L’ingénierie civile sait démontrer qu’un ouvrage tient : on calcule les charges, la démonstration précède la mise en service. La cryptographie ne dispose de rien de tel. Aucun des algorithmes qui protègent les paiements, les messageries et les archives d’État n’est accompagné d’une preuve de solidité. Ce qui en tient lieu est un constat en creux : des spécialistes ont cherché vingt ou trente ans à les casser sans y parvenir.
Une telle garantie mesure moins la robustesse d’une construction que la quantité d’attention experte qu’elle a absorbée. Les spécialistes capables d’une cryptanalyse sérieuse forment une communauté restreinte, dont les travaux avancent au rythme de quelques grandes conférences annuelles, et les schémas récents n’en captent qu’une part infime. La rareté de l’examen fait partie du modèle de sécurité sans y être écrite.
Le 28 juillet 2026, Anthropic a rendu publiques deux fragilités mathématiques jusque-là ignorées, mises au jour par Claude Mythos Preview dans deux algorithmes de chiffrement, au prix d’environ 100 000 dollars de calcul chacune. C’est la première fois qu’un modèle atteint le plan de la conception d’un algorithme et non celui de son codage : le voilà « capable de trouver des failles mathématiques dans les algorithmes eux-mêmes », se félicite l’entreprise. Suivront le dispositif de recherche, le candidat post-quantique touché, la portée exacte du second résultat et les calendriers que l’affaire percute.
Un billet, deux articles techniques et un milliard de jetons
Le texte de la Frontier Red Team ne vient pas seul : deux articles techniques, un dépôt de code et 76 pages de chaîne de pensée brute du modèle l’accompagnent. Les auteurs humains sont nommés, Zygimantas Straznickas et Stephen A. Weis pour le premier résultat, Milad Nasr et Nicholas Carlini pour le second, deux figures connues du domaine. Le travail s’est fait dans un harnais du type de Claude Code, des agents ouvriers collaborant dans un bac à sable.
Sur le premier problème, un seul chercheur humain a piloté le modèle en semi-autonomie pendant 60 heures ; sur le second, il a fallu trois jours de découverte active et de l’ordre d’un milliard de jetons de sortie. L’entreprise se prévaut d’une divulgation coordonnée menée dans les règles de l’art du secteur : les concepteurs ont été avertis dès juin 2026, et des responsables gouvernementaux américains ont reçu des copies anticipées.
HAWK, la signature courte qui devait diversifier le post-quantique
HAWK appartient à la famille des signatures numériques, ces mécanismes qui attestent l’origine d’un document et garantissent que personne ne l’a retouché en chemin. Né en 2022, il se présente comme un candidat post-quantique : sa promesse est de tenir face aux attaques que rendront possibles les ordinateurs quantiques, attendus d’ici quelques années.
Un concours annexe et une candidature européenne
Le concours dont il relève n’est pas le principal : les trois standards post-quantiques centraux ont été publiés en août 2024, et HAWK court dans un appel supplémentaire ouvert en 2022 pour diversifier les hypothèses. Depuis quatre ans, l’agence américaine y traque les constructions capables de survivre à la machine quantique. Après deux ans d’examen, un rapport du 14 mai 2026 a retenu neuf candidats, dont HAWK, seul schéma à réseaux ; l’attaque tombe dix semaines plus tard.
Le prix exact de la compacité
Proposé à ASIACRYPT 2022 par Léo Ducas, Eamonn Postlethwaite, Ludo Pulles et Wessel van Woerden, HAWK repose sur le problème d’isomorphisme de réseaux et vend sa simplicité : ni arithmétique flottante, ni rejection sampling, contrairement à Falcon. Sa spécification porte dix signatures, de NXP au CWI d’Amsterdam en passant par PQShield et Bordeaux. HAWK-512 tient dans 555 octets de signature, contre 2 420 pour le standard ML-DSA-44 : 4,4 fois plus court, tout l’intérêt du schéma.
L’involution que personne n’avait essayée
Le corps cyclotomique de HAWK possède un groupe de Galois non cyclique, contenant trois involutions : la conjugaison complexe, l’application envoyant une racine de l’unité sur son opposée, et leur composée. Toute la cryptanalyse antérieure, largement européenne et française, n’avait utilisé que la première ; le modèle a utilisé la deuxième. Le cocycle associé à cette seconde symétrie est un vecteur le plus court d’un réseau calculable depuis la seule clé publique, que l’on sait réduire en dimension moitié. Aucun ingrédient n’est exotique, et c’est ce qui rend le résultat sérieux.
Ce que la réduction fait aux paramètres
La taille de bloc nécessaire passe de 211 à 129 pour HAWK-256, de 452 à 257 pour HAWK-512, de 940 à 513 pour HAWK-1024, et le coût de récupération de clé chute de 2^150 à 2^108 portes logiques pour HAWK-512, de 2^288 à 2^182 pour HAWK-1024. La réduction vaut pour tous les jeux de paramètres : seule la démonstration pratique a porté sur HAWK-256, qui n’est d’ailleurs pas une soumission de niveau de sécurité mais un jeu dit challenge.
Aucun chercheur n’avait repéré ce raccourci, qui rend la clé secrète nettement plus accessible : deux clés publiques HAWK-256 sont tombées intégralement en quelques heures, sur un serveur unique. Le remède connu consiste à doubler la taille des clés, autrement dit à sacrifier presque tout ce qui rendait le schéma attirant ; et comme l’entaille porte sur l’hypothèse mathématique qui fonde sa sécurité, elle affaiblit sa position face aux algorithmes concurrents.
Un an plus tôt, des humains avaient nommé la porte
Le 22 mai 2025, Daniël M. H. van Gent et Ludo N. Pulles publiaient un article dont le titre disait tout, HAWK: Having Automorphisms Weakens Key : la connaissance d’un automorphisme non trivial divise par deux les bits de sécurité du schéma. Ludo Pulles est co-concepteur de HAWK. Le rapport du NIST de mai 2026 appelait lui-même à approfondir cette hypothèse dans les corps cyclotomiques, jugeant les techniques connues inapplicables. La serrure était décrite et publiée ; il manquait la clé, que la machine a fournie en 60 heures.
L’AES, un record de treize ans amélioré de 2,7 bits
La seconde vulnérabilité vise l’AES, l’algorithme le plus répandu de la planète dès qu’il s’agit de rendre illisible un fichier, une conversation ou un mot de passe. Adopté au tournant des années 2000, il couvre aussi bien les secrets d’État que les virements interbancaires. Le modèle a commencé par se dérober, estimant la cible hors de portée ; il aura fallu trois jours d’insistance pour qu’il formule enfin une attaque nouvelle, baptisée pont de Moebius.
Ce que le pont exploite dans la boîte S
La boîte S de l’AES n’est pas une permutation aléatoire : c’est une inversion dans un corps fini à 256 éléments suivie d’une transformation affine. Le modèle construit une empreinte invariante sous cette action affine, ce qui supprime la nécessité de deviner un neuvième octet de clé et fait passer le nombre d’itérations de la boucle de 2^96 à 2^88, un facteur 256 exact que trois optimisations rendent effectif.
Trois métriques, trois récits du même résultat
La ligne de base n’est pas l’AES complet mais l’attaque de Patrick Derbez, Pierre-Alain Fouque et Jérémy Jean, à EUROCRYPT 2013, qui casse sept tours d’AES-128 avec 2^105 textes clairs choisis, 2^99 opérations et 2^90 de stockage. C’est ce 2^99 qui bouge. L’attaque est bien plus rapide qu’avant, mais le facteur annoncé ne vaut qu’à budget de données constant : sur la métrique standard, le maximum du triplet données-temps-mémoire, l’amélioration va de 2^99 à 2^96,3, soit 2,7 bits.
Rien n’est tombé : l’AES tient debout, avec une marge simplement rognée, et le résultat ne mord que sur une version tronquée du chiffre, sept tours au lieu de dix. La modestie du gain a un précédent : en 2002, Courtois et Pieprzyk annonçaient casser l’AES complet par cette même structure algébrique, et Vincent Rijmen, co-concepteur de Rijndael, y voyait un rêve plutôt qu’une attaque. « Aucun de ces résultats n’a d’impact pratique sur les systèmes informatiques actuels ; aucun logiciel en production ne devra être modifié », déclare Anthropic, même si ces faiblesses peuvent théoriquement « mettre en danger les données de milliards d’utilisateurs ».
Le goulot d’étranglement passe de la découverte à la preuve
Le plus important n’est pas l’attaque elle-même. Pour se convaincre qu’elle était juste, les auteurs humains ont formalisé en Lean la borne de collision de l’empreinte, mené un test empirique sur 2^32 clés et exécuté l’attaque complète sur un chiffre miniature. Ils écrivent avoir passé des centaines d’heures à valider ce que le modèle a mis des dizaines d’heures à trouver, et concluent qu’une vérification automatique leur aurait fait gagner un ordre de grandeur.
Le même déplacement, un étage plus bas
Confié à un cercle restreint de partenaires, la National Security Agency au premier rang, et déployé dans le projet Glasswing, le modèle a débusqué une faille vieille de 29 ans dans Squid, l’un des serveurs proxy web les plus répandus au monde, une autre vieille de 27 ans dans OpenBSD, une faille Linux de neuf ans touchant seize millions d’ordinateurs, et le noyau a corrigé plus de quatre cents failles en vingt-quatre heures. Mais le bilan de mai 2026, qui recense plus de dix mille failles hautes ou critiques, décrit des vulnérabilités trouvées, non corrigées : le correctif est le nouveau goulot d’étranglement.
Vingt-quatre heures de réactions et des calendriers à tenir
Stephen Weis a posté l’attaque sur la liste pqc-forum du NIST le 28 juillet à 19 h 06, en précisant qu’elle avait été trouvée par Claude sous encadrement humain minimal ; Daniel Apon répondait à 23 h 54 que le résultat tenait indépendamment de son côté, et au petit matin du 29 juillet, Hengyi Luo publiait un travail parallèle généré par un autre modèle. Markku-Juhani O. Saarinen a appelé à exiger des preuves vérifiables par machine, et une contributrice a posé la question dont dépend le sort du schéma : une augmentation des paramètres préserverait-elle les avantages de HAWK ?
Le cryptographe Matthew Green sépare les deux résultats, celui sur HAWK comptant réellement quand celui sur l’AES n’est qu’un incrément, et rappelle que les modèles excellent aussi à produire des résultats qui ont l’air vrais et induisent en erreur. Un banc d’essai publié le 20 juillet chiffre la frontière : sur 191 tâches, cinq modèles de pointe cassent 65 à 86 % des primitives déjà cassées en pratique, mais seulement six à douze schémas à pleine force.
Qu’un candidat s’effondre pendant sa standardisation n’a rien de rare : Rainbow en février 2022, SIKE cinq mois plus tard. Ce que la publication met en mouvement, ce ne sont pas les banques mais des calendriers administratifs. L’ANSSI impose l’hybridation, combinaison d’un algorithme pré-quantique éprouvé et d’un post-quantique, depuis un avis d’avril 2022 mis à jour en janvier 2024 ; dès 2027, les certifications comporteront des obligations post-quantiques, et l’agence juge qu’après 2030 il ne sera plus raisonnable d’acquérir un produit sans. La feuille de route européenne du 11 juin 2025 demande un plan national avant fin 2026.
Les deux découvertes ne pèsent pas le même poids, et l’annonce commune brouille la différence. Sur l’AES, un record académique vieux de treize ans a été battu de 2,7 bits sur une version réduite : rien de ce qui chiffre un virement bancaire ce soir n’en est affecté, ni aucune infrastructure reposant sur ce standard. Sur HAWK, une hypothèse de sécurité a été entamée au moment précis où le schéma venait d’être promu au tour suivant d’une normalisation, et le correctif connu coûte l’avantage qui justifiait sa candidature.
Le groupe américain souligne que l’IA est en mesure de « détecter des failles dans des conceptions cryptographiques qui avaient échappé aux chercheurs pendant des années », estime qu’il faut passer au crible les « systèmes modernes », qui n’ont « pas reçu l’examen qu’ils méritent », et s’attend à ce que « des faiblesses importantes » soient dénichées par des modèles dans un avenir proche. Il existe pourtant un marché mature du bug bounty pour les failles d’implémentation, et rien de comparable pour les faiblesses de conception.
La question n’est donc pas de savoir si le chiffrement tient, mais si les rythmes institutionnels tiennent. Un processus calé sur des tours de deux ans suppose que la cryptanalyse avance au pas de la recherche universitaire ; si le prix d’une attaque devient une facture de calcul, les schémas qui n’ont jamais reçu qu’un examen distrait deviennent tous relisibles, y compris par ceux qui ne publieront rien de ce qu’ils y auront trouvé. Reste à savoir à quelles conditions une communauté accepte de croire ce qu’une machine produit.
Aller plus loin
Le récit du dispositif tient dans le billet Discovering cryptographic weaknesses with Claude, qui détaille le harnais multi-agents et la procédure de divulgation, mais surtout des résultats peu repris : une attaque pratique sur LEA réduit à treize tours, une récupération de clé sur Serpent-128 réduit à six tours, des gains inférieurs à un facteur 10 sur Salsa20, Poseidon et SHA-1.
La démonstration s’examine dans les vingt-neuf pages de HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1, où figurent la construction du réseau cocycle, le tableau des coûts par jeu de paramètres, le théorème qui délimite les conducteurs vulnérables, et des remerciements sur l’attribution des idées, que le travail assisté par IA complique.
Le second article, Cryptanalysis of 7-Round AES via the Algebraic Structure of its S-box, instruit autant par sa forme que par son contenu : quarante-cinq pages exposant la généalogie de l’attaque depuis 2008, la preuve formalisée, et une section sur ce que devient la recherche quand l’humain n’y est plus que vérificateur.
Il faut un estomac de lecteur pour affronter Mythos Preview’s Chain of Thought in Discovering the AES Moebius Bridge, qui livre 76 pages du raisonnement brut du modèle pendant la découverte, réécrites pour la lisibilité par le modèle lui-même. On y voit à quoi ressemble une trouvaille mathématique produite par une machine, plutôt que d’en lire le compte rendu policé.
C’est dans le fil pqc-forum consacré à la récupération de clé HAWK que la réaction de la communauté se lit en direct et horodatée, entre vérification indépendante en quelques heures, travail concurrent généré par un autre modèle et appels à exiger des preuves vérifiables par machine autant que des standards d’évaluation.
Pour mesurer ce que la machine a apporté et ce qu’elle n’a pas inventé, il faut lire HAWK: Having Automorphisms Weakens Key, publié un an plus tôt par van Gent et Pulles, qui démontrait la conséquence d’un automorphisme non trivial sans en exhiber aucun, et dont l’un des signataires est co-concepteur du schéma visé.
Le contexte institutionnel se trouve dans le rapport NIST IR 8610 sur le deuxième tour des signatures additionnelles, paru dix semaines avant l’attaque : il retenait neuf candidats, expliquait pourquoi HAWK était le seul schéma à réseaux conservé et appelait déjà à approfondir l’hypothèse que l’attaque est venue entamer.
La capacité réelle des modèles, par opposition à l’exploit isolé, se mesure dans CryptanalysisBench: Can LLMs do Cryptanalysis?, banc d’essai de 191 tâches publié le 20 juillet : très bons scores sur les primitives déjà cassées, effondrement sur les schémas à pleine force, soit l’écart exact entre reproduire et découvrir.
Le précédent le plus parlant reste Breaking Rainbow Takes a Weekend on a Laptop, où Ward Beullens démolissait en 53 heures, sur un portable, un finaliste du concours NIST. Mis en regard des 60 heures qu’il a fallu à un modèle en juillet 2026, ce texte dit mieux que tout commentaire ce qui est nouveau et ce qui ne l’est pas.
Les conséquences concrètes se lisent enfin sur la page Cryptographie post-quantique de l’ANSSI, qui expose la doctrine française : hybridation obligatoire, obligations post-quantiques dans les certifications dès 2027, acquisition d’un produit sans cryptographie post-quantique jugée déraisonnable après 2030.
Lus ensemble, ces documents décrivent un basculement plus étroit et plus profond qu’annoncé. Aucun système en production n’est menacé, et l’un des deux résultats n’aurait valu qu’une communication de conférence s’il avait été signé par un doctorant. Ce qui change tient dans l’économie du geste : un examen que la discipline rationnait faute de spécialistes devient une dépense arbitrable, et la certitude qu’un algorithme est solide parce que personne n’a rien trouvé perd la seule chose qui la rendait crédible, la rareté de ceux qui cherchaient.