Anthropic最近在GitHub上发布了一个密码学研究demo展示了Claude在自主发现HAWK-256哈希算法密钥恢复攻击方面的能力。紧接着又发布了一篇研究文章描述AI在密码学漏洞发现中的系统方法。两件事放在一起看一条新的技术路线正在成型AI辅助密码学分析。先说HAWK-256的密钥恢复攻击。这是一个实际存在的攻击方法——Anthropic的研究者让Claude分析HAWK-256的实现代码模型不仅发现了潜在漏洞还给出了完整的攻击向量和PoC。代码在GitHub开源。从安全研究的角度来看这不是简单地把代码丢给LLM说帮我找找bug。实际工作流程分为几个阶段首先是问题结构化——把密码学协议的安全分析转化为模型可以理解的形式。然后是约束枚举——列出攻击者能访问的信息、不能访问的信息、目标是什么。最后是攻击路径搜索——让模型在约束条件内寻找可行的攻击策略。安全圈对AI辅助漏洞发现并不陌生。像之前的Cybercode和Project Zero结合LLM的做法已经在一些场景下展示了效果。但Anthropic这次的不同之处在于它聚焦的是密码学的安全性而不是一般的代码漏洞。密码学漏洞的发现难度高于普通代码漏洞。Anthropic的后续研究文章则提供了一个更系统的视角。他们建立了一个自动化评估框架让Claude对已知的密码学实现有弱点和没有弱点的版本进行分析然后评估模型的分析能力边界。这个框架分为三个层次代码级漏洞检测如常量时间实现缺失、协议级漏洞检测如填充预言机攻击、设计级漏洞检测如密钥派生方案不合理。一个值得关注的细节是模型在分析OpenSSL中某个椭圆曲线实现的侧信道攻击时成功发现了已知漏洞并且提出了一个工程上可行的修复方案。这个修复方案不是随便替换一个安全库——而是基于特定的架构优化通过常量时间实现来消除时序差异。它对ARM和x86_64分别生成了不同的修复代码利用了不同架构的指令集特性。从工程角度看我注意到Anthropic在这项研究中采用了迭代分析模式。不是让模型一次性输出结果而是让模型先分解问题、生成分析计划、分步验证、再整合结论。这种思维链工具调用的混合模式正在成为复杂安全分析的标准操作方式。在实际应用中这种能力可以外推到几个方向。一是自动化代码审计——不是替代人工审计而是让AI完成第一轮扫描人为焦点验证高优先级告警。二是CTF竞赛或红队演练中的辅助工具——每个团队安全分析的时间周期可以从几周压缩到几天。不过目前这项技术仍然有明确的边界。Claude在分析未知的、没有公开文献的新算法时准确率显著下降。模型擅长的是在已知攻击范式如时序攻击、故障注入、缓存侧信道中找到变种而不是发现全新的攻击类型。这意味着AI目前更适合做已知安全模式的批量检查不适合做探索性安全研究。对开发者而言这个方向的实际意义不是AI可以自己找漏洞了而是密码学安全分析的门槛可能会降低。以前需要一个安全专家团队花几周才能完成的协议分析工作现在一个懂安全概念的开发者配合AI可能在几天内完成第一轮评估。从代码仓库的CI流程来看这个能力可以集成到代码提交前的安全检查中——不是替代现有的SAST工具而是在检测到加密相关代码变更时自动触发一轮AI辅助分析。如果模型认为存在潜在风险在PR上标记出来供reviewer确认。和Codex Security类似这里最务实的用法是把AI当作安全分析流程中的一个增强环节而不是替代品。关于维基框架维基框架关注企业应用开发中的长期维护问题。在实际项目中业务系统往往同时涉及权限、微服务、接口协议、部署环境等复杂因素因此我们希望提供一套更容易扩展和维护的基础框架。官网framewiki.comGiteegitee.com/wiki-frameworkGitHubgithub.com/wiki-framework示例项目gitee.com/cdkjframework/framewiki-example 许可证MulanPSL-2.0木兰宽松许可证第2版