Le 28 juillet 2026, Anthropic a publié un rapport de recherche qui a fait l’effet d’une bombe dans le petit monde de la cryptographie. Son modèle Claude Mythos Preview a trouvé, en quelques dizaines d’heures de calcul, une attaque plus rapide contre une version affaiblie de l’AES-128, et une faille complète dans HAWK-256, un candidat post-quantique que des chercheurs humains examinaient depuis deux ans sans succès. Aucun système en production n’est touché. Mais l’épisode a suffi à relancer, côté européen, un débat que l’ANSSI et l’ENISA menaient déjà en coulisses depuis plusieurs mois : faut-il remonter la taille minimale des clés AES à 192 bits, voire imposer 256 bits par défaut pour les données sensibles ?
L’affaire mérite qu’on s’y arrête, parce qu’elle mélange deux sujets qui jusque-là restaient séparés : la solidité mathématique de l’AES, chiffrement symétrique utilisé partout de la 4G aux coffres-forts bancaires, et la capacité grandissante de l’intelligence artificielle à faire de la recherche scientifique de haut niveau. Ce papier décortique les chiffres publiés par Anthropic, la réaction des régulateurs européens et ce que les entreprises françaises doivent réellement en retenir.
Ce qu’Anthropic a vraiment découvert le 28 juillet 2026
Le rapport, intitulé « Discovering cryptographic weaknesses with Claude », décrit deux résultats obtenus par l’équipe de recherche frontière d’Anthropic à l’aide de Claude Mythos Preview. Le premier concerne HAWK-256, un schéma de signature post-quantique. Le second touche une variante réduite de l’AES-128, l’algorithme de chiffrement symétrique le plus déployé au monde.
Sur HAWK-256, le résultat est le plus spectaculaire des deux : Claude a produit une attaque complète en environ 60 heures de calcul, là où deux ans d’analyse académique humaine n’avaient rien trouvé de comparable, selon la couverture de TechTimes. HAWK n’est pas un standard NIST retenu (contrairement à ML-KEM ou ML-DSA), mais il figurait parmi les schémas encore étudiés dans les cercles post-quantiques. Ce n’est pas anodin : ça montre qu’un modèle de langage peut désormais explorer un espace de preuves cryptographiques plus vite qu’une équipe de chercheurs aguerris.
Sur l’AES, le travail est plus subtil. Claude Mythos a inventé une technique baptisée Möbius Bridge, une structure d’invariants qui améliore une attaque par rencontre au milieu (meet-in-the-middle) déjà connue. Concrètement, elle supprime une étape d’énumération à 256 valeurs (un facteur 2⁸) dans le calcul, ce qui se traduit par un gain de vitesse compris entre 200 et 800 fois par rapport à la meilleure attaque publiée jusqu’ici sur cette variante. Le détail technique est disponible dans le document de chaîne de raisonnement publié par Anthropic.
Pourquoi l’AES-256 que vous utilisez tous les jours n’est pas en danger
Le point crucial, et il faut le répéter parce que les titres accrocheurs ont semé la confusion début août : l’attaque de Claude ne touche pas l’AES-128 réel, encore moins l’AES-256. L’AES standard tourne sur 10 rounds pour une clé de 128 bits (12 pour 192 bits, 14 pour 256 bits). Le travail de Mythos Preview s’attaque à une version délibérément affaiblie à 7 rounds, un objet de recherche que les cryptographes utilisent depuis des années pour mesurer la marge de sécurité d’un algorithme, pas pour représenter une menace réelle.
Autre détail qui casse tout scénario catastrophe : l’attaque améliorée réclame environ 2¹⁰⁵ textes clairs choisis, soit, selon la formule d’un journaliste technique, « plus de 400 octillions de messages ». Aucune infrastructure sur Terre ne peut générer ou stocker un tel volume de données. NIST n’a émis aucune alerte et n’a pas modifié son standard FIPS 197, publié en novembre 2001 et effectif depuis le 26 mai 2002. Anthropic elle-même insiste sur ce point dans son rapport : le résultat réduit la marge théorique de sécurité d’une version jouet de l’algorithme, il ne casse rien en production.
Ce n’est d’ailleurs pas la première fois que l’AES complet encaisse un coup de canif académique sans que ça change quoi que ce soit pour les utilisateurs. En 2011, Andrey Bogdanov, Dmitry Khovratovich et Christian Rechberger avaient publié la première attaque par « biclique » contre l’AES complet (Cryptology ePrint 2011/449), ramenant la complexité de récupération de clé à 2¹²⁶,¹ pour l’AES-128, 2¹⁸⁹,⁷ pour l’AES-192 et 2²⁵⁴,⁴ pour l’AES-256. Un article du Register avait résumé la situation à l’époque : l’attaque grignote environ deux bits de sécurité et permettrait une récupération de clé cinq fois plus rapide que la force brute, ce qui exigerait quand même des milliards d’années de calcul. Quinze ans plus tard, l’histoire se répète, avec l’IA dans le rôle du chercheur.
| Événement | Année | Cible | Méthode | Gain / complexité | Impact réel |
|---|---|---|---|---|---|
| Attaque biclique | 2011 | AES-128/192/256 complet | Biclique + meet-in-the-middle | 2¹²⁶,¹ / 2¹⁸⁹,⁷ / 2²⁵⁴,⁴ (≈4x plus rapide que la force brute) | Aucun, encore des milliards d’années de calcul |
| Möbius Bridge (Claude Mythos) | 2026 | AES-128 réduit à 7 rounds | Invariant + meet-in-the-middle amélioré | 200 à 800x plus rapide, mais 2¹⁰⁵ textes clairs requis | Aucun, cible une version affaiblie non déployée |
| Faille complète HAWK-256 | 2026 | Signature post-quantique HAWK | Recherche automatisée par IA | 60 heures de calcul contre 2 ans d’analyse humaine | HAWK écarté des futurs choix post-quantiques |
| Norme FIPS 197 (référence) | 2001-2002 | Adoption de l’AES | Standardisation NIST | Remplace le DES (56 bits) | Devient le chiffrement symétrique de référence |
La réaction de l’ENISA : vers un plancher à 192 bits
L’Agence de l’Union européenne pour la cybersécurité (ENISA) travaillait déjà sur une révision de son référentiel Agreed Cryptographic Mechanisms (ACM) avant l’annonce d’Anthropic, mais le calendrier tombe à point nommé. La version 3 du document, dont le projet a été soumis à consultation publique jusqu’à fin juillet 2026 selon PQShield, maintient l’AES-128, l’AES-192 et l’AES-256 dans la liste des mécanismes acceptés, mais ajoute une note qui change la donne pour les nouveaux systèmes : « dans les contextes où une résistance aux attaques exploitant des ordinateurs quantiques est requise, il est recommandé de ne pas utiliser de chiffrement par bloc avec une taille de clé inférieure à 192 bits ».
Le changelog de l’ACM v3 est encore plus explicite : « le doublement de la longueur de clé AES n’est pas nécessaire, et l’AES-128 reste accepté pour un usage post-quantique, mais une clé d’au moins 192 bits est recommandée ». L’ENISA évite donc la solution de facilité (doubler systématiquement toutes les tailles de clés) et fixe un plancher à 192 bits pour les architectures pensées pour tenir sur le moyen terme face à la menace quantique, tout en réservant AES-256 aux données à très longue durée de vie.
Cette clarification arrive après une année où le marché européen du chiffrement a connu une croissance à deux chiffres. Selon les données rapportées par ContextWorld, les dépenses de sécurité des données ont progressé de 13 % en Europe en 2025, avec des pointes à 168 % en Pologne et 15 % en Allemagne, dans un marché cybersécurité européen en hausse globale de 5,2 % sur la même période.
Côté français : l’ANSSI serre la vis progressivement, pas dans l’urgence
L’ANSSI n’a pas attendu la publication d’Anthropic pour revoir ses règles. Le Guide des mécanismes cryptographiques version 3.00 fixe la taille minimale des clés symétriques à 112 bits jusqu’à fin 2025, puis relève ce plancher à 128 bits à partir de 2026. Pour les systèmes visant une résistance post-quantique, l’agence recommande d’employer des clés symétriques d’au moins 192 bits, l’AES-192 et l’AES-256 étant explicitement cités comme conformes.
L’ANSSI va plus loin dans ses documents de transition post-quantique, où elle recommande d’aligner le niveau de sécurité symétrique sur le niveau 5 du NIST, ce qui correspond en pratique à une sécurité équivalente à l’AES-256, associée à du SHA-384 ou SHA3-384 pour le hachage. Dans les faits, cela positionne l’AES-256 comme le choix par défaut pour les systèmes sensibles français, sans que ce soit imposé pour tous les usages, une posture que plusieurs analyses qualifient de « conservatrice mais cohérente » avec la trajectoire fixée pour 2027 sur la certification post-quantique. Ce sujet recoupe directement les échéances déjà couvertes dans notre analyse sur l’obligation post-quantique de l’ANSSI dès 2027.
Pour les DSI et RSSI français, le message pratique tient en une phrase : rien ne change dans l’urgence, mais tout nouveau projet de chiffrement dimensionné pour durer au-delà de 2030 devrait viser 192 bits minimum, et 256 bits pour les données classées sensibles ou à conserver plus de dix ans.
| Référentiel | Clé minimale usage courant | Clé recommandée résistance quantique | Statut AES-128 / 192 / 256 | Échéance |
|---|---|---|---|---|
| ANSSI (Guide mécanismes crypto v3.00) | 128 bits (dès 2026) | ≥ 192 bits | Acceptés, 192/256 recommandés en contexte post-quantique | Applicable 2026 |
| ENISA (ACM v2, en vigueur) | 128 bits | Non précisé formellement | 128/192/256 tous acceptés | En vigueur |
| ENISA (ACM v3, projet) | 128 bits | ≥ 192 bits recommandés | 128/192/256 acceptés, doublement jugé non nécessaire | Consultation close juillet 2026 |
| BSI Allemagne (TR-02102-1) | 128 bits | 128 bits jugé suffisant à ce jour | 128/192/256 acceptés | Version 2025-1 |
L’intelligence artificielle comme nouvel outil de cryptanalyse
Ce qui inquiète les cryptographes n’est pas tant le résultat brut sur l’AES-128 réduit que la méthode. Jusqu’ici, la cryptanalyse restait un domaine où l’expertise humaine dominait largement : trouver une structure comme le Möbius Bridge demande une intuition mathématique fine, le genre de travail que quelques dizaines de chercheurs dans le monde savent produire, et encore, sur plusieurs mois. Que Claude Mythos Preview y parvienne en un temps de calcul comparable à une semaine de travail, avec un mois de vérification humaine derrière selon le récit publié par Context Studios, change la nature du problème.
Sur HAWK-256, l’écart est encore plus frappant : deux ans de revue académique humaine n’avaient rien détecté, et Claude a produit une attaque complète en 60 heures. Ce n’est pas la preuve que tous les algorithmes post-quantiques sont fragiles, mais c’est un signal fort envoyé aux équipes qui standardisent ces schémas : la phase de revue par les pairs doit désormais intégrer des outils d’IA capables d’explorer l’espace des attaques bien plus vite qu’une thèse de doctorat.
Ce qu’en disent les chercheurs d’Anthropic
« Grâce à Claude Mythos Preview, nos chercheurs ont découvert de meilleures façons d’attaquer des algorithmes cryptographiques. »
Anthropic, rapport de recherche du 28 juillet 2026
Dans le même rapport, l’entreprise qualifie ses deux découvertes de jalon technique : « les attaques décrites dans ces deux articles sont les plus fortes que nous ayons trouvées à ce jour », précise Anthropic dans son rapport de recherche. Sur son compte X, l’entreprise a résumé l’enjeu en une phrase adressée directement à la communauté cryptographique.
« Claude Mythos Preview a aidé nos chercheurs à trouver des faiblesses dans des algorithmes cryptographiques, les méthodes mathématiques utilisées pour préserver la confidentialité des données. »
Anthropic, publication sur X
Anthropic tempère cependant la portée pratique du résultat AES tout en assumant l’ampleur de l’avancée méthodologique.
« Ces deux résultats montrent que les modèles d’IA de pointe sont capables de mener des recherches en cryptographie au niveau d’un expert. »
Anthropic, publication sur X
Dans une reprise de l’annonce par la presse spécialisée, l’entreprise a résumé sa position institutionnelle sur la portée de ces travaux.
« Nos modèles commencent à contribuer de façon significative à la recherche cryptographique. »
Anthropic, cité par EnterpriseAI (Economic Times)
Impact sur le marché du chiffrement en Europe
Le timing de l’annonce d’Anthropic tombe alors que le marché européen du chiffrement est déjà en pleine expansion. Un rapport de marché cité par les analystes du secteur évalue le marché européen des logiciels de chiffrement à environ 2,9 milliards de dollars en 2025, avec une projection à 10,2 milliards de dollars d’ici 2035, soit un taux de croissance annuel composé de 13,3 % sur la période 2026-2035. Plus largement, le marché européen de la cybersécurité pesait 81,81 milliards de dollars en 2025 et devrait atteindre 165,73 milliards de dollars en 2034, à un rythme de croissance annuel de 8,2 %.
Ces chiffres ne bougeront pas à cause d’une attaque théorique sur une version affaiblie de l’AES. Mais ils donnent une idée de l’enjeu commercial : chaque révision de référentiel (ANSSI, ENISA, BSI) déclenche des cycles de mise à jour chez les éditeurs de matériel de chiffrement, les fournisseurs de VPN d’entreprise, les banques et les opérateurs télécoms, qui doivent revalider leurs modules cryptographiques et parfois leurs certifications de sécurité. Un plancher à 192 bits pour les nouveaux systèmes post-quantiques, même sans obligation immédiate, oriente déjà les appels d’offres publics vers des solutions capables de tourner en AES-256 ou en mode hybride.
Comparaison avec les autres primitives cryptographiques sous pression
L’AES n’est pas seul sur le banc des accusés en 2026. Le RSA sous 3 000 bits a déjà été banni par l’ENISA dans une décision que nous avions couverte en détail dans notre article sur l’interdiction du RSA sous 3 000 bits. L’ECC a lui aussi connu son lot de mauvaises nouvelles cette année, entre la vague de CVE touchant Linux, Python et OP-TEE et l’annonce de recherche de Google sur la cryptanalyse quantique de courbes elliptiques, qui menacerait potentiellement des milliers de milliards de dollars d’actifs numériques, comme détaillé dans notre analyse sur la percée de Google contre l’ECC.
Face à ce tableau, l’AES ressort presque comme le bon élève : après vingt-cinq ans de service et malgré les attaques bicliques de 2011 et le Möbius Bridge de 2026, aucune faille pratique n’a jamais été démontrée contre l’algorithme complet. Le contraste avec RSA et ECC, deux familles d’algorithmes asymétriques directement menacées par le calcul quantique, explique pourquoi l’AES reste le socle sur lequel s’appuient les schémas hybrides post-quantiques recommandés par l’ANSSI, aux côtés de ML-KEM pour l’échange de clés, un sujet que nous avions détaillé dans notre comparatif RSA/ECC face à la cryptographie post-quantique.
Le hachage n’est pas épargné par la même dynamique
La pression sur les tailles de clés symétriques fait écho à un débat similaire côté fonctions de hachage. Notre comparatif SHA-256 face à SHA-3 montrait déjà que le choix d’un algorithme de hachage dépend autant des performances (1 772 Mo/s pour SHA-256 contre 509 Mo/s pour SHA-3 sur les mêmes bancs d’essai) que de la marge de sécurité recherchée à long terme. La logique est la même pour l’AES : la question n’est plus de savoir si l’algorithme est cassé, il ne l’est pas, mais de savoir quelle marge de sécurité on veut garder pour des données qui devront rester confidentielles pendant dix, vingt ou trente ans.
Ce que les entreprises françaises doivent faire concrètement
Pour un RSSI en France, l’annonce d’Anthropic ne déclenche aucune obligation immédiate. Mais elle accélère une tendance de fond déjà documentée par l’ANSSI et l’ENISA. Voici les actions concrètes que les équipes sécurité peuvent engager sans attendre une échéance réglementaire :
- Inventorier les systèmes utilisant encore l’AES-128 pour des données dont la durée de vie dépasse 2035, et planifier une migration vers l’AES-192 ou l’AES-256.
- Vérifier que les nouveaux appels d’offres de chiffrement exigent une taille de clé symétrique d’au moins 192 bits pour tout système visé pour durer au-delà de 2030.
- Suivre la publication finale de l’ACM v3 de l’ENISA, attendue après la clôture de la consultation publique de juillet 2026.
- Documenter, dans l’inventaire cryptographique déjà recommandé par l’ANSSI pour la transition post-quantique, quels systèmes utilisent l’AES et sur combien de rounds ils tournent réellement (aucun système commercial sérieux ne descend sous 10 rounds, mais l’audit reste une bonne pratique).
- Ne pas confondre urgence médiatique et urgence technique : aucune migration en catastrophe n’est justifiée par le résultat Möbius Bridge, contrairement à la transition post-quantique sur les algorithmes asymétriques (RSA, ECC), qui elle reste une échéance réelle avec la date de 2027 pour la certification ANSSI.
Historique : vingt-cinq ans d’AES sans faille pratique
Il faut resituer l’événement dans le temps long. L’AES a été adopté comme standard fédéral américain via la publication FIPS 197 le 26 novembre 2001, effective à partir du 26 mai 2002, en remplacement du DES devenu obsolète face à la force brute avec ses clés de seulement 56 bits. Depuis, l’algorithme a survécu à deux décennies et demie de cryptanalyse académique intensive : attaques différentielles, attaques par canaux auxiliaires sur des implémentations mal protégées, attaque biclique en 2011, et maintenant l’exploration assistée par IA en 2026. Dans tous les cas, l’algorithme complet à 10, 12 ou 14 rounds selon la taille de clé est resté hors de portée.
C’est cette robustesse qui explique pourquoi l’ANSSI et l’ENISA continuent de bâtir leurs schémas hybrides post-quantiques autour de l’AES plutôt que de chercher un remplaçant. Le problème n’a jamais été la solidité de l’algorithme symétrique, mais celle des mécanismes d’échange de clés et de signature asymétriques, RSA et ECC en tête, qui eux sont directement vulnérables à un futur ordinateur quantique suffisamment puissant.
Nos prévisions pour les 12 prochains mois
Sur la base des tendances observées depuis l’annonce, voici cinq évolutions probables d’ici la mi-2027 :
- Publication de l’ACM v3 définitive : l’ENISA devrait publier la version finale de son référentiel d’ici la fin 2026, avec le plancher de 192 bits confirmé pour les usages post-quantiques.
- Généralisation d’AES-256 dans les nouveaux appels d’offres publics français, notamment pour les opérateurs d’importance vitale déjà soumis aux exigences ANSSI de certification 2027.
- Multiplication des travaux de cryptanalyse assistée par IA chez d’autres laboratoires (Google DeepMind, OpenAI, laboratoires académiques européens), qui chercheront à reproduire ou dépasser le résultat Möbius Bridge sur d’autres primitives.
- Révision accélérée des candidats post-quantiques encore en évaluation après l’épisode HAWK-256, avec une intégration systématique d’outils d’IA dans les processus de revue par les pairs des futurs concours de standardisation.
- Aucun remplacement de l’AES à l’horizon : malgré le bruit médiatique, aucun laboratoire sérieux ne recommande d’abandonner l’algorithme, qui reste la brique symétrique de référence dans tous les schémas hybrides post-quantiques actuellement déployés.
Foire aux questions
L’AES-256 est-il cassé en 2026 ?
Non. L’attaque Möbius Bridge de Claude Mythos Preview cible une version affaiblie de l’AES-128 réduite à 7 rounds sur les 10 utilisés en production. L’AES-256 complet, avec ses 14 rounds, n’est pas concerné et reste considéré comme sûr par l’ANSSI, l’ENISA et le NIST.
Qu’est-ce que le Möbius Bridge d’Anthropic ?
C’est une technique d’invariants découverte par Claude Mythos Preview qui améliore une attaque par rencontre au milieu contre l’AES-128 réduit, en supprimant une étape d’énumération à 256 valeurs, pour un gain de vitesse de 200 à 800 fois par rapport à l’attaque précédente.
Pourquoi HAWK-256 est-il plus préoccupant que l’attaque AES ?
Parce que Claude a produit une attaque complète et fonctionnelle contre ce schéma de signature post-quantique en 60 heures, là où deux ans de revue académique humaine n’avaient rien détecté. Contrairement au résultat AES, il s’agit d’une faille réelle sur l’algorithme entier, pas sur une version affaiblie.
Faut-il migrer immédiatement vers des clés AES de 192 ou 256 bits ?
Pas dans l’urgence. L’ANSSI recommande 192 bits minimum pour les nouveaux systèmes visant une résistance post-quantique, et 256 bits pour les données sensibles à conserver plus de dix ans. Les systèmes existants en AES-128 restent conformes pour un usage courant en 2026.
Quelle est la position officielle de l’ANSSI sur l’AES en 2026 ?
Le Guide des mécanismes cryptographiques version 3.00 fixe une clé symétrique minimale de 128 bits à partir de 2026, avec une recommandation à 192 bits ou plus pour les systèmes visant une résistance post-quantique, l’AES-192 et l’AES-256 étant explicitement listés comme conformes à cette exigence.
L’attaque de 2011 par biclique était-elle plus sérieuse que celle de 2026 ?
Elle visait l’algorithme complet (AES-128/192/256), contrairement au Möbius Bridge qui cible une version réduite à 7 rounds. Mais l’attaque biclique ne réduisait la sécurité que de deux bits environ et exigeait toujours des milliards d’années de calcul, donc sans impact pratique, tout comme le résultat de 2026.
Quel est l’impact sur le marché européen du chiffrement ?
Aucun effet direct sur les chiffres de marché, mais l’épisode accélère les cycles de mise à jour des référentiels ANSSI et ENISA, dans un marché européen du chiffrement déjà en croissance de 13,3 % par an et projeté à 10,2 milliards de dollars d’ici 2035.
D’autres entreprises d’IA vont-elles publier des résultats similaires ?
C’est probable. Anthropic a ouvert la voie en démontrant qu’un modèle de langage pouvait produire une recherche cryptographique de niveau expert, ce qui devrait pousser d’autres laboratoires à explorer le même terrain sur d’autres algorithmes ou candidats post-quantiques.
Sources et lectures complémentaires
Cet article s’appuie sur le rapport de recherche original d’Anthropic, la couverture technique de CyberScoop, le standard FIPS 197 du NIST, ainsi que les référentiels publics de l’ANSSI et de l’ENISA cités dans le texte.
