HAWK, le candidat post-quantique fragilisé par l’IA

L’algorithme HAWK, candidat sérieux au titre d’algorithme de signature post-quantique, vient de subir un coup dur. Une équipe utilisant Claudius a démontré la possibilité de réduire de moitié la résistance théorique de cet algorithme en exploitant une symétrie géométrique jusqu’alors insoupçonnée.

Concrètement, cette découverte a permis de diviser par deux la complexité du problème de recherche de clé privée. Sur la variante HAWK-256, le passage de 2⁶⁴ à 2³⁸ opérations a rendu possible une extraction de clé secrète en seulement 3 heures et 42 minutes sur un serveur standard équipé de 96 cœurs.

Cette vulnérabilité rend l’algorithme caduc pour une utilisation pratique. Pour retrouver un niveau de sécurité acceptable, il aurait fallu doubler la taille des clés et des signatures, ce qui aurait compromis l’avantage principal de HAWK : sa légèreté de calcul.

Face à cette menace, les concepteurs ont immédiatement retiré HAWK du processus de sélection du NIST, rendant cette découverte particulièrement significative dans le domaine de la cryptographie post-quantique.

Une version réduite d’AES mise à mal par une technique innovante

AES, l’algorithme de chiffrement symétrique le plus répandu au monde, n’est pas épargné par les nouvelles capacités d’analyse des IA. Claudius a permis de découvrir une faille dans une version volontairement simplifiée d’AES-128, limitée à 7 tours au lieu des 10 officiels.

La technique employée, surnommée « Pont de Möbius », repose sur une attaque par rencontre au milieu optimisée. Cette méthode élimine une étape de recherche exhaustive nécessitant auparavant 256 itérations, accélérant l’exécution d’un facteur de 200 à 800.

Malgré cette avancée impressionnante, les experts rappellent que cette vulnérabilité reste strictement théorique et confinée au domaine académique. Les trois tours supplémentaires de la version standard d’AES rendent toute exploitation pratique hautement improbable.

L’ANSSI, dans ses dernières recommandations, confirme que l’utilisation de clés de 192 bits ou plus offre une sécurité suffisante, même dans un contexte post-quantique, avec un surcoût de performance minimal.

Des découvertes qui soulèvent des questions sur l’avenir de la cybersécurité

Ces révélations, bien que sans impact immédiat sur les systèmes en production, invitent à une réflexion plus large sur l’évolution des pratiques en matière de cryptographie. L’intervention de l’IA dans le processus de découverte de failles change la donne.

La découverte concernant HAWK a nécessité environ 60 heures de calcul autonome, pour un coût estimé à 100 000 dollars via les outils commerciaux d’Anthropic. Quant à l’attaque sur AES, Claudius a d’abord refusé de coopérer, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé. Après ajustement des consignes, le modèle a généré environ un milliard de jetons en plusieurs jours pour concevoir une nouvelle méthode d’attaque.

Ces résultats ont fait l’objet d’une vérification formelle approfondie par deux chercheurs pendant un mois, garantissant la rigueur mathématique des démonstrations et la validité du code généré. Cette étape cruciale a permis d’éliminer toute possibilité d’hallucination algorithmique.

Vers une automatisation de la découverte de failles ?

La communauté de la cybersécurité se trouve face à un nouveau défi : comment faire face à l’avalanche de vulnérabilités découvertes par les modèles d’IA ? Le processus traditionnel de validation humaine des résultats ne parvient plus à suivre le rythme.

Ces découvertes soulignent un déplacement du goulot d’étranglement : la capacité à trouver des failles n’est plus le problème, mais bien la capacité humaine à les valider et à y répondre efficacement. Cette situation inédite interroge sur l’avenir des pratiques en matière de sécurité informatique.

Anthropic précise que d’autres publications sont à venir, confirmant que ces avancées ne sont que la partie émergée d’un iceberg en constante expansion. La cybersécurité entre dans une nouvelle ère où l’intelligence artificielle joue un rôle central, tant dans la découverte que dans la résolution des vulnérabilités.