Le 28 juillet 2026, une intelligence artificielle a réussi ce que des années de cryptanalyse académique n’avaient pas fait : casser la confiance dans un algorithme candidat aux futurs standards de cryptographie post-quantique. Anthropic a annoncé que son modèle Claude Mythos Preview avait découvert une faille mathématique dans HAWK, une signature numérique fondée sur les réseaux euclidiens (lattices) qui figurait parmi les neuf candidats retenus par le NIST (National Institute of Standards and Technology) pour le troisième tour de son programme de signatures post-quantiques additionnelles. Le lendemain, 29 juillet 2026, l’équipe de développement de HAWK a retiré l’algorithme de la course. L’épisode relance un débat que l’industrie de la cryptographie observait de loin depuis deux ans : que se passe-t-il quand une IA devient plus rapide qu’une communauté entière de chercheurs pour trouver la faille qui tue un algorithme ?
Que s’est-il passé le 28 juillet 2026 ?
Le calendrier est resserré et documenté par le NIST lui-même. Le 28 juillet 2026, Anthropic a rendu publique une attaque de récupération de clé améliorée contre HAWK, explicitement attribuée à son modèle Claude Mythos Preview, avec selon les analyses techniques publiées un minimum de supervision humaine dans la phase de découverte. Le lendemain matin, l’équipe soumissionnaire de HAWK a retiré sa candidature du processus. La page officielle du NIST consacrée au troisième tour des signatures numériques additionnelles reflète ce changement de statut dans les termes suivants (traduits de l’anglais) : « L’équipe soumissionnaire a retiré HAWK du processus de standardisation des signatures numériques additionnelles. » Le communiqué de presse associé précise la chronologie complète : « Le 29 juillet 2026, l’équipe de développement de HAWK a retiré son algorithme après l’annonce d’Anthropic selon laquelle le modèle d’IA de l’entreprise avait découvert une vulnérabilité mathématique dans l’algorithme HAWK. » Vous pouvez consulter directement la page du programme post-quantique du NIST pour suivre l’évolution du dossier.
Le NIST prend soin de préciser que la vulnérabilité découverte par Claude Mythos Preview touche uniquement HAWK et n’affecte aucun des standards déjà finalisés. C’est une nuance importante pour les équipes sécurité qui liraient les gros titres sans creuser : rien dans les infrastructures qui utilisent déjà ML-KEM, ML-DSA ou SLH-DSA n’a besoin d’être changé en urgence.
HAWK : anatomie d’un candidat post-quantique
HAWK n’était pas un projet obscur. L’algorithme avait été soumis par une équipe de chercheurs reconnus dans le domaine des réseaux euclidiens : Joppe W. Bos, Olivier Bronchain, Léo Ducas, Serge Fehr, Yu-Hsuan Huang, Thomas Pornin, Eamonn W. Postlethwaite, Thomas Prest, Ludo N. Pulles et Wessel van Woerden. Il s’agissait d’une signature numérique fondée sur des problèmes de réseaux (lattices), la même famille mathématique que ML-DSA, le standard déjà finalisé par le NIST sous la référence FIPS 204. HAWK visait un positionnement différent : signatures et clés plus compactes que ML-DSA, un argument qui comptait beaucoup pour les objets connectés et les environnements à faible bande passante.
L’algorithme avait franchi deux tours de sélection avant de tomber. Il figurait parmi les 14 candidats retenus lors du deuxième tour, documentés dans le rapport NIST IR 8528, aux côtés de CROSS, FAEST, LESS, MAYO, Mirath, MQOM, PERK, QR-UOV, RYDE et SDitH. Puis, le 14 mai 2026, le NIST a annoncé neuf candidats survivants pour le troisième tour : FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign et UOV. Deux mois et demi plus tard, HAWK n’existait plus dans la liste.
L’attaque de Claude Mythos Preview
Sur le plan technique, l’attaque publiée le 28 juillet 2026 ramène la récupération de la clé secrète de HAWK à un nombre polynomial d’appels exacts au problème du plus court vecteur (SVP, Shortest Vector Problem), dans une dimension d’environ n/2 + 1 seulement, au lieu de la dimension complète attendue pour garantir la sécurité du schéma. Concrètement, cela signifie que l’attaque divise à peu près par deux la taille de réseau qu’un adversaire doit effectivement réduire pour retrouver une clé équivalente. Sur le papier, ce facteur ne paraît pas spectaculaire. En pratique, dans un domaine où la sécurité se mesure en puissance de calcul nécessaire à une attaque, réduire de moitié la dimension du problème à résoudre peut faire basculer un algorithme jugé sûr pour 30 ans vers un algorithme cassable avec du matériel disponible aujourd’hui.
Une méthode qui échappait à la cryptanalyse humaine
HAWK avait pourtant été scruté pendant deux tours de sélection NIST, plusieurs années de publications académiques et un nombre conséquent d’équipes de cryptanalystes bénévoles ou institutionnels. Aucune de ces analyses n’avait produit la réduction SVP publiée par Anthropic. Ce n’est pas la preuve que les cryptographes humains sont devenus obsolètes : les schémas à base de réseaux génèrent des espaces de recherche structurés que les modèles de langage entraînés sur de grands volumes de mathématiques formelles peuvent explorer différemment d’un humain, en testant systématiquement des milliers de reformulations d’un problème avant d’en trouver une qui se simplifie. C’est justement ce travail de reformulation combinatoire, répétitif et coûteux en temps humain, qui semble avoir fait la différence.
Réduction publiée (résumé technique) :
Récupération de clé HAWK → nombre polynomial d'appels SVP exacts
Dimension du réseau attaqué ≈ n/2 + 1 (au lieu de n)
Conséquence : le budget de calcul nécessaire pour casser une clé
équivalente est environ divisé par deux par rapport à l'hypothèse
de sécurité initiale du schéma.Le calendrier NIST, de la sélection à l’abandon
Le tableau ci-dessous résume les étapes clés qui séparent la première finalisation post-quantique du NIST, en 2024, du retrait de HAWK cet été.
| Date | Événement |
|---|---|
| 13 août 2024 | Publication finale de FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA), les trois premiers standards post-quantiques du NIST |
| 14 mai 2026 | Le NIST annonce neuf candidats retenus pour le 3e tour des signatures additionnelles : FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign, UOV |
| 28 juillet 2026 | Anthropic annonce que Claude Mythos Preview a découvert une faille de récupération de clé dans HAWK |
| 29 juillet 2026 | L’équipe soumissionnaire retire officiellement HAWK du processus NIST |
| 20 août 2026 | Le groupe de travail LAMPS de l’IETF met à jour son brouillon sur l’usage de ML-DSA dans CMS pour la protection des messages |
| 25 août 2026 | Le NIST met à jour la page de son atelier MPTS 2026 consacré aux schémas cryptographiques à seuil post-quantiques |
Ce qui reste solide : ML-KEM, ML-DSA et SLH-DSA
Le point que le NIST martèle depuis l’annonce du retrait mérite d’être répété pour les équipes qui pilotent une migration post-quantique en ce moment même : les trois standards finalisés en 2024 ne sont pas concernés. Sur sa page de référence, le NIST écrit que « les deux standards de signature numérique (ML-DSA et SLH-DSA) et le standard de mécanisme d’encapsulation de clé (ML-KEM) constitueront le socle de la plupart des déploiements de cryptographie post-quantique. Ils peuvent et doivent être mis en œuvre dès maintenant » (source). Le communiqué de 2024 précisait déjà que « le secrétaire au Commerce a approuvé trois normes fédérales de traitement de l’information (FIPS) pour la cryptographie post-quantique : FIPS 203, norme de mécanisme d’encapsulation de clé fondée sur les réseaux modulaires ; FIPS 204, norme de signature numérique fondée sur les réseaux modulaires ; FIPS 205, norme de signature numérique fondée sur le hachage sans état » (source).
FIPS 204, qui porte ML-DSA, fait cependant l’objet d’un suivi actif : le NIST a ajouté fin juillet 2026 une note de planification renvoyant vers une feuille d’errata documentant plusieurs corrections mineures prévues dans une future révision. Rien à voir avec une faille de sécurité, il s’agit d’un travail d’affinage habituel sur un texte normatif de cette taille.
Les huit candidats encore en lice
Sans HAWK, le troisième tour du programme de signatures additionnelles compte désormais huit algorithmes actifs. Le NIST précise sur sa page dédiée qu’il « s’intéresse en priorité à des schémas de signature à usage général qui ne reposent pas sur des réseaux structurés » (source), une phrase qui prend un relief particulier maintenant que le seul candidat de ce tour fondé sur les réseaux vient de tomber.
| Algorithme | Famille cryptographique | Statut au 29 août 2026 |
|---|---|---|
| FAEST | Clé symétrique, preuve MPC-in-the-head | Candidat actif, 3e tour |
| HAWK | Réseaux euclidiens (lattices) | Retiré le 29 juillet 2026 |
| MAYO | Multivarié (Oil and Vinegar) | Candidat actif, 3e tour |
| MQOM | Multivarié, preuve MPC-in-the-head | Candidat actif, 3e tour |
| QR-UOV | Multivarié (anneaux quotients) | Candidat actif, 3e tour |
| SDitH | Basé sur les codes correcteurs | Candidat actif, 3e tour |
| SNOVA | Multivarié (structure UOV simplifiée) | Candidat actif, 3e tour |
| SQIsign | Isogénies de courbes elliptiques | Candidat actif, 3e tour |
| UOV | Multivarié (Unbalanced Oil and Vinegar) | Candidat actif, 3e tour |
Ce qui frappe à la lecture du tableau : sur les huit survivants, aucun n’est fondé sur les réseaux euclidiens, la même famille mathématique que ML-KEM et ML-DSA. Le NIST cherche depuis le début à diversifier les fondements mathématiques de son portefeuille post-quantique, précisément pour éviter qu’une seule faille théorique ne mette en danger l’ensemble de l’édifice. Le retrait de HAWK, aussi rapide et net soit-il, va donc plutôt dans le sens de la stratégie affichée par l’agence plutôt que de la contredire.
FN-DSA et Silithium : la suite du chantier
Deux autres chantiers avancent en parallèle du troisième tour. FN-DSA (FFT over NTRU-Lattice-Based Digital Signature Algorithm), la version normalisée de FALCON, vise le statut FIPS 206. La soumission a été déposée le 28 août 2025 et reste, mi-2026, au stade de brouillon, avec une finalisation espérée fin 2026 ou début 2027. FN-DSA se distingue par des signatures et des clés publiques particulièrement compactes, un argument technique proche de celui que défendait HAWK, mais porté par un fondement mathématique différent (NTRU plutôt que le schéma spécifique de HAWK).
Du côté de l’IETF, le groupe de recherche CFRG a publié en juillet 2026 un brouillon Internet intitulé « Silithium », qui décrit une signature hybride combinant ML-DSA (traité comme une boîte noire) avec des opérations classiques sur courbes elliptiques. L’idée : forcer un attaquant à casser à la fois un problème de réseau et un logarithme discret, deux hypothèses de difficulté mathématique distinctes, avant de pouvoir forger une signature. Le brouillon insiste sur le caractère « non séparable » de cette construction hybride, conçue pour empêcher un attaquant d’isoler puis de casser un seul des deux composants. Vous pouvez suivre les travaux du groupe de recherche sur le site de l’IETF.
Pourquoi une IA a-t-elle réussi là où la cryptanalyse humaine a échoué ?
La question dépasse le cas HAWK. Les schémas de signature à base de réseaux sont truffés de choix de paramètres, de bornes de sécurité et de réductions théoriques qui, mises bout à bout, forment un espace de vérification immense. Un cryptanalyste humain travaille par intuition, par analogie avec des attaques connues, puis vérifie ses pistes une à une. Un grand modèle de langage entraîné sur des corpus mathématiques peut au contraire tester des milliers de reformulations algébriques d’un même problème en un temps très court, et repérer une reformulation qui abaisse la dimension effective du problème à résoudre. C’est précisément ce type de travail de force brute intelligente, plus que d’une inspiration unique, que les analyses techniques publiées après coup attribuent à Claude Mythos Preview.
Le rapport de statut du deuxième tour, NIST IR 8528, avait déjà noté au moment de la sélection que « sur la base des retours publics et des réexamens internes des candidats du premier tour, le NIST a sélectionné 14 algorithmes candidats pour avancer au deuxième tour d’évaluation : CROSS, FAEST, HAWK, LESS, MAYO, Mirath (fusion de MIRA et MiRitH), MQOM, PERK, QR-UOV, RYDE, SDitH… » (source). Ce texte montre à quel point le filtrage des candidats post-quantiques a toujours reposé sur des vagues successives de cryptanalyse par la communauté. La nouveauté de 2026, c’est la vitesse à laquelle une IA peut désormais contribuer à cette vague, en un jour là où un cycle académique complet prend habituellement plusieurs mois.
Comparatif : HAWK face aux autres ruptures cryptographiques récentes
Le retrait de HAWK n’est pas un cas isolé dans l’histoire récente de la cryptographie, mais il se distingue par son origine. Les ruptures qui ont marqué les cinq dernières années venaient presque toujours de la cryptanalyse académique classique (papiers de recherche, conférences comme Crypto ou Eurocrypt) ou de bugs d’implémentation découverts par des audits de code. HAWK est l’un des tout premiers cas documentés par le NIST où une IA générative est explicitement créditée d’avoir produit, seule, la réduction mathématique qui condamne un candidat à la standardisation. La différence pratique pour les équipes sécurité : un audit de code peut être planifié et budgété à l’avance, alors qu’une découverte par IA peut retirer un algorithme du jour au lendemain, sans fenêtre de correction. Pour HAWK, il n’y a eu qu’une seule journée entre la publication de l’attaque et le retrait officiel de la candidature.
Autre différence notable : contrairement à une faille d’implémentation, qui touche une bibliothèque logicielle précise et peut se corriger par un correctif, la faille de HAWK est structurelle. Elle touche la construction mathématique elle-même, ce qui explique pourquoi l’équipe soumissionnaire a choisi le retrait complet plutôt qu’une tentative de correction des paramètres, une option qui reste ouverte dans d’autres cas de faiblesses moins profondes.
Contexte historique : une décennie de course post-quantique
Le programme de standardisation post-quantique du NIST a démarré en 2016, avec un appel public à candidatures pour remplacer à terme RSA et les courbes elliptiques classiques, jugés vulnérables face à un futur ordinateur quantique suffisamment puissant. Le premier lot de standards, ML-KEM, ML-DSA et SLH-DSA, n’a été finalisé qu’en août 2024, après trois tours de sélection et plusieurs éliminations retentissantes, dont celle de SIKE en 2022, cassé par une attaque classique (non quantique) qui avait surpris toute la communauté cryptographique.
Le programme de signatures additionnelles, dans lequel s’inscrivait HAWK, a été lancé séparément pour diversifier davantage le portefeuille, avec un objectif affiché de trouver des schémas ne reposant pas sur des réseaux structurés. Vu sous cet angle, le retrait de HAWK en juillet 2026 s’inscrit dans une continuité : depuis dix ans, quasiment chaque tour du processus NIST a vu au moins un candidat solide s’effondrer sous une attaque inattendue. Ce qui change avec HAWK, c’est l’outil qui a produit l’attaque.
Impact sur le marché : éditeurs, banques et administrations européennes
Pour les éditeurs de logiciels de sécurité et les équipes cryptographie des grandes banques européennes qui suivent de près le portefeuille NIST pour préparer leurs migrations, la nouvelle a un effet direct mais limité. Aucun déploiement en production ne reposait sur HAWK, puisque l’algorithme n’avait encore obtenu aucun statut final, seulement celui de candidat au troisième tour. L’impact se mesure plutôt en incertitude différée : les équipes qui envisageaient HAWK comme option de repli pour ses signatures compactes, dans des cas d’usage embarqués ou IoT à bande passante limitée, doivent désormais se tourner vers FN-DSA (encore en brouillon) ou vers l’un des huit candidats multivariés ou fondés sur les codes correcteurs, dont les profils de performance diffèrent sensiblement.
Pour les administrations européennes engagées dans une migration post-quantique, notamment dans le cadre du calendrier fixé par l’ANSSI en France, le message que fait passer le NIST est plutôt rassurant : les standards déjà finalisés (ML-KEM, ML-DSA, SLH-DSA) restent le socle recommandé, et rien n’oblige à attendre l’issue du troisième tour de signatures additionnelles pour lancer une migration. C’est d’ailleurs la position que défend le NIST lui-même quand il affirme que ces trois normes « peuvent et doivent être mises en œuvre dès maintenant ».
Ce que cela change pour la France et l’ANSSI
La France suit sa propre feuille de route, pilotée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui s’appuie largement sur les standards déjà validés par le NIST plutôt que sur des candidats encore en évaluation. L’épisode HAWK ne modifie donc pas le calendrier français de migration, mais il illustre un risque que les équipes de conformité doivent désormais intégrer dans leurs plans de continuité : un algorithme peut disparaître d’un portefeuille de référence en moins de 48 heures. Les organismes qui construisent une architecture cryptographique agile, capable de basculer d’un algorithme à un autre sans réécrire toute la chaîne de confiance, sont clairement mieux placés pour absorber ce type de choc que ceux qui figent un choix unique dans leur code pour les dix prochaines années.
Le sujet touche aussi le débat plus large sur l’usage de l’IA en cybersécurité offensive et défensive. L’Agence européenne pour la cybersécurité (ENISA) suit de près l’évolution des capacités de cryptanalyse assistée par IA dans ses travaux sur les menaces émergentes, et l’épisode HAWK constitue désormais un précédent documenté, avec date, source et algorithme nommé, que les analystes européens pourront citer.
Cinq prédictions pour la suite du chantier post-quantique
- D’autres candidats vont être testés par IA avant la fin 2026. Après HAWK, il serait surprenant qu’Anthropic, ou d’autres laboratoires d’IA, n’appliquent pas la même méthode aux huit candidats restants du troisième tour, ne serait-ce que pour valider leur robustesse.
- FN-DSA (FIPS 206) sera finalisé avant que HAWK n’aurait pu l’être. Avec une cible de fin 2026 ou début 2027 déjà annoncée, FN-DSA devrait devenir la principale option de signature compacte du portefeuille NIST, comblant en partie le vide laissé par HAWK.
- Le NIST va formaliser un usage encadré de l’IA dans son processus de cryptanalyse. Un précédent aussi net que le retrait de HAWK pousse presque mécaniquement une agence normative à documenter comment elle intègre, à l’avenir, les découvertes assistées par IA dans son calendrier de sélection.
- Les schémas hybrides comme Silithium vont gagner du terrain dans les brouillons IETF. La logique de double hypothèse de sécurité (réseau + courbe elliptique) séduit précisément parce qu’elle limite l’impact d’une faille isolée comme celle de HAWK.
- Les équipes de sécurité vont accélérer l’agilité cryptographique plutôt que le choix d’un algorithme unique. Le cas HAWK va être cité dans des comités d’architecture comme argument pour ne jamais coder en dur un seul schéma de signature post-quantique dans une infrastructure critique.
Questions fréquentes
Qu’est-ce que HAWK exactement ?
HAWK était un algorithme de signature numérique post-quantique fondé sur les réseaux euclidiens (lattices), soumis au NIST par une équipe de dix chercheurs dont Léo Ducas et Thomas Prest. Il visait des signatures et des clés plus compactes que ML-DSA, le standard déjà finalisé.
Est-ce que ML-KEM, ML-DSA ou SLH-DSA sont concernés par cette faille ?
Non. Le NIST précise explicitement que la faille découverte par Claude Mythos Preview touche uniquement HAWK et n’affecte aucun des trois standards déjà finalisés en 2024 (FIPS 203, 204, 205).
Comment l’IA de Claude a-t-elle trouvé la faille de HAWK ?
L’attaque publiée réduit la récupération de la clé secrète de HAWK à un nombre polynomial d’appels au problème du plus court vecteur (SVP), dans une dimension d’environ n/2 + 1 au lieu de la dimension complète, divisant à peu près par deux le budget de calcul nécessaire pour casser une clé équivalente.
Faut-il modifier une infrastructure qui utilisait déjà HAWK ?
Aucun déploiement en production ne reposait officiellement sur HAWK, puisque l’algorithme n’avait pas encore atteint le statut de standard final, seulement celui de candidat au troisième tour d’évaluation du NIST.
Quels algorithmes restent en lice pour les signatures post-quantiques additionnelles ?
Huit candidats restent actifs au troisième tour : FAEST, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign et UOV. Aucun n’est fondé sur les réseaux euclidiens, la famille mathématique qui a fait tomber HAWK.
Qu’est-ce que FN-DSA et pourquoi en parle-t-on maintenant ?
FN-DSA, future norme FIPS 206, est la version normalisée de FALCON. Elle vise le même objectif que HAWK, des signatures compactes, mais avec un fondement mathématique différent (NTRU). Elle reste au stade de brouillon, avec une finalisation espérée fin 2026 ou début 2027.
Ce retrait change-t-il le calendrier post-quantique de l’ANSSI en France ?
Non. La feuille de route française s’appuie sur les standards déjà finalisés par le NIST (ML-KEM, ML-DSA, SLH-DSA), pas sur les candidats encore en évaluation comme l’était HAWK.
Une IA pourrait-elle casser un des standards post-quantiques déjà finalisés ?
Rien dans les informations publiées à ce jour ne suggère une telle faille sur ML-KEM, ML-DSA ou SLH-DSA. Le cas HAWK montre en revanche que la cryptanalyse assistée par IA est désormais un facteur à part entière dans le processus de sélection du NIST, y compris pour des candidats déjà bien étudiés.
