Claude Mythos segna l'era della crittanalisi guidata dall'IA

Nei corridoi silenziosi della ricerca crittografica, è in atto un cambiamento che presto potrebbe riverberarsi attraverso ogni server farm e database sicuro del pianeta. I titoli dei giornali recenti sono stati travolti da affermazioni sensazionalistiche secondo cui l'ultimo modello di IA di Anthropic, Claude Mythos Preview, avrebbe “violato” l'Advanced Encryption Standard (AES) che protegge internet a livello globale. Sebbene la realtà sia più sfumata rispetto a un totale collasso della sicurezza digitale, il traguardo tecnico raggiunto da Mythos non è meno significativo. Segna la prima volta che un modello linguistico di grandi dimensioni ha dimostrato autonomamente la capacità di scoprire nuovi attacchi matematici contro versioni indebolite dei protocolli di cifratura più affidabili al mondo.

In qualità di ingegnere meccanico e giornalista che ha trascorso anni a seguire l'intersezione tra hardware complesso e il software che lo protegge, trovo che il sensazionalismo che circonda questi rapporti distragga dalla reale minaccia industriale. Non stiamo assistendo all'imminente morte dell'AES-256. Stiamo invece assistendo alla nascita della crittanalisi automatizzata: un set di strumenti in grado di ridurre drasticamente la vita utile della nostra attuale infrastruttura di sicurezza.

La meccanica del benchmark di Mythos

Nella ricerca di Anthropic, Claude Mythos Preview è stato incaricato di identificare le vulnerabilità in queste configurazioni a round ridotti. A differenza delle precedenti iterazioni di IA, che in gran parte riproducevano prove matematiche note presenti nei dati di addestramento, Mythos ha dimostrato una capacità di ragionamento "chain-of-thought" (catena di pensiero) che ha portato alla scoperta di percorsi di crittanalisi differenziale migliorati. Essenzialmente, l'IA ha esaminato le “S-box” matematiche della cifratura e ha trovato modi più efficienti per prevedere come i cambiamenti negli input avrebbero influenzato l'output. Non si tratta di un semplice attacco brute-force per “tentativi ed errori”, ma di una sintesi matematica di alto livello che in precedenza richiedeva un dottorato e mesi di lavoro manuale.

Perché la narrativa secondo cui “Internet è rotto” è prematura

È fondamentale chiarire che l'attuale iterazione di Claude Mythos non può oggi decriptare le vostre transazioni bancarie o intercettare le vostre chat private. La cifratura che protegge il web moderno utilizza tutti i 10, 12 o 14 round dell'AES, combinati con complessi protocolli di scambio chiavi come RSA o la crittografia a curve ellittiche (Elliptic Curve Cryptography). Il divario tra rompere un modello di prova a 6 round e il modello di produzione a 14 round è esponenziale. In termini di puro lavoro computazionale, stiamo parlando della differenza tra scalare una collina e raggiungere la luna.

La transizione dalla ricerca umana a quella automatizzata

La vera notizia qui è l'automazione del ricercatore. Tradizionalmente, la crittanalisi è stata un campo caratterizzato da colli di bottiglia. Esistono solo poche migliaia di esperti a livello globale in grado di indagare la profonda matematica dell'AES o dello SHA-3. Utilizzando un modello come Claude Mythos, un attore statale o un'organizzazione ben finanziata potrebbe teoricamente parallelizzare la ricerca di falle crittografiche. Immaginate diecimila istanze di un modello, ognuna che analizza una diversa permutazione di una cifra, lavorando 24 ore su 24, 7 giorni su 7, senza affaticarsi.

Questa capacità sposta la sostenibilità economica dell'attacco alla cifratura. Attualmente, è “economico” cifrare ed “estremamente costoso” decriptare. L'IA minaccia di invertire tale rapporto. Se il costo per scoprire una vulnerabilità zero-day in uno standard crittografico scendesse di diversi ordini di grandezza, il modello di fiducia fondamentale di internet inizierebbe a vacillare. È per questo che oltre mille dipendenti di colossi tecnologici come Google, Meta e la stessa Anthropic hanno recentemente inviato un “SOS” al governo degli Stati Uniti, avvertendo che lo sviluppo automatizzato dell'IA pone un rischio reale e attuale per l'infrastruttura di sicurezza nazionale.

Implicazioni industriali: Raccogli ora, decripta dopo

Per quelli di noi nel settore industriale, la preoccupazione immediata è una strategia nota come “Harvest Now, Decrypt Later” (HNDL), ovvero “raccogli ora, decripta dopo”. Gli avversari stanno già intercettando e archiviando enormi quantità di dati cifrati provenienti da reti governative e aziendali. Non possono leggerli oggi, ma scommettono sul fatto che entro cinque-dieci anni, un computer quantistico o un modello di IA sufficientemente avanzato, come un futuro discendente di Claude Mythos, sarà in grado di craccare la cifratura legacy.

Ciò rende la ricerca di Anthropic un appello per l'adozione della crittografia post-quantistica (PQC) e di standard più robusti e resistenti all'IA. Non possiamo più presumere che un algoritmo matematico “difficile da rompere” rimarrà tale per decenni. La rigidità meccanica dei nostri protocolli di sicurezza deve essere sostituita da un approccio agile e ad alta entropia che anticipi le analisi guidate dall'IA. Le aziende devono iniziare a sottoporre a audit i propri protocolli di archiviazione dati a lungo termine per garantire che le informazioni sensibili nel 2035 siano protette da qualcosa di più del semplice AES standard odierno.

L'IA può costruire anche serrature migliori?

Stiamo entrando in una fase in cui gli algoritmi di cifratura potrebbero dover essere progettati specificamente per essere “a prova di IA”. Ciò potrebbe comportare l'introduzione di non linearità o strutture matematiche particolarmente difficili da modellare o prevedere per le reti neurali. Proprio come disponiamo di funzioni “memory-hard” per impedire il cracking brute-force delle password, potremmo aver bisogno di funzioni “logic-hard” che resistano al tipo specifico di analisi a catena di pensiero dimostrata da Mythos.

Il controllo di realtà ingegneristico

Guardando al futuro di Claude e dei suoi concorrenti, dobbiamo mantenere una visione pragmatica. I titoli che suggeriscono che internet sia stato “rotto” sono una semplificazione eccessiva di un complesso risultato matematico. Claude Mythos non ha reso inutile la vostra VPN, né ha esposto i vostri numeri di carta di credito. Ciò che ha fatto è dimostrare che la torre d'avorio della crittografia non è più fuori portata per l'intelligenza artificiale.

Il ponte tra hardware complesso e mercato globale è costruito sulla fiducia. Tale fiducia è codificata nella matematica dell'AES. Se quella matematica è ora soggetta al rapido controllo iterativo dell'IA, la nostra risposta ingegneristica deve essere altrettanto rapida. Ci stiamo allontanando da un mondo di sicurezza statica verso un mondo di difese dinamiche ed evolutive. Per gli ingegneri e gli architetti dell'era digitale, il messaggio di Anthropic è chiaro: l'era della sicurezza “imposta e dimentica” è finita. La corsa agli armamenti è ufficialmente iniziata.