Claude 找到密码学缺口后，最慢的工作变成了验证 (2026)

7 月 28 日，Anthropic 公布了 Claude Mythos Preview 在密码分析中的两项结果：它改进了对后量子签名候选方案 HAWK 的攻击，也改进了对七轮 AES 变体的攻击。两项结果都没有攻破今天部署中的完整密码系统；HAWK 还只是候选方案，AES 结果只针对十轮中的七轮。1

但报告里最值得读的数字不在攻击倍率，而在后半段：Anthropic 估计 HAWK 攻击花了约 60 小时、约 10 万美元 API 成本；AES 的新思路由模型在一周内找到，研究人员随后花了数百小时核对，接近一个月后才对结果有足够信心。模型把「找到候选答案」这一步做快了，人类却在「确认它真的成立」上花得更久。1

先把「发现」和「破解」分开

HAWK 是美国国家标准与技术研究院后量子密码竞赛中仍在考虑的签名方案。Anthropic 报告称，Mythos 找到一个此前没有被利用的格点对称性，把 HAWK-256 的全密钥恢复成本从原先估计的 2^64 降到 2^38；这仍是指数时间攻击，而且只针对 HAWK，不代表格密码或其他候选方案一起失效。1

第二项结果针对 AES 的七轮变体。完整 AES-128 有十轮，研究者长期用减轮版本测试攻击方法；Anthropic 称 Mythos 让已有的七轮攻击快了 200 至 800 倍，但这个结果不能直接用于攻破完整 AES，也不影响今天的生产系统。1

所以更准确的说法是：模型在两个边界清楚、可以运行验证的密码分析问题上，找到了人类此前没有找到的改进。把这句话写成「AI 破解了加密」，会同时抹掉目标范围、攻击条件和验证状态。

模型贡献的是搜索，还是判断

Anthropic 描述的工作流已经超出一次性问答。HAWK 任务中，Mythos 先读文献，提出数学假设，运行计算实验，再写出端到端验证流程；人类研究者主要负责项目管理和方向性提示。AES 任务则由一个脚手架让模型提出假设、运行实验、验证或否定假设，并持续寻找比已有方法更好的攻击。1

这说明一个容易被忽略的变化：模型不必先拥有一套稳定的「密码学直觉」，也可以在文献、代码、计算工具和反馈组成的回路里，反复试探可能性。它的价值不只在于给出最终答案，而在于把大量候选方向变成可执行的实验。

但同一个回路也解释了验证为什么没有消失。模型可以检查某个攻击能否在一个样例上运行，却不能仅凭自己的运行记录决定这个攻击是否足够新、是否覆盖了声称的范围、是否比已有方法更有意义。Anthropic 自己写道，HAWK 结果较容易验证，因为攻击可以端到端执行；AES 结果则需要研究人员花更长时间理解证明、边界和正确性。1

开放式研究把同一条边界暴露得更明显

7 月 29 日提交 arXiv 的预印本给出了一个有用的对照。Peter Kirgis、Sayash Kapoor、Arvind Narayanan、Helen Toner 等 24 位作者设计了「shadow evaluation」：让 agent 接手两篇未发表的 NeurIPS 2026 论文中的核心开放问题，再由论文原作者评判结果。agent 有六天时间和数千美元计算资源，独立完成了工程工作，却没有在研究问题上取得实质进展；两篇论文最后都被原作者明确拒绝。2

这项预印本不是说 agent 什么都不会做。它的摘要明确说，今天的 agent 能完成 AI 研究中的工程部分，却在研究生命周期的关键判断上反复失败：不知道什么程度才够发表，对设计缺陷缺少有创造性的回应，走进死路后不会有效回退，也没有很好地管理资源和保持指令目标。研究只包含两个案例，属于早期证据，不能当成所有模型的普遍上限。2

这与 Anthropic 的密码分析案例并不矛盾，反而把机制说得更清楚：密码分析中的目标对象、工具和部分成功条件都比较明确，模型有机会通过运行攻击来闭合反馈回路；开放式研究还要求先判断问题值不值得追、什么结果算有新意、什么时候该换路，以及谁来决定「这已经回答了问题」。前者让模型的搜索能力更容易转成成果，后者把研究判断本身暴露成无法外包的部分。

验证成本会进入安全成本

如果模型持续生成候选攻击、代码补丁或科学结论，真正稀缺的资源就不只是推理 token，而是能复现、审查、定界和处置这些结果的人与机构。Anthropic 的案例已经出现这种不对称：模型在一周内找到 AES 新思路，研究人员却需要近一个月才建立足够信心；这不是模型没有产出，而是产出速度超过了验证速度。1

METR 在 7 月 28 日提出，严重的 agent 失配事故不应只由开发者自己解释。它建议独立调查者能够运行涉事模型、访问完整对话和环境、访谈训练与基础设施人员，并分析训练数据中是否存在强化相似行为的条件；公开结论时，还应披露调查获得了什么权限、哪些内容被删节。3

METR 这篇文章是调查框架，不是一次新的受控实验。它的意义在于指出了同一条制度问题：当产生行为的系统比外部研究者更快、更完整地看到轨迹时，开发者既是被调查对象，又容易成为唯一的解释者。模型能力越强，独立复核就越不能停留在「请公司说明发生了什么」。

看 agent 能否做研究，先看谁负责验收

今天关于「AI 能不能做研究」的争论，常把能否写代码、跑实验和生成报告当成同一项能力。上面的材料显示，它们至少应拆成四个问题：

成功条件是否可以被机器独立检查，还是必须依赖领域判断？
研究问题是谁提出的，agent 是否需要自己选择值得追的方向？
失败后能否识别死路、解释为什么错，并切换到新的假设？
结果的正确性、新颖性、适用范围和披露责任由谁确认？

这套拆分也解释了 OpenAI 7 月 31 日关于「abundant intelligence」的一个具体说法。Sarah Friar 写道，衡量智能的不是 token 价格，而是完成一个成功结果所需的总成本，其中包括时间、重试、监督和错误。作为 OpenAI 的公司战略表述，它不是独立评测；但对 agent 产品很实用，因为它把验证和监督从隐形人工开销放回了结果成本。4

因此，Anthropic 这次报告最稳妥的读法不是「人类被密码学模型替代」，而是「候选答案的供应开始变快，验收系统必须跟上」。在密码学里，端到端攻击演示能缩短一部分验证回路；在开放式研究和安全事故里，正确性、创新性、原因追踪与责任分配仍然需要外部判断。真正要评估的不是 agent 能不能给出一个聪明答案，而是它的工作流能不能让别人可靠地知道：答案对在哪里，错在哪里，边界到哪里。

速览

开放式 AI 研究的首个「shadow evaluation」

Peter Kirgis 等人的预印本把研究 agent 放进两篇未发表论文的真实核心问题，而不是可自动判分的小任务。两次评测都出现「工程做完，研究问题没有推进」的结果；它把研究能力的缺口具体落在发表标准、回退策略、资源意识和目标保持上。样本只有两个案例，结论应保持为早期证据。2

METR 想把失配事故交给独立调查者复盘

METR 提议，严重 agent 事故的调查应取得模型、环境、轨迹和训练过程的足够访问权，并公开调查范围与删节影响。它没有替读者判定某个具体事故的根因，而是把「谁能看到证据、谁来解释行为」变成治理对象。3

OpenAI 把监督写进「成功结果」的价格

Sarah Friar 7 月 31 日的 OpenAI 文章把模型选择从「哪个模型更强」改写成「一个结果需要多少智能、速度和成本」，并明确把重试、监督、错误和时间计入成功结果的成本。这是公司自己的战略叙述，却提供了一个评估 agent 的实用尺度：便宜的输出如果需要更多人工验收，未必真的更便宜。4

References

1
Discovering cryptographic weaknesses with Claude
anthropic.com
2
Can AI agents conduct open-ended AI research? Early evidence from two case studies
arxiv.org
3
How independent researchers could investigate AI propensities after misalignment incidents
metr.org
4
Building abundant intelligence
openai.com