Anthropicが公開した話は、かなり刺激的です。自社のAIモデル「Claude Mythos Preview」が、ポスト量子暗号の候補だった HAWK-256 の鍵回復攻撃を組み立て、さらに 7ラウンドのAES-128 に対する攻撃を大きく高速化した、というのです。暗号を破った、と聞くと一瞬ぞっとしますが、実際には「本番システムがすぐ危ない」という話ではありません。ここがまず大事です。
正直、こういう研究結果は見出しだけ読むと誤解しやすいです。「AIが暗号を突破した」と言われると、銀行やメッセージアプリが今夜にも危なくなるような印象を受けます。でも今回の内容はかなり限定的で、むしろ 暗号研究の世界で“どこまで詰められるか”をAIが加速した という見方が近いと思います。
今回の話の面白さは、単に「AIが賢かった」ことではありません。暗号研究って、地味に見えて実はものすごく頭を使う分野です。既存の数式や構造の“隙間”を見つけないといけない。しかも、見つけたとしても、それが本当に攻撃につながるかを厳密に確かめる必要がある。人間でも相当しんどい作業です。
Anthropicの説明によると、Claudeは HAWKの格子（lattice）に潜む対称性 を見つけました。対称性というのは、ざっくり言うと「形を変えないまま隠れている規則」です。パズルの裏側に、気づきにくい“折り返し”があった、みたいなイメージです。そこを突くと、鍵回復問題の難しさが少し下がる。
ただし、これは魔法ではありません。攻撃は依然として指数時間、つまり入力が少し増えるだけで計算量が爆発するタイプです。だから「効率化した」とはいえ、現実的に無条件で割れるような話ではない。ここを取り違えると危険です。
HAWKは、NISTが進めているポスト量子署名の候補の一つです。ポスト量子暗号は、将来の量子コンピュータでも破られにくい暗号を目指す流れですね。今回の攻撃で注目されたのは、その中でも HAWK-256 というチャレンジ用のパラメータです。
Anthropicによると、Claudeはまず公開鍵から「τ-cocycle lattice」と呼ぶ構造を作り、そこに対して lattice reduction や sieving といった手法を使って短いベクトルを探しました。日本語で無理やり言うと、巨大で複雑な迷路の中から、鍵につながる“短い経路”を探り当てる感じです。
その結果、HAWK-256の秘密鍵そのものではないものの、同じように署名できる実用上同等の鍵素材 を復元した、とされています。Anthropicの実装は、復元した鍵でメッセージに署名し、それがNISTの参照実装で通ることまで確認しています。
ここはちょっと面白いところで、復元されたのは元の96バイトの秘密鍵シードではありません。代わりに、署名機能としては同等の592バイトの復号済み鍵だそうです。暗号の世界では、この手の「元の形じゃないけど機能は同じ」という話がわりと重要です。現場の安全性は、秘密情報そのものだけでなく、実質的に同じ権限を持つ材料が漏れるかどうかで判断されるからです。
Anthropicは、HAWK-256の鍵回復に必要な労力が 264から238 に下がると見積もっています。数字の落差はかなり大きいですが、それでもなお現実的に即アウトとは言えません。さらに、NISTが標準化を進めている本命パラメータは HAWK-512 と HAWK-1024 で、こちらは依然として実用的には攻撃困難とされています。
つまり今回の結果は、「HAWKは終わった」ではなく、「このチャレンジ設定は思ったより弱かったかもしれない」 という話に近い。研究としてはかなり鋭いですが、日常のセキュリティ運用を今すぐ変える話ではない、というのが冷静な見方だと思います。
もう一つの成果は、7ラウンド版AES-128 の攻撃を速くしたことです。AES-128は通常10ラウンドあるので、7ラウンドは意図的に削った“簡略版”です。こういう reduced-round cipher の研究は、暗号の安全マージンを測るための定番です。フル版を直接狙う前に、「どこまで削ったら崩れるか」を調べるわけですね。
今回の攻撃は、既存の meet-in-the-middle 攻撃を改善したものです。これは、暗号を前からと後ろから同時に計算して、途中の状態を照合する考え方です。今回Anthropicが見つけた「Möbius Bridge」という指紋は、従来は 256通りを全部試していた部分を消せる ため、攻撃が大幅に速くなったとされています。
ただし、ここでも落ち着いておくべきです。必要条件として、1つの固定鍵で暗号化された約2^105個の選択平文 が必要です。選択平文というのは、攻撃者が自分で内容を選んで暗号化させてもらう前提です。現実の多くの場面では、そんな都合のいい条件はありません。なので、この攻撃もやはり「理論的な前進」であって、すぐにTLSやファイル暗号が危険になる話ではない。
Anthropicは、7ラウンドAES-128への攻撃が 200〜800倍速くなった と述べています。ただし、これは完全なエンドツーエンドの実行ではなく、部品ごとの測定結果を積み上げた見積もりです。C、Python、Rustの実装で個別の要素を確かめたうえで、全体コストを推定している。こういうところはかなり研究者らしい。派手な見出しの裏で、地味な検証が山ほどあるのです。
Anthropicの説明で興味深いのは、Claude Mythos Previewが研究の大半を実質的に進めた一方で、人間はプロジェクトの方向付け、計算資源の手配、そして徹底的な検証を担当した、という点です。AIが勝手に全部やった、というより、AIがアイデアを大量に出し、人間がそれを潰しながら本当に正しいか確かめた 構図に見えます。
この「検証がボトルネックだった」という話は、かなり本質的だと思います。暗号研究では、良さそうな発見があっても、それが本物かを証明するのが大変です。Anthropicによれば、HAWK攻撃は約60時間、APIコスト約10万ドル、さらに人間側で数百時間の確認作業が必要だったとのこと。しかも、2人の研究者がほぼ1か月かけて確信を持てるレベルまで詰めたそうです。
つまり、AIが強いのは「ひらめきを量産すること」であって、最後の責任まで肩代わりするわけではない。少なくとも現時点では、そういう理解がいちばん自然だと思います。
すぐに本番環境が壊れる、という話ではありません。でも、私はこの種の成果を軽く見ないほうがいいと思います。理由は単純で、暗号研究はこうやって少しずつ前に進み、ある日突然「この方式、思ったより余裕がなかったね」という結論に近づくからです。
今回のHAWKの件は、NISTの標準化候補に対する評価材料を増やしました。AESの件も、フルAESの破壊ではないにせよ、暗号設計の安全マージンを詰める材料になります。どちらも「実運用を壊した」わけではないのに、暗号の研究史にはちゃんと刻まれるタイプの成果です。
個人的には、ここにAIの本当の怖さと面白さが同居していると感じます。AIが秘密を一瞬で暴く、というより、人間が何週間もかけていた探索をかなりの速度で前進させてしまう。しかも、その成果は表面的なチャットの賢さではなく、数学的な構造理解に踏み込んでいる。これはなかなか侮れません。
一方で、今回の結果だけを見て「AIが暗号を完全に破った」と騒ぐのは早計です。実際には、条件がかなり厳しいし、対象も限定的です。そこを外して語ると、話が一気に雑になります。暗号は雑に扱うとだいたい間違える分野なので、そこは慎重でいたいところです。
参考: Claude AI Just Cracked a Post-Quantum Test Scheme and Found a Faster 7-Round AES Attack
