Künstliche Intelligenz beschleunigt die Kryptoanalyse. Die Kryptographie muss sich anpassen lernen. 

Im Juli 2026 veröffentlichte Anthropic zwei Kryptoanalyseergebnisse, die mit Claude Mythos Preview erzielt wurden. Eines verbesserte einen Angriff auf HAWK, ein vorgeschlagenes Post-Quanten-Signaturverfahren. Das andere verbesserte einen Angriff auf eine sieben Runden umfassende Version von AES. Anthropic wies ausdrücklich auf die Grenzen hin: Keines der Ergebnisse hat derzeit Auswirkungen auf produktive Systeme. 

Diese Einschränkung ist der richtige Ausgangspunkt. Künstliche Intelligenz hat die eingesetzte Verschlüsselung nicht plötzlich überflüssig gemacht. Sie hat lediglich die Geschwindigkeit verändert, mit der Forscher eine Vielzahl von Techniken durchsuchen, Hypothesen testen, Experimente entwerfen und unbekannte Konstrukte erforschen können. Der unmittelbare Effekt ist eine Beschleunigung der kryptanalytischen Arbeit, keine magische Abkürzung durch komplexe Mathematik. 

Die praktische Frage ist daher nicht, ob KI „Kryptographie knacken“ wird. Vielmehr geht es darum, welche Teile eines kryptographischen Systems unter Druck stehen, was aktuelle Ergebnisse tatsächlich zeigen und ob die Verteidiger reagieren können, bevor aus einem Forschungsergebnis ein operativer Vorfall wird. 

Drei Gründe, warum ein kryptografisches System versagen kann  

Die kryptografische Sicherheit verfügt über mindestens drei Schichten, die nicht als austauschbar betrachtet werden sollten. 

Die erste ist die BaugewerbeDer Algorithmus, seine Parameter und die zugrunde liegenden mathematischen Annahmen müssen öffentlich zugänglich sein. Von einem öffentlichen Verschlüsselungsalgorithmus wird erwartet, dass er von allen überprüft wird. Seine Sicherheit beruht darauf, dass ein Angreifer das entsprechende Problem mit den verfügbaren Ressourcen nicht lösen kann. Ein digitales Signaturverfahren muss es jedem ermöglichen, eine Signatur zu überprüfen, ohne dass eine Fälschung möglich wird. Sicherheitsbeweise präzisieren diese Aussagen, jedoch nur unter festgelegten Annahmen und für ein bestimmtes Sicherheitsziel. 

Die zweite ist die ImplementierungEin mathematisch korrekter Algorithmus kann durch Timing, Cache-Verhalten, Stromverbrauch, elektromagnetische Emissionen usw. Schwächen aufweisen.safe Zufällige oder fehlerhafte Antworten können auftreten. Eine Implementierung kann auch eine korrekte primitive Funktion falsch verwenden oder durch einen gewöhnlichen Programmierfehler ein Geheimnis preisgeben. Keiner dieser Angriffe muss das zugrundeliegende mathematische Problem lösen. 

Der dritte ist BetriebSchlüssel müssen regelmäßig ausgetauscht werden. Kompromittierte Clients müssen gesperrt werden. Protokolle benötigen die Möglichkeit zur Weiterentwicklung von Algorithmen. Sicherheitsteams müssen wissen, wo Kryptografie eingesetzt wird und welche Daten von welchem ​​Schlüssel abhängen. Ein System, das sich nach dem Auffinden einer Schwachstelle nicht ändern lässt, ist in der Praxis weniger widerstandsfähig, als der Name des Algorithmus vermuten lässt. 

Diese Unterscheidung erklärt auch, warum die jüngsten KI-Ergebnisse nicht als ein einziger, undifferenzierter Angriff auf Verschlüsselung zusammengefasst werden sollten. HAWK betrifft die Konstruktion eines Kandidaten. Das AES-Ergebnis betrifft ein reduziertes Forschungsziel. Die BSI-Beispiele betreffen die Implementierungsanalyse. Jedes Ergebnis hat ein anderes Bedrohungsmodell und eine andere praktische Bedeutung. 

Kryptographie ist Teil einer größeren Angriffsfläche 

Kryptographie versagt selten isoliert. Die Umgebung einer Basisfunktion beeinflusst, wie ein Angreifer diese beobachtet, testet und darauf reagiert. 

Eine Studie von Petar Radanliev aus dem Jahr 2026 kommt aus einer anderen Perspektive zu einem ähnlichen Schluss. Ihre Methodik kombiniert bibliometrische Analysen mit zwanzig Experteninterviews und drei Branchenworkshops, um KI-gestützte Angriffe auf Public-Key-Systeme zu untersuchen. Die Studie argumentiert, dass kryptografische Sicherheit als adaptive Systemeigenschaft und nicht allein als Funktion der Algorithmenstärke betrachtet werden sollte. Die Ergebnisse der Interviews und Workshops geben zwar Aufschluss über die Bedenken von Praktikern, die kleine qualitative Stichprobe sollte jedoch nicht als repräsentative Schätzung für die Gesamtbevölkerung interpretiert werden. 

Diese systemweite Betrachtungsweise ist hier hilfreich, da sie die Ebenen Konstruktion, Implementierung und Betrieb miteinander verbindet. KI kann Schwachstellen in einem System aufspüren, Sicherheitslücken in der Implementierung analysieren und die Reaktionsfähigkeit nach einem Sicherheitsvorfall verbessern. Dies sind unterschiedliche Fähigkeiten, die jedoch alle Systeme belohnen, die überprüft, verifiziert und angepasst werden können. 

Dieselbe Beschleunigung kann die Nachahmung von Anwendungen verbilligen, auch in Systemen mit Public-Key-Kryptografie. Anwendungen können im Rahmen ihres normalen Betriebs einen öffentlichen Schlüssel oder ein Zertifikat mitführen, beispielsweise um eine Zertifizierungsstelle zu identifizieren oder signierte Nachrichten zu verifizieren. Diese Informationen sind zwar für die Öffentlichkeit bestimmt, können aber dennoch für Nachahmungsversuche missbraucht werden. Schadsoftware kann sie extrahieren und in eine täuschend ähnliche Anwendung kopieren, wenn ein Backend oder eine Sicherheitsprüfung die Vorlage eines bestimmten Schlüssels oder Zertifikats als Nachweis der Anwendungsidentität interpretiert. KI-gestützte Schadsoftware könnte diese Extraktion automatisieren, Anfrageflüsse rekonstruieren, den täuschend ähnlichen Client generieren und seinen Datenverkehr an die sich ändernde Anwendung anpassen. 

Extrahiertes öffentliches Material kann weder die entsprechenden Signaturen fälschen noch Daten entschlüsseln. Die Schwäche liegt darin, dass das umgebende Protokoll öffentliches kryptografisches Material fälschlicherweise als Beweis dafür interpretiert, dass eine Anfrage von der authentischen Anwendung stammt. Wenn die Identität des Clients relevant ist, benötigt der Server ein stärkeres Signal, beispielsweise eine Plattform-Attestierung (sofern verfügbar) oder eine Signatur, die den Besitz eines auf dieser Installation generierten und geschützten privaten Schlüssels belegt. KI beschleunigt zwar die Extraktion und den Aufbau des imitierenden Clients, bricht aber nicht den zugrunde liegenden Public-Key-Algorithmus. 

Was die jüngsten Ergebnisse zeigen 

HAWK: ein wichtiges Ergebnis gegen einen Kandidaten 

Anthropic meldete einen verbesserten Angriff zur Schlüsselwiederherstellung gegen HAWK, ein vorgeschlagenes postquantenmechanisches Signaturverfahren, das auf dem Gitterisomorphieproblem basiert. HAWK hatte mehrere Runden des NIST-Verfahrens für zusätzliche postquantenmechanische Signaturverfahren durchlaufen, war aber weder implementiert noch in Standards aufgenommen worden. Das HAWK-Projekt vermerkt nun, dass das Verfahren nach Bekanntwerden des Angriffs aus dem Verfahren zurückgezogen wurde. 

Das Ergebnis ist dennoch bedeutsam. Laut Anthropic halbiert der Angriff die Schlüsselstärke von HAWK effektiv. Der Angriff verläuft weiterhin exponentiell und führt nicht zu einem praktisch polynomiellen Durchbruch, und größere Parametersätze bleiben schwer anzugreifen. Die Wiederherstellung der angestrebten Sicherheitsmarge würde jedoch Änderungen erfordern, die einige der Effizienzvorteile von HAWK beeinträchtigen. 

Dies ist eine Erkenntnis auf Konstruktionsebene, kein Urteil über die Post-Quanten-Kryptographie im Allgemeinen. Der Angriff ist spezifisch für HAWK. Er lässt sich nicht direkt auf Falcon übertragen, das auf einem anderen schwierigen Problem basiert, und beweist auch nicht, dass gitterbasierte Kryptographie im Allgemeinen angreifbar ist. Der Wert des Ergebnisses liegt gerade darin, dass eine öffentliche Überprüfung eine Schwachstelle aufdeckte, bevor HAWK zum Standard in implementierten Systemen wurde. 

AES mit reduzierten Runden: Ein Forschungsfortschritt, keine praktische Lösung. 

Das zweite Ergebnis von Anthropic betrifft eine Sieben-Runden-Version von AES-128. Das vollständige AES-128 verwendet zehn Runden; AES-192 und AES-256 verwenden zwölf bzw. vierzehn Runden. Kryptoanalytiker untersuchen Versionen mit reduzierter Rundenzahl, da diese eine Möglichkeit bieten, Angriffstechniken zu testen und Sicherheitsmargen abzuschätzen, ohne den vollständigen Verschlüsselungsalgorithmus knacken zu müssen. 

Anthropic berichtet über eine neue Meet-in-the-Middle-Technik, die bisherige Angriffe auf AES mit sieben Runden um das 200- bis 800-Fache verbessert, je nach Messmethode der Laufzeit. Der Angriff setzt weiterhin ein Chosen-Plaintext-Szenario voraus, in dem ein Angreifer die Verschlüsselung vieler Eingaben mit einem festen, unbekannten Schlüssel anfordern kann. Die bisherige Methode benötigt etwa 2105 Die Auswahl von Klartexten macht das Experiment im Vergleich zu herkömmlichen Systemen völlig unpraktisch. 

Dies ist ein nützlicher Beleg dafür, dass KI zur kryptanalytischen Forschung beitragen kann. Es ist jedoch kein Beweis dafür, dass HTTPS, Festplattenverschlüsselung oder andere Systeme, die AES mit vollständigen Runden verwenden, dringend migriert werden müssen. Ein Ergebnis nach sieben Runden kann nicht als Bruch von AES mit zehn Runden dargestellt werden, ohne die Bedingung zu beseitigen, die dem Ergebnis überhaupt erst Bedeutung verleiht. 

CryptanalysisBench: Leistungsfähigkeit systematischer messen 

Ein Benchmark ist kein Angriff auf implementierte Kryptographie, aber er kann zeigen, ob Modelle bei der Arbeit, die zu Angriffen führt, nützlich werden. CryptanalysisBench Bewertet Sprachmodelle anhand von 191 Aufgaben, die sechs Familien kryptographischer Primitiven abdecken. 

Die Arbeit unterteilt die Aufgaben in drei Hauptgruppen: Verfahren mit bekannten praktischen Schwachstellen; Verfahren ohne bekannte praktische Schwachstellen, getestet in voller Stärke und in abgeschwächten Varianten; und anspruchsvolle Aufgaben, die die Grenzen der Kryptoanalyse repräsentieren sollen. Die präsentierten Ergebnisse zeigen, dass Spitzenmodelle einen Großteil der Aufgaben mit bekannten Schwachstellen lösen, mehrere Aufgaben der zweiten Gruppe in voller Stärke lösen und viele weitere abgeschwächte Varianten lösen. 

Die Autoren berichten außerdem über einen Angriff zur Schlüsselwiederherstellung, der einen Konstruktionsfehler in der authentifizierten Verschlüsselung des SpoC und einen Fehler im veröffentlichten Sicherheitsbeweis von KINDI für gewählte Chiffretexte ausnutzt. Diese Ergebnisse sollten mit Vorsicht interpretiert werden: Die Autoren präsentieren sie als neuartig, nicht als Grund anzunehmen, dass jede ähnliche Konstruktion sicher ist.safeIhre Bedeutung liegt darin, dass die Modellausgabe nun konkrete Aussagen liefern kann, die Forscher anhand realer Spezifikationen und Implementierungen überprüfen können. 

Der praktische Nutzen des Benchmarks ist daher zweifach. Er ermöglicht Forschern die Messung von Fortschritten und bietet einen möglichen Stresstest vor der Implementierung für Kandidatensysteme. Er ersetzt jedoch nicht die Notwendigkeit einer Expertenprüfung. Ein Modell kann ein überzeugendes Argument liefern, das auf eine schwächere Variante abzielt, eine Annahme falsch darstellt oder einen subtilen Fehler enthält. Je kostengünstiger die Entdeckung wird, desto wertvoller wird die unabhängige Verifizierung. 

KI spielt bereits auf der Implementierungsebene eine Rolle. 

Die Verbindung zwischen KI und Kryptographie beschränkt sich nicht auf große Sprachmodelle. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt maschinelles Lernen als etablierte Technik in der Seitenkanalanalyse. Ein Seitenkanalangriff lernt aus unbeabsichtigten Effekten der Datenverarbeitung, wie Laufzeit, Stromverbrauch, elektromagnetische Emissionen oder Cache-Verhalten. 

Das BSI berichtet, dass sein Team im Rahmen der CHES Challenge 2018 ein neuronales Netzwerk mit einem SAT-Solver kombinierte, um einen AES-Geheimschlüssel aus Stromverbrauchskurven zu rekonstruieren. In der Challenge 2020 wandte das Team verwandte Techniken auf Clyde-128 an, eine ressourcenschonende Verschlüsselungsimplementierung, die gegen Seitenkanalangriffe resistent ist. Diese Beispiele brechen AES nicht als mathematische Konstruktion, sondern gewinnen Informationen zurück, die durch eine physikalische Implementierung preisgegeben wurden. 

Diese Unterscheidung ist für Verteidiger von Bedeutung. KI kann Angreifern helfen, verrauschte Messwerte zu verarbeiten, relevante Merkmale auszuwählen, Hypothesen zu vergleichen und statistische Erkennung mit der exakten Schlüsselwiederherstellung zu verknüpfen. Sie kann Verteidigern auch helfen, Sicherheitslücken während Tests aufzudecken. Das BSI untersucht, wie diese Methoden auf asymmetrische und Post-Quanten-Implementierungen anwendbar sind, und stellt fest, dass die besten Ergebnisse oft maschinelles Lernen mit Expertenwissen kombinieren. 

Die Lehre daraus ist nicht, dass maschinelles Lernen die Expertise in der Kryptoanalyse ersetzt. Vielmehr ist die Implementierungssicherheit bereits ein praktisches Forschungsgebiet, in dem die Automatisierung die Kosten spezialisierter Analysen senken kann. 

White-Box-Kryptographie ist eine Kostenfalle, keine Vertrauensgrenze. 

Die White-Box-Kryptographie eignet sich gut als Fallbeispiel, da sie das Implementierungsproblem besonders deutlich macht. Angenommen, eine Anwendung muss ein Lizenztoken verifizieren oder eine Clientanfrage authentifizieren. Ein herkömmlicher Message Authentication Code (MAC) basiert auf einem geheimen Schlüssel. Erhält ein nicht vertrauenswürdiger Client diesen Schlüssel, kann ein Angreifer, der die Kontrolle über den Client erlangt hat, potenziell gültige MACs erstellen, unabhängig von der Stärke des verwendeten kryptografischen Algorithmus. 

White-Box-Verfahren erschweren das Extrahieren des eingebetteten Schlüssels durch die Kombination mit verschleiertem Code, transformierten Nachschlagetabellen und anderen Implementierungstechniken. Sie sind für Software konzipiert, die in einer Umgebung läuft, die der Benutzer überprüfen und manipulieren kann. Dadurch eignen sie sich, um die Kosten von Angriffen auf rein softwarebasierte Zahlungskomponenten, Lizenzsysteme, Inhaltsschutz und einige geräteinterne Modellschutzmechanismen zu erhöhen. 

Sie machen den Client nicht zu einer vertrauenswürdigen Umgebung. In einem Vortrag von Microsoft Research aus dem Jahr 2016 beschrieben die Autoren der Differential Computation Analysis ein Software-Pendant zur differentiellen Leistungsanalyse. Ihre Tools zeichneten Speicherzugriffsspuren von instrumentierter Software auf und nutzten schlüsselabhängige Korrelationen, um Schlüssel aus öffentlich verfügbaren White-Box-Implementierungen standardisierter Kryptografie zu extrahieren. Der Angriff erforderte weder Zugriff auf die Lookup-Tabellen des Herstellers noch herkömmliches Reverse Engineering. 

DCA ist kein Ergebnis von KI. KI kann zwar Teile der Spurenanalyse beschleunigen, dies ist jedoch eine zukünftige Möglichkeit und nicht durch die DCA-Quelle selbst demonstriert. Die festgestellte Schlussfolgerung ist bereits ausreichend: Die Verschleierung einer Berechnung entfernt nicht die von ihr erzeugten Informationen. 

White-Box-Kryptografie kann eine sinnvolle Maßnahme sein, wenn vertrauenswürdige Hardware nicht verfügbar ist oder nicht geräteübergreifend eingesetzt werden kann. Sie sollte jedoch nicht als alleiniger Schutz für sensible Geheimnisse oder Transaktionen betrachtet werden. Serverseitige Autorisierung, hardwarebasierte Schlüssel (sofern verfügbar), Codesignierung, Integritätsprüfungen zur Laufzeit, Überwachung, kurzlebige Anmeldeinformationen und ein Widerrufsmechanismus decken verschiedene Fehlerszenarien ab. Das Design sollte davon ausgehen, dass der Client möglicherweise modifiziert oder extrahiert werden kann. 

Was bietet immer noch eine stärkere Position? 

Kein Algorithmus bietet eine dauerhafte Garantie. Eine stärkere Position ergibt sich aus der Kombination mehrerer Eigenschaften: 

- Öffentlich geprüfte Bauarbeiten in voller Stärke. Ein finalisierter, umfassend analysierter Standard mit einer sinnvollen Sicherheitsmarge ist ein besserer Ausgangspunkt als ein proprietäres Design oder ein Experiment mit reduzierter Anzahl an Runden. (NIST) ML-KEM und ML-DSA Normen profitieren von öffentlicher Analyse, aber die Standardisierung macht zukünftige Überprüfungen nicht überflüssig. 

- Konservative Annahmen und Sicherheitsmargen. Ein Sicherheitskonzept sollte nicht darauf basieren, dass der beste bekannte Angriff nur geringfügig teurer ist als das erforderliche Sicherheitsniveau. Kandidatenkonzepte müssen auch nach erfolgreicher erster Prüfung weiterhin analysiert werden. 

- Gehärtete Implementierungen. Verhalten bei konstanter Zeit, safe Zufälligkeit, Seitenkanaltests, Fehlerresistenz, sichere Schlüsselspeicherung und korrekte Protokollzusammensetzung schützen die Lücke zwischen einer Basisfunktion und dem Gerät, das sie ausführt. BSI-Leitfaden zur Seitenkanalresistenz Er betrachtet dies als ein technisches und Bewertungsproblem, nicht als eine Eigenschaft, die sich automatisch aus dem Namen eines Algorithmus ergibt. 

- Öffentliche Schlüsselmaterialien dürfen nicht als Nachweis der Identität der Anwendung betrachtet werden. Ein aus einer App extrahierter öffentlicher Schlüssel oder ein Zertifikat kann in einen ähnlichen Client kopiert werden. Seine Anwesenheit kann eine schwache Identitätsprüfung umgehen, aber er kann allein keine gültige Signatur erzeugen. Wenn die Identität des Clients wichtig ist, verwenden Sie – sofern verfügbar – die Plattformattestierung oder einen pro Installation generierten und auf dem Gerät geschützten privaten Schlüssel, fordern Sie einen Besitznachweis an und unterstützen Sie den Widerruf. 

- Unabhängige Überprüfung. Reproduzieren Sie einen Angriff, überprüfen Sie seine Parameter, testen Sie seinen Code und überprüfen Sie den Satz, den er tatsächlich beweist. Formale und maschinenlesbare Beweise können hilfreich sein, aber Experten müssen dennoch bestätigen, dass die formale Aussage mit der relevanten Sicherheitsaussage übereinstimmt. 

- Die Möglichkeit, Komponenten auszutauschen. Inventarisieren Sie kryptografische Abhängigkeiten, trennen Sie Algorithmen von der Anwendungslogik, versionieren Sie Protokolle, unterstützen Sie einen geordneten Migrationspfad, rotieren Sie Schlüssel und widerrufen Sie kompromittierte Clients. Das ist Krypto-Agilität in der Praxis. 

Bei Software auf benutzergesteuerten Geräten muss eine weitere Trennung beachtet werden. Vertraulichkeit, Integrität, Gerätevertrauen und Autorisierung sind unterschiedliche Sicherheitsziele. White-Box-Verfahren können zwar bei einem Teil des Designs hilfreich sein, aber nicht alle Ziele gleichzeitig erfüllen. 

Resilienz bedeutet die Fähigkeit, sich zu bewegen 

KI-gestützte Kryptoanalyse verändert das Tempo der Sicherheitsforschung. Kandidaten können gründlicher durchsucht werden. Seitenkanalangriffe lassen sich in größerem Umfang verarbeiten. Ein potenzieller Angriff kann zu ausführbarem Code werden, bevor ein Expertenteam die relevante Literatur vollständig gelesen hat. Dadurch gewinnen Verifizierung, Reproduzierbarkeit und Expertenurteil an Bedeutung.  

Die unmittelbare Reaktion besteht nicht darin, etablierte Kryptografie aufzugeben. Vielmehr geht es darum, das umgebende Sicherheitsprogramm leichter überprüfbar und veränderbar zu gestalten. Verwenden Sie öffentlich zugängliche Konstruktionen mit großzügigen Sicherheitsmargen. Testen Sie reale Implementierungen auf Sicherheitslücken. Behandeln Sie modellgenerierte Ergebnisse als Hypothesen, bis sie unabhängig reproduziert werden können. Verfolgen Sie, wo Algorithmen und Schlüssel verwendet werden. Üben Sie die Migration vor einem Notfall. 

Kryptographie ist nicht deshalb widerstandsfähig, weil sie geheimnisvoll ist. Sie ist widerstandsfähig, wenn ihre Annahmen öffentlich sind, ihre Implementierungen getestet werden, ihre Aussagen überprüfbar sind und ihre Anwender Komponenten austauschen können, sobald neue Erkenntnisse die Sachlage verändern. Künstliche Intelligenz wird die Werkzeuge der Angreifer stetig verbessern. Verteidiger benötigen Systeme, die sich in vergleichbarem Tempo weiterentwickeln und verändern können. 

Quellen und weiterführende Literatur 

• „Anthropic: Kryptografische Schwachstellen mit Claude entdecken“: https://www.anthropic.com/research/discovering-cryptographic-weaknesses 

• „CryptanalysisBench: Können LLMs Kryptoanalyse durchführen?“: https://arxiv.org/abs/2607.18538 

• „Matthew Green: Einige Gedanken zu den neuen Kryptoanalyseergebnissen von Anthropics“: https://blog.cryptographyengineering.com/2026/07/29/some-notes-about-anthropics-new-results/ 

• „BSI: Anwendungen künstlicher Intelligenz in der Kryptographie“: https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Kryptografie/KI-in-der-Kryptografie/ki-in-der-kryptografie.html 

• „BSI: Seitenkanalresistenz“: https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Kryptografie/Seitenkanalresistenz/seitenkanalresistenz_node.html 

• „NIST FIPS 203: Modulgitterbasierter Schlüsselkapselungsmechanismus-Standard“: https://csrc.nist.gov/pubs/fips/203/final 

• „NIST FIPS 204: Modulgitterbasierter Standard für digitale Signaturen“: https://csrc.nist.gov/pubs/fips/204/final 

• „HAWK: Ein Signaturschema, inspiriert vom Gitterisomorphieproblem“: https://hawk-sign.info/ 

• „Microsoft Research: Differential Computation Analysis“: https://www.microsoft.com/en-us/research/video/differential-computation-analysis-hiding-your-white-box-designs-is-not-enough/ 

• „Radanliev: KI-gesteuerte adaptive Angreifer und die Erosion des kryptografischen Vertrauens in Public-Key-Systemen“: https://link.springer.com/article/10.1186/s40543-026-00547-y