每隔几个月，就有一条「AI 破解了加密」的新闻刷屏。这一次的主角是 Claude Mythos：7 月 28 日，Anthropic 宣布，这个大模型在密码分析上搞出了新发现。消息传开，「AI 攻破加密」「密码学要完」的标题开始出现在各个信息流里。8 月 1 日，密码学家 JP Aumasson 在自己的博客上写了一篇降温文，标题就叫《大模型攻不破对称加密》。帖子被转到程序员社区 Lobsters，得了 8 票、0 条评论——懂行的人看完觉得，没什么可争的。
图：源文配图，老彼得·勃鲁盖尔《叛逆天使的坠落》（局部）。来源：bfswa.blog
先看看这次新闻里到底发生了什么。Anthropic 的成果有两项。第一项是对 HAWK 的密钥恢复攻击，HAWK 是正在参加美国国家标准与技术研究院（NIST）标准化竞选的数字签名方案，属于「后量子」路线——为未来量子计算机时代准备的那类算法。攻击把 HAWK 的理论安全水平从 128 比特压到了 108 比特，但除了那个被故意做成玩具参数的版本，攻击都不具备实用性，离「能破解真实系统」还差得远。第二项是对 AES-128 的攻击，更温和：只攻到了第 7 轮，而完整版有 10 轮。AES 是全世界用得最多的加密标准，银行卡、手机、网站都在用。密码学界对此毫不意外——减少轮数，等于把锁的机关拆掉几道再让人去撬。更耐人寻味的是那个「没有」：AI 没有找到任何针对完整版 AES 的攻击。头条新闻里最吓人的部分，恰恰是没发生的那部分。
加密到底在防什么？
加密就是给信息上一把锁，没有钥匙就读不懂。AES 这把锁的钥匙是一串 128 位的数字，可能的组合有 2 的 128 次方种，约等于 3.4 乘以 10 的 38 次方，也就是 340 万亿亿亿。这个数字是什么概念？地球上的沙子约 10 的 19 次方颗，把每颗沙子再变成一个地球、每个地球再数一遍沙子，才勉强够到这个量级。作为对照，宇宙中原子总数约为 10 的 80 次方，能与之比肩的是更强的 AES-256（2 的 256 次方），它也已经在普遍使用。工程判断：当一把锁的钥匙数量多到宇宙都装不下，「暴力破解」这个词就从攻击手段退化成了数学概念。
暴力破解，就是一把一把试钥匙。就算全世界所有计算机联合起来、每秒试一万亿把，试完一半也要 5×10^18 年——宇宙年龄（138 亿年）的 4 亿倍。这个数字意味着：破解 AES-128 的难点是时间本身——时间恒定，AI 改变不了它。
AI 的聪明，在这里为什么没用？
好加密算法的设计目标，是让输出看起来完全随机——密文和原文之间没有可挖的模式，没有「规律」可学。密码学里管这叫「伪随机」：看起来随机，实为精心计算，任何统计检验都找不出破绽。AI 再强，也是靠学习规律工作的；当一样东西被刻意设计成没有规律，再聪明的学生也无从下手。
打个比方：把一台拖拉机拖进流沙，再用水泥浇死。对称加密就是把数据反复替换、移位、混合，重复十轮，每一轮都更难还原。用密码学家 Matthew Green 的话说，这类算法的特点就是「乱且结实」：乱，是刻意为之，因为任何结构、对称、规律都是给攻击者的线索；结实，是因为它们已经被人用各种手段攻击了几十年，该挖的洞早挖完了。写过《严肃密码学》一书的 Aumasson 在原文里说，像 BLAKE3 这样的算法，本质上就是一长串异或、加法、位旋转运算，没有更简单的描述方式——这正是设计者想要的。
图：AES 一轮加密的四道工序：替换、行移位、列混合、加轮密钥，完整版重复 10 轮。来源：Wikipedia
Anthropic 自己也是这么认为的。攻击论文里的措辞是「进一步探索 AI 辅助密码学研究是有趣的」，相当谨慎；他们还做了个叫 CryptanalysisBench 的测试集，给大模型的密码分析能力打分。能对「减轮玩具」动手，和攻破生产环境里的完整算法，中间隔着好几个数量级。
真正该担心的威胁，排序和营销号说的相反
第一，弱密码。123456、生日、手机号，不需要 AI，一本现成的字典就能试出来。AI 在这里的作用，是帮骗子把话术写得更像真人、更快地批量尝试常见密码——但问题的根源是你把钥匙挂在了门上，锁本身没问题。
第二，钓鱼。伪装成银行、客服、快递的链接和短信，骗你自己交出密码。大多数账号被盗都与加密本身无关——密码是被骗走的、被猜中的、被泄露的。AI 让骗局更逼真了，这是真威胁，只是它攻击的是「人」，密码学在整件事里没有出场。
第三，网站泄露数据库。你在一家网站注册用的密码，如果和银行密码一样，网站一泄露，黑客就拿着同一把钥匙到处开门。解决方式用不上更复杂的加密——不同网站用不同密码，或者干脆用密码管理器。
第四，远期威胁：量子计算机。它针对的是 RSA 这类更老、用在连接握手环节的加密方式——RSA 依赖「大数分解很难」这个数学假设，量子计算机的 Shor 算法理论上能把这件事变快。按最新研究估计，破解 RSA-2048 至少需要十万量级的高质量量子比特，今天的机器还差得很远；业界也已经启动了「后量子」迁移，连 HAWK 这种候选方案都是为这个准备的。对 AES 这类对称加密，量子计算机能做的只有「平方加速」，把 128 位密钥的破解难度降到相当于 64 位——仍然是天文数字。工程判断：量子威胁按十年尺度演进，不会明天早上降临。
图：密码学家画的著名漫画：看似复杂的「Tr0ub4dor&3」随机性只有 28 比特，四个普通单词组成的短语反而有 44 比特。来源：xkcd
回到开头那条新闻。Aumasson 在文章最后给了一个反直觉的建议：与其担心 AI 破解加密，不如让 AI 去检查那些新提交的后量子方案里的漏洞——他让大模型审阅过一批学术论文的安全性证明，还真找出了问题。这个思路在笔者看来值得琢磨：AI 的用处，与其说在撞大运式地猜钥匙，不如说在帮人把还没做好的锁修好。至于那把用了二十多年的老锁，光是试遍它的钥匙，就需要宇宙年龄的四亿倍时间。AI 再聪明，也快不过时间。
参考链接：
- bfswa.blog：LLMs won’t break symmetric crypto
- Lobsters 讨论 (s/tstkqk/llms_won_t_break_symmetric_crypto)
- Wikipedia：Advanced Encryption Standard
- xkcd：Password Strength
- Ubiq Security：128 or 256 bit Encryption: Which Should I Use?
