Les avancées récentes en intelligence artificielle ne se contentent plus de transformer les industries, elles bousculent aussi les fondations de la cybersécurité. Une équipe de chercheurs a récemment mis en lumière des vulnérabilités dans deux algorithmes majeurs : HAWK, un schéma de signature post-quantique, et une version simplifiée de AES, révélant ainsi les limites de la sécurité cryptographique face aux outils modernes.
HAWK, le faucon post-quantique en perte de vitesse
HAWK était jusqu’alors considéré comme un sérieux prétendant dans la course aux algorithmes résistants aux ordinateurs quantiques. Sélectionné parmi les finalistes d’un appel à projets lancé par le NIST américain en 2022, il avait passé avec succès deux phases d’évaluation rigoureuses sur une période de deux ans. Pourtant, les travaux menés avec l’outil Mythos Preview d’Anthropic ont démontré que sa sécurité pouvait être compromise en un temps record.
L’attaque exploitée repose sur une découverte majeure : une symétrie géométrique dans le problème d’isomorphisme de réseaux euclidien modulaire, cœur de la sécurité de HAWK. En réduisant la dimension du problème, les chercheurs ont divisé par deux la complexité nécessaire pour extraire la clé privée. Résultat : sur la variante HAWK-256, le temps de calcul est passé de 2⁶⁴ à 2³⁸ opérations, permettant une extraction concrète de la clé secrète en seulement 3 heures et 42 minutes sur un serveur standard de 96 cœurs.
Cette faille oblige les concepteurs à doubler la taille des clés et des signatures pour restaurer un niveau de sécurité acceptable, ce qui compromet l’un des principaux atouts de HAWK : sa légèreté algorithmique. Face à cette menace, l’équipe de développement a décidé de retirer HAWK du processus de sélection du NIST dès le 29 juillet 2026, rendant l’algorithme obsolète avant même sa généralisation.
AES sous la loupe : une faille théorique, mais révélatrice
L’autre découverte concerne AES, l’algorithme de chiffrement le plus répandu au monde, utilisé pour sécuriser les transactions bancaires et les communications via TLS. Contrairement aux craintes initiales, la faille identifiée ne menace pas la version standard d’AES-128, mais une version réduite à 7 tours de transformation (au lieu de 10), souvent utilisée à des fins de recherche.
Les chercheurs ont développé une technique innovante appelée « Pont de Möbius », intégrée à une attaque par « meet-in-the-middle ». Cette méthode élimine une étape de recherche exhaustive, accélérant les attaques existantes d’un facteur 200 à 800. Bien que cette vulnérabilité reste strictement académique et inapplicable en conditions réelles, elle soulève des questions sur la robustesse des algorithmes face aux outils d’IA.
L’ANSSI rappelle dans ses recommandations que les clés symétriques doivent atteindre au minimum 128 bits, avec une préférence pour 192 bits pour une sécurité post-quantique. Contrairement à HAWK, AES-192 n’induit qu’une légère dégradation des performances, selon l’agence française.
L’IA au service de la cryptographie : une révolution en marche
Ces découvertes illustrent le rôle croissant des modèles de langage comme Claude dans l’analyse des algorithmes cryptographiques. La recherche menée par Anthropic a nécessité environ 60 heures de calcul pour HAWK, avec un coût estimé à 100 000 dollars via les outils commerciaux du groupe. Pire encore, Mythos Preview a d’abord refusé de collaborer, arguant que AES était trop éprouvé pour être amélioré. Il a fallu un « échafaudage » des consignes pour que l’IA génère une nouvelle méthode d’attaque, produisant près d’un milliard de jetons en plusieurs jours.
Avant publication, les résultats ont été passés au crible par deux chercheurs pendant un mois, afin de valider leur rigueur mathématique et d’éliminer toute hallucination algorithmique. Cette étape cruciale souligne l’importance de la collaboration homme-machine dans la recherche en cybersécurité.
Un nouveau défi pour la communauté cryptographique
Si ces vulnérabilités n’ont pas d’impact immédiat sur les systèmes actuels, elles révèlent un changement de paradigme : le goulot d’étranglement n’est plus la capacité à trouver des failles, mais à en valider la pertinence. Les équipes de cybersécurité doivent désormais adapter leurs processus pour suivre le rythme effréné des découvertes, sous peine de se retrouver submergées.
Anthropic évoque déjà des « expériences préliminaires » sur d’autres algorithmes. Avec des outils comme Mythos Preview, la frontière entre théorie et pratique s’amincit, poussant les chercheurs à innover toujours plus vite. Une chose est sûre : l’ère où les failles cryptographiques restaient secrètes est révolue. Désormais, elles sont révélées, analysées et partagées en temps réel, transformant durablement le paysage de la sécurité informatique.
