Im Zentrum der HAWK-Arbeit steht HAWK-256, ein von den NIST-Sicherheitsparametern HAWK-512 und HAWK-1024 getrennter Challenge-Parameter. HAWK ist unter den neun Kandidaten, die NIST im Mai 2026 in die dritte Runde seines zusätzlichen Verfahrens für Post-Quanten-Digitalsignaturen weitergelassen hat, das einzige gitterbasierte Verfahren. Laut Anthropic bleibt der neue Angriff exponentiell; er sei weder ein Bruch in polynomialer Zeit noch auf andere NIST-Signaturkandidaten oder Gitterkryptografie im Allgemeinen übertragbar.
Die direkte Schlüsselerholung bei HAWK ist ein Fall des Suchmoduls des Gitterisomorphieproblems. Ein Angreifer muss dabei eine verborgene Transformation zwischen zwei Gittern rekonstruieren. Eine Arbeit von Daniël van Gent und Ludo Pulles hatte bereits gezeigt, dass ein nichttrivialer Automorphismus, also eine Symmetrie, die das Gitter erhält, die HAWK-Schlüsselerholung darauf reduzieren würde, in einem Gitter von ungefähr halber ursprünglicher Dimension einen kurzen Vektor zu finden. Dieser Weg eröffnete den Angriff, beeinflusste HAWK damals aber laut den Autoren noch nicht. Anthropic erklärt nun, Mythos Preview habe den zusätzlichen Automorphismus gefunden, der diesen Pfad ausnutzbar macht.
Der daraus abgeleitete HAWK-n-Angriff konstruiert nach Darstellung der Forscher aus dem öffentlichen Schlüssel ein sogenanntes τ-Kozykel-Gitter. Anschließend kommen Gitterreduktion und Siebverfahren zum Einsatz, um kurze Vektoren zu finden und daraus eine geheime Basis zu rekonstruieren, mit der sich Nachrichten für den ursprünglichen öffentlichen Schlüssel signieren lassen. Die von Anthropic veröffentlichte Implementierung prüft den wiedergewonnenen Schlüssel, indem sie eine Nachricht signiert und mit der NIST-Referenzimplementierung verifiziert. Den ursprünglichen 96-Byte-Seed des geheimen Schlüssels stellt sie nicht wieder her; stattdessen erzeugt sie einen 592 Byte großen dekodierten Schlüssel mit funktional gleichwertigem Signaturmaterial.
Der veröffentlichte Code unterstützt ausschließlich HAWK-256 und weist jede Eingabe zurück, die nicht HAWK-256 entspricht. Im Repository liegen zwei öffentliche Schlüssel, die Anthropic nach eigenen Angaben erfolgreich angegriffen hat; zudem lassen sich neue HAWK-256-Schlüssel erzeugen und testen. Das Unternehmen schätzt, dass der erwartete Arbeitsfaktor für die Schlüsselerholung bei HAWK-256 von 2^64 auf 2^38 sinkt. In einer Mitteilung im NIST-Forum vom selben Tag bezifferte Anthropic auch niedrigere Schaltnetz-Schätzungen für HAWK-512 und HAWK-1024, bezeichnete beide größeren Parameter aber weiterhin als praktisch nicht angreifbar. Ob NIST oder die Einreicher von HAWK darauf mit Änderungen an Parametern, Sicherheitsannahmen oder dem Status im Standardisierungsprozess reagieren, war laut öffentlichem Stand nicht ersichtlich.
Das zweite Ergebnis betrifft AES-128 in einer auf sieben Runden reduzierten Variante. Solche Untersuchungen reduzierter Rundenzahlen sind in der Kryptanalyse üblich, weil sie den Sicherheitspuffer bis zur vollständigen Konstruktion messen. Der Angriff setzt voraus, dass ein Gegner etwa 2^105 gewählte Klartexte erhält, die unter einem festen unbekannten Schlüssel verschlüsselt wurden. Schon diese Bedingung rückt den Angriff laut Anthropic weit aus realen Einsatzszenarien heraus.
Ausgangspunkt ist ein bestehender Meet-in-the-Middle-Angriff, bei dem ein Schritt 256 mögliche Werte durchprobieren musste, bevor die Tabellensuche beginnen konnte. Mythos entwickelte dafür laut Anthropic einen invarianten Fingerabdruck, den das Unternehmen Möbius Bridge nennt. Weil sich dieser Fingerabdruck über den geratenen Wert hinweg nicht verändert, kann die 256-fache Aufzählung entfallen. Nach Einrechnung der Kosten der Transformation und weiterer Optimierungen ergibt sich laut Anthropic eine Beschleunigung um den Faktor 200 bis 800. Die veröffentlichte Artefaktsammlung enthält Code für alle im AES-Papier genannten Experimente.
Ein vollständiger Ende-zu-Ende-Angriff auf echtes siebenrundiges AES-128 wurde dabei nicht ausgeführt. Stattdessen demonstriert der Code eine vollständige Schlüsselerholung als Black-Box bei einer kleineren AES-ähnlichen Chiffre mit 24-Bit-Schlüssel. Für reales siebenrundiges AES-128 misst Anthropic einzelne Tabelleneinträge und Online-Kandidaten; getrennte Implementierungen in C, Python und Rust prüfen die Teilbehauptungen, aus denen das Unternehmen die Gesamtkosten des Angriffs hochrechnet.
Anthropic veröffentlichte beide Ergebnisse zusammen mit zwei technischen Arbeiten und Reproduzierbarkeitsartefakten. Nach Angaben des Unternehmens führte Mythos Preview die Forschung weitgehend selbst aus, während Menschen Projektrichtung, Rechenressourcen und umfangreiche Verifikation lieferten. Für HAWK und AES nennt Anthropic eine Entwicklungszeit von rund 60 Stunden in einer Multi-Agenten-Umgebung und API-Kosten von etwa 100.000 US-Dollar. Der eigentliche Engpass sei aber die Prüfung gewesen: Zwei Forscher hätten fast einen Monat und mehrere hundert Stunden benötigt, um Vertrauen in die Korrektheit zu gewinnen. Im NIST-Forum dankte Anthropic dem HAWK-Team für Hilfe bei der Verifikation und Rückmeldungen. Eine unabhängige Reproduktion der HAWK-256-Erholung fand The Hacker News bei seiner Prüfung nicht; im öffentlichen Diskussionsfaden gab es zum Prüfzeitpunkt keine Antworten.