La risposta breve
Un modello di IA ha trovato una vera debolezza matematica in una cifra post-quantum candidata in circa 60 ore, e i suoi autori l'hanno ritirata dalla standardizzazione il giorno dopo. In una ricerca pubblicata il 28 luglio 2026, Anthropic ha riferito che il suo modello ristretto Claude Mythos Preview ha scoperto un «automorfismo non banale» — una simmetria interna del reticolo — in HAWK, uno schema di firma presentato al NIST. Il risultato dimezza all'incirca la forza effettiva della chiave di HAWK: per i suoi parametri di sfida a 256 bit, il costo di attacco atteso scende da circa 2^64 a 2^38.
Lo stesso modello ha anche inventato una nuova tecnica, che ha chiamato «Möbius Bridge», che rende un attacco esistente su AES-128 a round ridotti da 200 a 800 volte più veloce. Entrambi i risultati sono stati prodotti con una guida occasionale, di una riga, di un ricercatore che non era un crittografo, a un costo di API di circa 100.000 dollari. Il lavoro si inserisce nella crittanalisi che Anthropic e i suoi concorrenti stanno sondando man mano che i modelli di frontiera acquisiscono profondità di ragionamento.
Cosa ha davvero riferito Anthropic
HAWK è uno schema di firma digitale basato sui reticoli — uno dei candidati «aggiuntivi» che il NIST sta esaminando per ampliare la cassetta degli attrezzi post-quantum oltre i suoi primi standard finalizzati. Gli schemi di firma sono la parte della crittografia che dimostra che un messaggio, un aggiornamento software o un certificato è autentico. L'attrattiva di HAWK erano la velocità e le firme compatte; la sua sicurezza poggiava, come nella maggior parte degli schemi a reticolo, su problemi matematici difficili che né i computer classici né quelli quantistici dovrebbero risolvere in modo efficiente.
Secondo Anthropic, il modello ha individuato una specifica simmetria interna del reticolo di HAWK — un «automorfismo non banale» di cui ricercatori precedenti avevano dimostrato che avrebbe reso possibile un attacco se fosse esistito, ma che non avevano mai trovato. Sfruttarlo dimezza approssimativamente la dimensione di blocco necessaria per recuperare una chiave segreta equivalente. In termini concreti, il fattore di lavoro atteso per la sfida HAWK-256 scende da circa 2^64 a 2^38, e anche le stime del numero di gate per i set di parametri superiori calano nettamente. Il team HAWK ha confermato il risultato e, il 29 luglio 2026, ha ritirato lo schema dal processo di standardizzazione delle firme post-quantum aggiuntive del NIST.
Cosa non è stato rotto
I titoli invitano al panico, quindi leggete con attenzione le note in calce. HAWK era un candidato, non uno standard distribuito — nessun prodotto, browser o banca vi faceva affidamento. Il secondo risultato, la «Möbius Bridge», migliora un attacco meet-in-the-middle su AES-128 a 7 round eliminando una ricerca a 256 possibilità che un attaccante dovrebbe altrimenti effettuare. Il vero AES-128 gira su dieci round; la versione a sette round è un sacco da boxe di ricerca usato proprio per misurare i progressi, e persino questo attacco migliorato richiede circa 2^105 testi in chiaro scelti, il che è del tutto impraticabile. L'AES completo, la cifra dentro TLS, la cifratura del disco e i sistemi di pagamento, resta inviolato.
Vale anche la pena essere onesti sul ruolo umano. Il modello ha lavorato in gran parte in autonomia e ha generato dell'ordine di un miliardo di token in output nell'intero sforzo su AES, ma un ricercatore lo ha comunque guidato con una manciata di prompt sostanziali, e confermare che la matematica fosse corretta ha richiesto a due persone quasi un mese. È un assistente potente che comprime la scoperta, non un oracolo che consegna violazioni finite e verificate.
Perché la velocità è la vera notizia
Tolti i dettagli, il segnale riguarda tempo e costo. Il confronto rilevante non è «IA contro AES» ma «giorni contro anni». Una debolezza sopravvissuta a circa due anni di scrutinio da parte di crittografi specializzati è stata trovata da un modello generalista, guidato da qualcuno esterno al campo, in circa 60 ore e per circa 100.000 dollari. È il budget che un'azienda di medie dimensioni spende per un solo trimestre di un ingegnere.
Quando il costo per trovare debolezze strutturali cala così tanto, l'ipotesi prudente è che se ne troveranno di più, più in fretta — negli algoritmi candidati, nelle primitive più vecchie ancora annidate in produzione e nel modo in cui i team usano la crittografia più che nelle cifre stesse. I difensori ottengono lo stesso strumento, ed è la buona notizia, ma l'asimmetria favorisce chi lancia l'analisi per primo. Ecco perché «la nostra crittografia è standard, quindi siamo a posto» è la postura sbagliata; quella giusta è sapere esattamente cosa si esegue ed essere in grado di cambiarlo in fretta.
Cosa significa per i team US & UE
Per la maggior parte dei team la lezione pratica non riguarda affatto HAWK — riguarda la crypto-agility. Le organizzazioni che assorbiranno con calma notizie come questa sono quelle che trattano le scelte crittografiche come componenti sostituibili dietro un'interfaccia pulita, non come costanti fuse in una dozzina di servizi. Se sostituire uno schema di firma o un algoritmo di scambio chiavi significa toccare un modulo e ruotare le chiavi, un candidato ritirato è un martedì qualunque; se significa ri-progettare, è un progetto che non si può avviare in tempo.
C'è anche una lettura post-quantum diretta. Il NIST ha già finalizzato i suoi standard primari — ML-KEM per l'incapsulamento delle chiavi, ML-DSA e SLH-DSA per le firme — e questo episodio ricorda di costruire le migrazioni su questi algoritmi selezionati e ampiamente esaminati anziché scommettere su candidati non scelti. I team che detengono segreti a lunga durata dovrebbero anche valutare il rischio «harvest-now, decrypt-later»: dati esfiltrati oggi possono essere conservati in vista di una futura violazione, quindi l'orologio della migrazione per i sistemi sensibili è già partito. Per settori regolati come la FinTech, dove i revisori chiedono sempre più spesso la prontezza quantistica, un piano documentato sta rapidamente diventando un prerequisito.
Infine, usate questa capacità in modo difensivo. La stessa classe di modello che ha trovato la falla di HAWK può essere puntata sul vostro codice per segnalare primitive obsolete, configurazioni deboli e usi impropri delle librerie crittografiche — gli errori quotidiani che rompono molti più sistemi di quanto farà mai la matematica inedita. È un forte argomento per anticipare la revisione crittografica e integrare l'analisi assistita dall'IA in un vero audit di sicurezza anziché trattarla come un'azione una tantum.
Come agire già in questo trimestre
Non serve un team di crittografia per rispondere con buon senso. Servono un inventario e un piano.
- Costruite un inventario crittografico. Catalogate ogni algoritmo, chiave, certificato e versione di libreria attraverso i vostri servizi — dipendenze transitive comprese. Non si può migrare ciò che non si vede.
- Preferite gli standard finalizzati. Per ogni nuovo lavoro, scegliete gli ML-KEM, ML-DSA o SLH-DSA selezionati dal NIST rispetto a candidati non scelti, ed evitate di ancorare progetti critici per la sicurezza a schemi ancora in revisione.
- Progettate per l'agilità. Mettete le scelte crittografiche dietro un'interfaccia così che una primitiva possa essere sostituita e le chiavi ruotate senza ri-progettare il prodotto.
- Modellate il rischio harvest-now. Per i segreti a lunga durata, assumete che il testo cifrato catturato possa essere decifrato in seguito e date priorità a quei sistemi nell'ordine di migrazione.
- Puntate lo strumento su voi stessi. Aggiungete una revisione assistita dall'IA al vostro processo di sicurezza per intercettare configurazioni deboli e usi impropri delle librerie — poi fate verificare da un umano tutto ciò che segnala.
- Assegnate un responsabile. Nominate qualcuno che segua le indicazioni del NIST, i ritiri degli standard e il vostro stato di migrazione, così che il prossimo candidato ritirato sia un aggiornamento di stato, non un'esercitazione antincendio.
Nulla di questo è consulenza legale, e quanto lavoro comporti dipende da quanta parte del vostro stack riuscite già a vedere. Ma il segnale strategico è chiaro: l'IA ha reso la crittanalisi più veloce ed economica, e il vantaggio va ai team capaci di inventariare, standardizzare e sostituire — non a chi scommette che nessuno guarderà.
Domande frequenti
Cosa ha trovato Claude di Anthropic nella cifra HAWK?
In una ricerca pubblicata il 28 luglio 2026, Anthropic ha dichiarato che il suo modello Claude Mythos Preview ha trovato un automorfismo non banale — una simmetria interna del reticolo — in HAWK, uno schema di firma post-quantum presentato al NIST. Ricercatori precedenti avevano dimostrato che una tale simmetria avrebbe reso possibile un attacco se fosse esistita, ma non l'avevano mai trovata. Il risultato dimezza all'incirca la forza effettiva della chiave: per i parametri della sfida HAWK-256 il costo di attacco atteso scende da circa 2^64 a 2^38. Il modello ha raggiunto il risultato in circa 60 ore e il team HAWK ha ritirato lo schema dal processo di firme del NIST il 29 luglio 2026.
Questo rompe AES o la cifratura che le mie app usano oggi?
No. Il risultato su AES, una tecnica che Claude ha chiamato «Möbius Bridge», è da 200 a 800 volte più veloce dei metodi precedenti ma colpisce una variante di ricerca deliberatamente indebolita di AES-128 a 7 round, non la cifra completa a 10 round che protegge il traffico reale, e richiede ancora un numero impraticabile di testi in chiaro scelti. HAWK era solo uno schema candidato e non è distribuito da nessuna parte. Nulla che protegga dati in produzione è stato rotto.
Perché la crittanalisi assistita dall'IA conta se nulla è stato rotto?
Perché la tempistica si è compressa. Un modello di IA generalista, guidato da un non specialista e per circa 100.000 dollari di uso di API, ha trovato in pochi giorni una debolezza strutturale che una revisione esperta aveva mancato in circa due anni. Questo accorcia la finestra tra l'esistenza di una debolezza e la sua scoperta, il che aumenta il valore della crypto-agility: la capacità di sostituire gli algoritmi rapidamente senza ri-progettare un prodotto.
Cosa dovrebbero fare ora i team software sulla crittografia post-quantum?
Date priorità agli algoritmi standardizzati dal NIST già finalizzati — ML-KEM, ML-DSA e SLH-DSA — rispetto a candidati non selezionati come HAWK; costruite un inventario crittografico così da sapere dove risiedono ogni algoritmo e ogni chiave; e progettate per l'agilità in modo che una cifra possa essere sostituita dietro un'interfaccia anziché essere cablata. I team che gestiscono segreti a lunga durata dovrebbero anche considerare il rischio harvest-now, decrypt-later nella pianificazione delle migrazioni.
Possiamo usare l'IA in modo difensivo sulla nostra crittografia e sul nostro codice?
Sempre più sì. La stessa capacità che ha trovato la falla di HAWK può essere puntata sulle vostre implementazioni per far emergere configurazioni deboli, primitive obsolete e usi impropri delle librerie crittografiche. Non sostituisce la revisione esperta — verificare il risultato di HAWK ha richiesto comunque a due ricercatori circa un mese — ma è un potente moltiplicatore all'interno di un audit di sicurezza e un motivo per anticipare la revisione crittografica nel ciclo di vita del software.
Fonti
Anthropic — Discovering cryptographic weaknesses with Claude, 28 luglio 2026 (fonte primaria)
The Hacker News — Claude AI Just Cracked a Post-Quantum Test Scheme and Found a Faster 7-Round AES Attack, luglio 2026
The Quantum Insider — AI Finds New Weaknesses in Cryptographic Algorithms, Anthropic Says, 29 luglio 2026