Anthropic最近在GitHub上发布了一个密码学研究demo，展示了Claude在自主发现HAWK-256哈希算法密钥恢复攻击方面的能力。紧接着又发布了一篇研究文章，描述AI在密码学漏洞发现中的系统方法。
两件事放在一起看，一条新的技术路线正在成型：AI辅助密码学分析。
先说HAWK-256的密钥恢复攻击。这是一个实际存在的攻击方法——Anthropic的研究者让Claude分析HAWK-256的实现代码，模型不仅发现了潜在漏洞，还给出了完整的攻击向量和PoC。代码在GitHub开源。
从安全研究的角度来看，这不是简单地把代码丢给LLM说"帮我找找bug"。实际工作流程分为几个阶段：首先是问题结构化——把密码学协议的安全分析转化为模型可以理解的形式。然后是约束枚举——列出攻击者能访问的信息、不能访问的信息、目标是什么。最后是攻击路径搜索——让模型在约束条件内寻找可行的攻击策略。
安全圈对AI辅助漏洞发现并不陌生。像之前的"Cybercode"和"Project Zero"结合LLM的做法，已经在一些场景下展示了效果。但Anthropic这次的不同之处在于，它聚焦的是密码学的安全性，而不是一般的代码漏洞。
密码学漏洞的发现难度高于普通代码漏洞。
Anthropic的后续研究文章则提供了一个更系统的视角。他们建立了一个自动化评估框架，让Claude对已知的密码学实现（有弱点和没有弱点的版本）进行分析，然后评估模型的分析能力边界。这个框架分为三个层次：代码级漏洞检测（如常量时间实现缺失）、协议级漏洞检测（如填充预言机攻击）、设计级漏洞检测（如密钥派生方案不合理）。
一个值得关注的细节是：模型在分析OpenSSL中某个椭圆曲线实现的侧信道攻击时，成功发现了已知漏洞，并且提出了一个工程上可行的修复方案。这个修复方案不是随便替换一个安全库——而是基于特定的架构优化，通过常量时间实现来消除时序差异。它对ARM和x86_64分别生成了不同的修复代码，利用了不同架构的指令集特性。
从工程角度看，我注意到Anthropic在这项研究中采用了迭代分析模式。不是让模型一次性输出结果，而是让模型先分解问题、生成分析计划、分步验证、再整合结论。这种"思维链+工具调用"的混合模式，正在成为复杂安全分析的标准操作方式。
在实际应用中，这种能力可以外推到几个方向。一是自动化代码审计——不是替代人工审计，而是让AI完成第一轮扫描，人为焦点验证高优先级告警。二是CTF竞赛或红队演练中的辅助工具——每个团队安全分析的时间周期可以从几周压缩到几天。
不过，目前这项技术仍然有明确的边界。Claude在分析未知的、没有公开文献的新算法时，准确率显著下降。模型擅长的是在已知攻击范式（如时序攻击、故障注入、缓存侧信道）中找到变种，而不是发现全新的攻击类型。这意味着AI目前更适合做已知安全模式的批量检查，不适合做探索性安全研究。
对开发者而言，这个方向的实际意义不是"AI可以自己找漏洞了"，而是"密码学安全分析的门槛可能会降低"。以前需要一个安全专家团队花几周才能完成的协议分析工作，现在一个懂安全概念的开发者配合AI，可能在几天内完成第一轮评估。
从代码仓库的CI流程来看，这个能力可以集成到代码提交前的安全检查中——不是替代现有的SAST工具，而是在检测到加密相关代码变更时，自动触发一轮AI辅助分析。如果模型认为存在潜在风险，在PR上标记出来供reviewer确认。
和Codex Security类似，这里最务实的用法是把AI当作安全分析流程中的一个增强环节，而不是替代品。
关于维基框架
维基框架关注企业应用开发中的长期维护问题。在实际项目中，业务系统往往同时涉及权限、微服务、接口协议、部署环境等复杂因素，因此我们希望提供一套更容易扩展和维护的基础框架。
官网：framewiki.com
Gitee：gitee.com/wiki-framework
GitHub：github.com/wiki-framework
示例项目：gitee.com/cdkjframework/framewiki-example
📄 许可证：MulanPSL-2.0（木兰宽松许可证，第2版）
