Как показать, что PRF в 4.8(b) небезопасен?

Пусть F — PRF, определенный над $F:\{0, 1\}^n \times \{0, 1\}^n \to Y$.

1. Мы говорим, что $F$ является XOR-гибким, если $F(k, x \oplus c) = F(k, x) \oplus c$ для всех $к, х, с \in \{0, 1\}^n$.

2. Мы говорим, что $F$ является ключом XOR-гибким, если $F(k \oplus c, x) = F(k, x) \oplus c$ для всех $к, х, с \in \{0, 1\}^n$.

Ясно, что XOR-податливый PRF не может быть безопасным: податливость позволяет злоумышленнику отличить PRF от случайной функции. Покажите, что то же самое верно и для ключевого XOR-податливого PRF.

Примечание. Напротив, мы отмечаем, что существуют защищенные PRF, в которых $F(k_1\oplus k_2, x) = F(k_1, x)\oplus F(k_2, x)$.

Я не знаю, как создать злоумышленника, чтобы определить, что это небезопасный PRF.Меня смущает то, что в этой теме изменился ключ, но для злоумышленника ключ не назначается, поэтому я очень запутался. Я обсуждал с другими в течение длительного времени безрезультатно, поэтому я прихожу сюда за советом. Большое спасибо!