然目前无法确认Anthropic是否在此研究中运用了AI技术，但AI与密码分析的融合正成为一个不可忽视的趋势。

对后量子密码标准化的启示

效率与安全的永恒博弈

HAWK-256被攻破再次印证了密码学界的一条铁律：新方案需要经受长时间、多角度的公开攻击考验，才能建立可信度。那些为追求性能而做出激进设计选择的方案，尤其需要警惕。RSA、椭圆曲线密码历经数十年攻防才获得广泛信任，而后量子方案的历史相对短暂，隐患仍在不断被发掘。

密码学方案的成熟度通常与其经受公开审查的时间成正比。RSA自1977年提出至今已近半个世纪，期间经历了无数次攻击尝试和参数调整，才形成了今天公认安全的参数选择（如2048位或3072位密钥）。椭圆曲线密码学自1985年提出后，也经过了十余年的密集分析才被广泛采纳。相比之下，大多数格基方案的提出历史不超过十年，其安全参数的选择仍带有较大的不确定性——HAWK-256事件正是这一不确定性的具体体现。

密码敏捷性的重要性

对于工程实践而言，这一事件强化了"密码敏捷性（crypto agility）"的价值。系统设计时应避免与单一算法深度耦合，保留快速切换到备用方案的能力。当某个方案被证明不安全时，能够以最小代价完成迁移。

实现密码敏捷性的工程实践包括：将密码算法封装为可插拔模块、使用算法标识符而非硬编码具体实现、设计协议时预留算法协商机制、以及维护密码算法的生命周期管理策略。具体而言，TLS 1.3协议中的密码套件协商机制就是密码敏捷性的典型范例——客户端和服务器可以动态选择双方都支持的最强算法。在后量子迁移的背景下，IETF等标准组织也在积极推进混合模式（hybrid mode），即同时使用传统算法与后量子算法，确保即使其中一种被攻破，系统仍保持安全。

目前，业界普遍建议在生产环境中优先采用已通过NIST标准化的成熟方案（如ML-DSA、SLH-DSA），对HAWK这类仍在评估中的候选者保持谨慎。

现实影响评估与应对建议

需要客观看待此次事件的影响范围。HAWK-256尚未被大规模部署于生产系统，因此本次攻击不会造成即时的现实安全危机。它更多是学术与标准化层面的重要输入，帮助社区更准确地评估该方案的安全余量。

不过，这也向所有正在探索后量子迁移的组织敲响警钟：在选定PQC方案时，务必跟踪最新的密码分析进展，不要过早锁定尚未充分验证的候选算法。安全性建立在持续的攻防迭代之上，而非一纸初始声明。

对于正在规划后量子迁移的组织，以下建议具有较强的实操价值：第一，进行密码资产清点（cryptographic inventory），明确当前系统中所有密码算法的使用位置和依赖关系；第二，建立密码分析情报跟踪机制，关注NIST、IACR（国际密码学研究协会）等权威渠道发布的最新攻击成果；第三，在迁移路径设计中优先考虑混合方案，将后量子算法与经典算法组合使用；第四，为密码组件的热替换预留架构层面的支持。

结语

Anthropic对HAWK-256的密钥恢复攻击，是后量子密码学发展进程中的一个典型缩影：新方案不断涌现，又不断在公开审查中被检验乃至淘汰。这个过程虽然残酷，却正是密码学赖以自我完善的健康机制。

对于开发者与安全工程师而言，核心启示清晰而实用：拥抱后量子迁移的同时保持理性，优先选择经过充分验证的标准方案，并为未来可能的算法更替预留灵活性。密码学的世界里，谦逊与警惕永远是最好的护身符。

核心要点