AI ने क्रिप्टोग्राफ़िक कमज़ोरियाँ खोजीं जो विशेषज्ञों से छूट गई थीं — जानिए आपके व्यवसाय के लिए इसका क्या मतलब है

28 जुलाई 2026 को Anthropic ने कुछ ऐसा प्रकाशित किया जो एक साल पहले विज्ञान कथा जैसा लगता: एक AI मॉडल ने, काफ़ी हद तक अपने दम पर काम करते हुए, क्रिप्टोग्राफ़िक एल्गोरिदम में दो बिल्कुल नई कमज़ोरियाँ खोजीं — जिनमें एक पोस्ट-क्वांटम योजना की एक ख़ामी भी शामिल है, जिसकी मानव विशेषज्ञों ने दो साल तक समीक्षा की थी लेकिन उसे पकड़ नहीं पाए थे। अगर आप कोई व्यवसाय चलाते हैं, तो व्यावहारिक निष्कर्ष आश्वस्त करने वाला लेकिन महत्वपूर्ण है: आज आप जो कुछ भी इस्तेमाल करते हैं, उसमें कुछ भी टूटा नहीं है, और जिस सॉफ़्टवेयर पर आप निर्भर हैं, उसे बदलने की ज़रूरत नहीं है। जो बदला है, वह है दिशा — AI अब एन्क्रिप्शन पर हमला करने और उसकी रक्षा करने, दोनों के लिए एक गंभीर उपकरण है, और इसी कारण "क्रिप्टो-एजिलिटी" और पोस्ट-क्वांटम योजना को अपने रोडमैप में शामिल करना सार्थक है।

Anthropic ने वास्तव में क्या घोषणा की

Claude Mythos Preview नाम के एक मॉडल का उपयोग करते हुए, Anthropic के शोधकर्ताओं ने दो क्रिप्टएनालिसिस परियोजनाएँ चलाईं। पहली में, मॉडल ने HAWK में एक संरचनात्मक ख़ामी खोजी, जो NIST के तहत भविष्य के पोस्ट-क्वांटम डिजिटल-हस्ताक्षर मानकों का एक उम्मीदवार है। दूसरी में, उसने एक नई हमले की तकनीक ईजाद की — जिसे उसने "Möbius Bridge" नाम दिया — जो AES सिफ़र के जानबूझकर कमज़ोर किए गए संस्करण पर मौजूदा हमले को तेज़ करती है। हर परिणाम में मॉडल को कुछ ही दिन लगे और इसे विकसित करने में लगभग 100,000 डॉलर का API उपयोग ख़र्च हुआ। सबसे अहम बात यह है कि Anthropic ने ज़िम्मेदार प्रकटीकरण का पालन किया: उसने शिक्षाविदों से परामर्श किया, जून में HAWK पर हमले की जानकारी उस योजना के लेखकों के साथ साझा की, और सार्वजनिक करने से पहले NIST तथा सरकारी और उद्योग भागीदारों के साथ समन्वय किया।

HAWK की पोस्ट-क्वांटम ख़ामी, सरल शब्दों में

HAWK डिजिटल हस्ताक्षरों के लिए एक प्रस्तावित एल्गोरिदम है, जिसे भविष्य के क्वांटम कंप्यूटरों के ख़िलाफ़ भी सुरक्षित रहने के लिए डिज़ाइन किया गया है। इसकी सुरक्षा एक कठिन गणितीय समस्या (लैटिस आइसोमॉर्फ़िज़्म समस्या) पर टिकी है। मॉडल ने उस लैटिस में एक छिपी हुई समरूपता खोजी — एक "नॉनट्रिवियल ऑटोमॉर्फ़िज़्म" — जिसके मौजूद होने का संदेह पहले के शोधकर्ताओं को था, लेकिन वे इसे कभी खोज नहीं पाए थे। यह समरूपता एक तेज़ हमले को संभव बनाती है और प्रभावी कुंजी शक्ति को लगभग आधा कर देती है। छोटे शोध पैरामीटर HAWK-256 के लिए, अनुमानित हमले की लागत 2^64 से घटकर 2^38 हो गई। बड़े, वास्तविक दुनिया में उपयोग होने वाले पैरामीटर सेट (HAWK-512 और HAWK-1024) को तोड़ना अब भी अव्यावहारिक है। और चूँकि HAWK अभी भी NIST की समीक्षा में एक उम्मीदवार है — कहीं भी तैनात नहीं है — यह खोज ठीक उसी तरह का स्ट्रेस टेस्ट है जिसे पकड़ने के लिए मानकीकरण प्रक्रिया बनाई गई है।

AES पर Möbius Bridge हमला — और "7 राउंड" क्यों मायने रखते हैं

AES वह एन्क्रिप्शन मानक है जो ब्राउज़र, बैंकिंग ऐप और एन्क्रिप्टेड ड्राइव से गुज़रने वाले अधिकांश डेटा की रक्षा करता है। पूर्ण AES-128 दस आंतरिक "राउंड" चलाता है। मॉडल की Möbius Bridge तकनीक सात राउंड वाले एक छोटे शोध संस्करण पर हमला करती है और एक मौजूदा हमले को 200 से 800 गुना तक तेज़ बना देती है। यह नाटकीय लगता है, लेकिन बारीक शर्तें पढ़ें: यह असली AES को नहीं तोड़ता। आप हर दिन जिस दस राउंड वाले पूर्ण सिफ़र का उपयोग करते हैं, वह अछूता है, और सात राउंड वाला हमला भी, Anthropic के शब्दों में, "पूरी तरह अव्यावहारिक" बना हुआ है। कम राउंड वाले संस्करणों पर हमला करना क्रिप्टोग्राफ़रों के लिए किसी सिफ़र के सुरक्षा मार्जिन को मापने का एक सामान्य तरीका है — और यहाँ वह मार्जिन बरक़रार रहा।

आज आप जो इस्तेमाल करते हैं, उसमें कुछ भी क्यों नहीं टूटा

याद रखने वाली पंक्ति सीधे Anthropic से है: "इनमें से किसी भी परिणाम का आज के कंप्यूटर सिस्टम पर कोई व्यावहारिक प्रभाव नहीं है; इसके परिणामस्वरूप किसी भी प्रोडक्शन सॉफ़्टवेयर को बदलना नहीं पड़ेगा।" HAWK प्रोडक्शन में नहीं है। AES का परिणाम एक कमज़ोर किए गए संस्करण को निशाना बनाता है, न कि उस सिफ़र को जो आपके ट्रैफ़िक को सुरक्षित रखता है। इसलिए कोई पैच जल्दबाज़ी में लगाने की ज़रूरत नहीं है और कोई सिस्टम बदलने की ज़रूरत नहीं है। आप जो देख रहे हैं, वह इस बात की एक झलक है कि अब से सुरक्षा शोध कैसे काम करेगा।

आपके व्यवसाय के लिए इसका वास्तविक अर्थ

सुर्ख़ी यह नहीं है कि "एन्क्रिप्शन टूट गया है"। सुर्ख़ी यह है कि "खोजों की रफ़्तार बदल गई है"। Anthropic ख़ुद भविष्यवाणी करता है कि AI जल्द ही क्रिप्टोग्राफ़िक खोजें उससे तेज़ी से पैदा करेगा जितनी तेज़ी से मानव शोधकर्ता उन्हें सत्यापित कर सकते हैं। किसी व्यवसाय के लिए इसके तीन व्यावहारिक परिणाम हैं। पहला, किसी कमज़ोरी के मिलने और उसके दुरुपयोग के बीच का समय लगातार कम होता जाएगा, इसलिए तेज़ी से पैच लगाने और कुंजियाँ बदलने की आपकी क्षमता पहले से कहीं ज़्यादा मायने रखती है। दूसरा, वही उपकरण जो ख़ामियाँ खोजते हैं, आपके सिस्टम को मज़बूत भी कर सकते हैं — उम्मीद करें कि AI-सहायता प्राप्त सुरक्षा ऑडिट मानक बन जाएँगे। तीसरा, पोस्ट-क्वांटम क्रिप्टोग्राफी की ओर लंबे समय से नियोजित माइग्रेशन अब कोई दूर का अकादमिक अभ्यास नहीं है; ज़मीन खिसक रही है, और जो संगठन जानते हैं कि वे एन्क्रिप्शन का उपयोग कहाँ करते हैं, वे न जानने वालों की तुलना में कहीं तेज़ी से ख़ुद को ढाल लेंगे।

तैयारी की एक व्यावहारिक चेकलिस्ट

  • अपनी क्रिप्टोग्राफी की सूची बनाएँ। जानें कि आप कहाँ एन्क्रिप्शन और हस्ताक्षरों पर निर्भर हैं — अपनी वेबसाइटों और API पर TLS, स्टोर किया गया डेटा, VPN, दस्तावेज़ हस्ताक्षर और भुगतान प्रवाह।
  • क्रिप्टो-एजिलिटी के लिए डिज़ाइन करें। सिस्टम ऐसे बनाएँ कि पूरे उत्पाद की आर्किटेक्चर दोबारा बनाए बिना किसी एल्गोरिदम को बदला जा सके। इस समय यही सबसे मूल्यवान आदत है।
  • पोस्ट-क्वांटम रास्ते की योजना बनाएँ। NIST के पोस्ट-क्वांटम मानकों पर नज़र रखें और उच्च-मूल्य, लंबे समय तक रहने वाले डेटा के लिए पायलट शुरू करें — ऐसा कुछ भी जिसे कोई हमलावर "अभी स्टोर करके बाद में डिक्रिप्ट" कर सकता है।
  • पैचिंग में अनुशासन बनाए रखें। तेज़ खोज का मतलब है तेज़ प्रतिक्रिया; कुंजी रोटेशन और डिपेंडेंसी अपडेट को आपात स्थिति नहीं, बल्कि दिनचर्या बनाएँ।
  • इसे अनुपालन से जोड़ें। मज़बूत और अद्यतन एन्क्रिप्शन सऊदी अरब के व्यक्तिगत डेटा संरक्षण कानून (PDPL) और डेटा-संरक्षण अपेक्षाओं के तहत एक मुख्य नियंत्रण है — इसे एक बार का सेटअप नहीं, बल्कि एक निरंतर कार्यक्रम मानें।

Origami इसे कैसे देखता है

Origami में हम सुरक्षा को बाद में सोची गई चीज़ नहीं, बल्कि डिज़ाइन की एक अनिवार्य शर्त मानकर सॉफ़्टवेयर बनाते हैं। इसका मतलब है क्रिप्टो-एजाइल आर्किटेक्चर, समझदारी भरा कुंजी प्रबंधन, डिपेंडेंसी की निगरानी, और ऐसे सिस्टम जो इतनी अच्छी तरह से प्रलेखित हों कि भविष्य में एल्गोरिदम बदलना दोबारा लिखने के बजाय सिर्फ़ एक कॉन्फ़िगरेशन परिवर्तन हो। जैसे-जैसे AI सुरक्षा में हमले और बचाव दोनों को नया आकार दे रहा है, हमारा काम आपके सिस्टम को उस रेखा के बचाव वाले पक्ष में रखना है — अद्यतन, ऑडिट योग्य और बदलाव के लिए तैयार। अगर आप स्पष्ट रूप से जानना चाहते हैं कि आपका व्यवसाय क्रिप्टोग्राफी का उपयोग कहाँ करता है और आने वाले बदलावों के लिए वह कितना तैयार है, तो यही वह समीक्षा है जिसे संचालित करने में हम सऊदी संगठनों की मदद करते हैं।

स्रोत

  • Anthropic — "Discovering cryptographic weaknesses with Claude": anthropic.com
  • NIST — पोस्ट-क्वांटम क्रिप्टोग्राफी परियोजना: csrc.nist.gov