Les avancées récentes en matière de cybersécurité révèlent des failles dans deux algorithmes clés, mais leur impact réel reste limité. Une équipe de recherche a mis en lumière des vulnérabilités dans HAWK, un schéma de signature numérique conçu pour résister aux attaques quantiques, ainsi que dans une version réduite du célèbre algorithme AES. Voici ce qu’il faut retenir de ces découvertes.
Les limites du faucon post-quantique : HAWK sous pression
HAWK était l’un des candidats les plus prometteurs pour les algorithmes de signature post-quantique, dans le cadre d’un appel lancé par le NIST américain. Après avoir passé deux tours d’évaluation rigoureux sur deux ans, il a finalement été retiré du processus de sélection le 29 juillet 2026. Pourquoi ? Parce qu’une faille majeure a été découverte.
Une attaque sophistiquée, menée par une équipe utilisant une version interne de Mythos, a réduit de moitié la résistance de HAWK. En exploitant une symétrie géométrique dans le problème d’isomorphisme de réseaux euclidien modulaire, les chercheurs ont divisé par deux la complexité de la recherche de la clé privée. Résultat : une clé secrète a été extraite en seulement 3 heures et 42 minutes sur un serveur standard de 96 cœurs. Pour rétablir un niveau de sécurité acceptable, il aurait fallu doubler la taille des clés et des signatures, ce qui aurait compromis l’efficacité de l’algorithme.
Cette découverte a conduit les concepteurs de HAWK à retirer officiellement l’algorithme du processus de sélection du NIST, le rendant obsolète avant même son déploiement.
Une faille théorique mais révélatrice
Bien que ces failles n’affectent pas directement les systèmes actuels, elles soulignent l’importance de la vigilance en matière de cybersécurité. HAWK n’était pas encore déployé, et AES, l’autre algorithme concerné, reste robuste dans sa version standard. Cependant, ces découvertes rappellent que même les algorithmes les plus éprouvés peuvent être vulnérables à des attaques innovantes.
AES : une version réduite compromise, mais sans risque pour les systèmes réels
Le cas d’AES est différent. Cette fois, ce n’est pas l’algorithme standard qui est touché, mais une version volontairement affaiblie, utilisée uniquement à des fins de recherche. Une équipe a réussi à casser cette version réduite en éliminant une étape de recherche exhaustive, accélérant les attaques existantes d’un facteur de 200 à 800. Cette avancée repose sur une technique appelée le « Pont de Möbius », intégrée dans une attaque par rencontre au milieu.
Cependant, les experts insistent : cette faille est strictement académique. La version standard d’AES, avec ses trois tours supplémentaires, reste hors de portée des attaquants. Les recommandations de l’ANSSI restent inchangées : utiliser des clés d’au moins 128 bits, et passer à 192 bits ou plus pour une sécurité post-quantique.
L’IA au service de la cybersécurité : une révolution en marche
Ces découvertes ont été rendues possibles grâce à l’utilisation de Mythos, une préversion interne de l’IA d’Anthropic. L’équipe a d’abord tenté de faire exécuter des tâches complexes à l’IA, qui a d’abord refusé, affirmant qu’aucune amélioration n’était possible sur un algorithme aussi éprouvé que AES. Après ajustement des consignes, l’IA a finalement généré une nouvelle méthode d’attaque, produisant environ un milliard de jetons en sortie sur plusieurs jours.
Cette collaboration entre l’IA et les chercheurs illustre le potentiel des modèles avancés pour identifier des failles complexes. Cependant, elle pose aussi des questions sur l’avenir de la cybersécurité : comment gérer le flux croissant de vulnérabilités découvertes ? Comment s’assurer que ces découvertes sont validées et vérifiées de manière rigoureuse ?
Le futur de la cybersécurité : entre innovation et défis humains
Ces travaux soulignent un changement de paradigme. Le vrai défi n’est plus de trouver des failles, mais de valider et de corriger les vulnérabilités découvertes à un rythme soutenu. Les équipes de recherche doivent désormais s’adapter à l’augmentation exponentielle des découvertes, souvent générées par des outils automatisés comme Mythos.
Les algorithmes comme HAWK et les versions réduites d’AES resteront des outils précieux pour la recherche, mais leur exploitation dans des contextes réels est aujourd’hui exclue. Ces découvertes rappellent que la cybersécurité est un domaine en constante évolution, où l’innovation technologique doit être accompagnée d’une réflexion approfondie sur les méthodes de validation et de correction.