Anthropicは2026年7月28日、Claude Mythos Previewを使った暗号解析で2件の研究成果を得たと発表した。1件は米国立標準技術研究所（NIST）が評価中の耐量子デジタル署名「HAWK」に対する鍵回復攻撃で、小規模なHAWK-256では推定コストを従来の2^64から2^38へ下げ、1台のサーバーで数時間以内に秘密鍵を回収した。もう1件はAES-128を7ラウンドへ縮小した版への攻撃で、推定時間を2^99から2^89.3〜2^91.4へ短縮した。

どちらも実運用中の暗号システムを破った成果ではない。HAWKは標準化前の候補であり、実証されたのは小さなパラメーターセットだ。AES-128は標準では10ラウンドを使ううえ、今回の攻撃は2^105個もの選択平文を必要とする。それでも注目すべきなのは、Mythosによる探索対象が暗号ライブラリのプログラムミスから、暗号方式の安全性を支える数学的な仮定や既知攻撃の計算量へ踏み込んだことにある。

AD

HAWKの鍵回復、近道は公開鍵に潜む対称性

HAWKは格子暗号に基づくデジタル署名方式で、NISTが進める「追加デジタル署名方式」の第3ラウンドに残った9候補の一つだ。この段階は採用決定ではなく、専門家が安全性や実装性能を公開の場で検証する選考過程に当たる。第3ラウンドで格子ベースに分類される候補はHAWKだけである。

HAWKの秘密鍵は短い基底B、公開鍵はそこから作るグラム行列Q=B*Bとして表せる。これまでの鍵回復は、整数格子の短いベクトルを探すBKZ格子基底簡約で、階数2nの鍵格子を正面から攻めていた。AnthropicのZygimantas Straznickas氏とStephen A. Weis氏がまとめた論文は、HAWKが使う2冪円分体に、通常の複素共役とは別の位数2のガロア自己同型「τ:ζ→-ζ」がある点に目を付けた。

2人は公開鍵Qだけから、秘密基底の変換Vτ=B^-1τ(B)を最短ベクトルとして含む階数nの「コサイクル格子」を組み立てた。この最短ベクトルから自己同型を取り出し、降下を通じて同等の署名鍵を回収できる。論文が示したのは、HAWK-nの鍵回復を、次元n/2+1の厳密最短ベクトル問題（SVP）への多項式回の問い合わせへ帰着する方法だ。

ここで「多項式回」は、HAWKの鍵が多項式時間で破れるという意味ではない。問い合わせ先のSVP自体が依然として難しく、計算量は指数関数的に残る。ただし攻撃に必要な次元が下がる効果は大きい。論文のゲート数モデルでは、各パラメーターの推定値は次のように変わる。

パラメーター 従来の推定コスト 新しい推定上限 実証状況
HAWK-256 2^64 2^38 1台のサーバーで数時間
HAWK-512 2^150 2^108 実用的な攻撃ではない
HAWK-1024 2^288 2^182 実用的な攻撃ではない

Anthropicによると、従来と同程度の安全性を取り戻すには鍵サイズをおおむね倍にする必要があり、コンパクトな鍵というHAWKの利点が薄れる。攻撃はHAWK固有の代数構造を使うため、別の格子署名Falconには移せない。ほかのNIST耐量子署名や格子暗号全般が弱くなったわけでもない。Anthropicは6月にHAWKの開発者へ内容を共有し、論文公開と同時にNISTのメーリングリストへ開示したとしている。

7ラウンドAESで消えた1バイト分の総当たり

AESは128ビットのブロックを暗号化する共通鍵暗号で、AES-128、AES-192、AES-256はそれぞれ異なる長さの鍵を使う。今回の対象であるAES-128は標準では10ラウンドの変換を繰り返す。暗号研究ではラウンド数を減らした版を攻撃し、安全余裕や内部構造を測る。7ラウンドへの攻撃記録が更新されても、そのまま10ラウンドへ届くわけではない。

Milad Nasr氏とNicholas Carlini氏の論文は、2013年に示された中間一致攻撃を出発点とした。従来法は2^105個の選択平文、2^99相当の計算、2^90ブロックの記憶領域を必要とする。攻撃者は暗号の前半と後半から鍵の一部を推測し、4ラウンド分の中間状態が一致するかを巨大な表で照合する。

Mythosが見つけた「Möbius Bridge」は、AESのS-boxが有限体上の逆数演算とアフィン変換からできていることを利用する。未知の鍵1バイトが変わっても同じ値になる指紋を構成し、従来必要だった9バイトの推測から1バイト分を外す。候補数だけを見れば256分の1になるが、指紋を計算する処理にも費用がかかる。パック化した表やGrayコードによる探索、XOR分離キャッシュなどを組み合わせた最終的な短縮幅は約200〜800倍で、時間計算量は2^89.3〜2^91.4と見積もられた。

この数字も実行可能な攻撃を意味しない。2^105個の選択平文を集める条件からして現実離れしており、新しい時間計算量もなお巨大だ。研究者はフルサイズの攻撃を最後まで走らせる代わりに、指紋の不変性を証明し、一部をLeanで形式化した。小さくしたAES類似暗号では鍵回復を完走し、攻撃を構成する個々の処理時間も測った。主張を支える検証は重ねたが、最小でも2^89.3と見積もる攻撃そのものを実測した結果ではない。

AD

発見より検証が長い、AI暗号研究の新しい律速

HAWKの成果には半自律的な複数エージェント構成が使われ、約60時間で発見から実装、検証まで進んだ。人間はプロジェクト管理や非技術的な助言を時折与え、AnthropicはAPI利用額を約10万ドルと見積もる。格子暗号を専門としない理論計算機科学の研究者が進行役を務めた点も、専門探索の範囲をAIが広げる可能性を示す。

AES側では人間が実験基盤と目標を用意した。Mythosは当初、依頼を拒んだり新規成果は不可能だと答えたりしたが、人間が数回、既知手法の要約ではなく7ラウンドに対する新しい結果を探すよう促した。3日間と数億トークンで最初の攻撃へ到達し、総出力がおよそ10億トークンになるまで改良を続けた。こちらもAPI費用は約10万ドルだった。

「自律的」という言葉の範囲はここにある。用意された足場の中で攻撃の核を発見したのはモデルだが、研究課題の設定、継続を促す判断、正しさの確認、開示と出版は人間が担った。AESの発見が約1週間だったのに対し、研究者は数百時間、ほぼ1カ月を検証に費やした。生成量を増やすだけでは、暗号研究の処理能力は増えない。新規性を調べ、誤った証明や計算量評価を排除し、実際の安全性へどう影響するかを判断する工程が次の律速になる。

標準化前に壊すことが、防御になる

今回の2件は、暗号解析が期待通りに機能した例でもある。HAWKは採用前に攻撃へさらすための公開候補であり、弱点が見つかればパラメーターや設計を直すか、候補から外せる。縮小版AESへの攻撃は、10ラウンドとの距離を測り、どの構造が安全余裕を支えるかを理解する材料になる。見つかった事実より、「インターネットの暗号が破られた」と範囲を広げて伝える方が危険だ。

AnthropicはETH Zurich、Tel Aviv University、University of Haifaの研究者らと、191問からなる「CryptanalysisBench」も公開した。5つのフロンティアモデルは、既知の実用的攻撃があるTier 1で65〜86%を解き、より難しいTier 2のフル強度版では6〜12方式、縮小版を含めると24〜61方式を解いた。ただし、これは公開直後のarXivプレプリントとベンチマークの一時点であり、モデルが実運用暗号を日常的に破れるという証拠ではない。

次に問われるのは攻撃を生み出す能力と、結果を受け止める能力の両方だ。独立した暗号研究者が新結果を再現できるか、NISTとHAWK開発陣がパラメーターをどう扱うか、モデルが出す大量の候補を人間が検証できるかである。将来、標準化前の候補ではなく配備済み方式に結果が届けば、修正と公表の時間差が直接リスクになる。AI暗号解析の本当の備えは、強いモデルを持つことより、検証と責任ある開示を発見速度に追いつかせることにある。