Claude Mythos Previewが暗号方式の数学的弱点を発見 — HAWKとAES縮約版で新しい攻撃

AnthropicのFrontier Red Teamが2026年7月28日、Claude Mythos Previewを使ってポスト量子暗号候補HAWKと、AESの縮約版に対する新しい攻撃を発見したと発表しました。いずれも実運用中のシステムには影響しないものの、AIが暗号アルゴリズムそのものの数学的な穴を見つけた事例として、暗号標準化プロセスの前提を揺らす可能性があります。

要点

• HAWKに対する攻撃: NISTのポスト量子署名候補(第3ラウンド)のHAWKで、鍵の実効サイズを半分に縮める攻撃を発見。HAWK-256では想定2^64の攻撃コストが2^38に低下します
• AES(縮約7ラウンド版)に対する攻撃: 「Möbius Bridge」と呼ぶ指紋計算で、既存のmeet-in-the-middle攻撃を200〜800倍高速化。ただし完全な10ラウンドAESには影響しません
• 開発コスト: 各成果に約10万ドルのAPI費用と1週間程度の探索。人間の関与は方向づけ中心で、ほぼ自律的に発見されました
• CryptanalysisBenchを同時公開: ETH Zurich・Tel Aviv大学・TU Berlinと共同で、LLMの暗号解析能力を測るベンチマークを整備
• 責任ある開示を実施: HAWKの作者とNISTの公開メーリングリストに同時に共有。米政府・産業パートナーにも事前共有済み

全体としては、「LLMが暗号アルゴリズムそのものの弱点を、専門家の複数年レビューを潜り抜けた候補に対して発見できる段階に入った」というシグナルです。今回の2件は運用影響が無い前提ですが、Anthropic自身が「今後は実運用中の暗号系で同種のことが起きた場合の対処を業界・政府と議論する必要がある」と踏み込んで書いています。

あなたの選択肢はどう変わるか

暗号ライブラリの利用者(即時対応は不要)

現時点で運用中のシステムに影響はありません。HAWKはNIST標準化の第3ラウンド候補で未展開、AESへの攻撃は10ラウンドのうち7ラウンドに縮約した研究用の変種にとどまります。Anthropic自身が「今日のコンピュータシステムに実用的な影響は無く、いかなる本番ソフトウェアも変更を必要としない」と明記しています。

ただし、これから新規に暗号方式を採用する側は、標準化プロセスの評価に「AIによる発見」が加わる前提に立つ必要があります。とくにポスト量子暗号を選定中の組織は、候補ごとに AI レビューを経ているかを確認軸に加えられる可能性があります。

暗号標準化に関わる研究者・実装者

NISTのような標準化プロセスに関与する立場では、AIを用いたレビューが実務ツールとして視野に入ります。Anthropicは「HAWKのような仕様をAIでレビューすることは、新しい暗号標準の開発における強力なツールになる」と述べており、審査プロセスに組み込む道筋を提示しています。

同時に、AIが発見した攻撃の検証コストが新しい制約として浮上します。今回のAESの結果では、「1週間で発見した攻撃を、2人の研究者が約1か月かけて正しさを確認した」と報告されています。発見速度と検証速度のギャップが今後の実務課題です。

AIの脆弱性発見能力に関心のある業界

サイバーセキュリティでLLMの脆弱性発見量が人間のトリアージ速度を超え始めているのと同じ現象が、学術的な暗号研究でも起き始めた、というのがAnthropicの予測です。「novelな研究成果をLLMが自律的に生み出すとき、人間の研究者は妥当性・新規性・有用性の検証で律速する側になるかもしれない」と踏み込んでいます。

Anthropicは、この論点を議論するために、近い将来にアカデミアと共同のworkshopを予定しています。

背景・文脈

HAWKに対する攻撃の中身

HAWKは、NISTが2022年に募集した「追加のポスト量子デジタル署名」の第3ラウンド候補の1つで、2年間・2ラウンドの専門家レビューを通過してきた方式です。ベースになるのはLattice Isomorphism Problem(格子同型問題)の困難性です。

Mythos Previewが見つけたのは、HAWKで使われる格子の中にこれまで気づかれていなかった対称性(nontrivial automorphism)があること、そしてその対称性を使うと列挙型攻撃の速度が上がることでした。攻撃自体は指数時間のままですが、同じセキュリティ水準を維持するにはHAWKの鍵サイズを2倍にする必要が出ます。ところが鍵サイズを2倍にすると、HAWKを魅力的なPQC候補たらしめていた特徴の多くが失われます。

具体的には、HAWK-256に対する完全鍵復元攻撃のコストが2^64から2^38に下がる、と報告されています。大きい鍵サイズでは依然として実務的に攻撃不能ですが、標準化候補としての位置付けは弱まります。発見に要した時間は約60時間、APIコストは約10万ドルでした。

なおAnthropicは、この攻撃はHAWK固有のもので、他のNISTポスト量子署名候補や格子ベース暗号一般には影響しないと明記しています。

AES(7ラウンド縮約版)に対する攻撃

もう1つの成果は、AES-128の縮約7ラウンド版に対する攻撃です。AES-128は本来10ラウンドで動作しますが、暗号研究では縮約版を対象に攻撃技法を磨くのが標準的なアプローチです。今回の攻撃は「chosen plaintext脅威モデル」下で、2^105個のchosen plaintextを要求する研究用の設定で、実運用に対する脅威ではありません。

Mythosは、meet-in-the-middle攻撃の系譜に載る形で、「Möbius Bridge」と呼ぶ新しい指紋計算を発見しました。既存手法では256通りの値を列挙してテーブル参照する段階があり、Mythosの指紋はこの推測に依らない不変量として作られており、直接的に256倍の作業を削れます。指紋計算自体は高価ですが、他の最適化と組み合わせて、測定条件により200〜800倍の高速化を実現しました。

このパートで注目されるのが発見プロセスです。最初Claudeは「AES-128の5〜7ラウンドは本質的に難しい」「これは世界で最も研究されたblock cipherで、簡単に見つかるものは残っていない」と述べて、問題に取り組もうとしなかったとAnthropicは率直に記録しています。研究者が「モデルは不可能だと思うと試さない傾向がある。かなりのプロンプトが必要」と伝えたところ、Claudeは自らエージェントハーネスを書き直し、「新しいアイデアを探せ」と自分に指示する構成にして、そこから改善が進みました。

その後の3日間で、Claudeはほぼ自律的に数億トークン相当を生成しながら探索を続け、研究者からの指示は「またしても目的が違う。既存手法を超えるものが欲しい」「別のcipherに変えたがっているようだが、目的は変えないでほしい」「low hanging fruitではなく、本当に難しい発見を狙って」といった3つの実質的なメッセージだけだった、と述懐されています。

CryptanalysisBenchの同時公開

Anthropicは今回、ETH Zurich、Tel Aviv大学、TU Berlinの研究者と共同で CryptanalysisBench を公開しました。多数の暗号方式をパッケージ化し、LLMの暗号解析能力を継続的に測れるベンチマークです。Anthropic自身も「モデルが強くなるほど、こうした挑戦的なベンチマークに依拠する度合いが増す」と述べており、今後の追跡指標として位置付けています。

「発見速度vs検証速度」のギャップ

もう1つAnthropicが強調しているのが、AIの発見速度に人間の検証が追いつかないという構造的な課題です。今回の結果でも、AESに対するMythosの発見自体は約1週間だったのに対し、2人の研究者が正しさを確認するのに約1か月を要しています。HAWKの攻撃はエンドツーエンドで実装できるため検証が容易ですが、AES側は数学的推論が中心で、実装検証が難しい対象でした。

サイバーセキュリティ領域では、LLMがバグを大量発見する結果、人間側のtriage・検証・修復が律速し始めていることが数年前から論点になっていました(この論点はAnthropicのサイバー評価インシデント3件の開示にも通じます)。今回の発表は、同じ現象が学術的な暗号研究でも起き始めた、というシグナルです。

Anthropicのセキュリティ姿勢との接続

Anthropicはここ数か月、Claudeを使ったセキュリティ関連の実証事例を続けて公表しています。政府システムを走査したアルバータ州政府による4.66億行のコード走査事例、そしてClaude Mythosクラス自体の位置付けを整理したClaude Fable 5とMythos 5の登場発表といった一連の発表と読み合わせると、今回の暗号研究は「Mythosクラスの到達点を、学術的に検証可能な難問で示す」ケースにあたります。

この発表をどう読むか

「AIが暗号を解いた」という短い言い回しでは、今回の意味は取り違えられがちです。今回の2件はいずれも、標準化プロセスや学術研究が意図的に設計してきた「事前検証の枠組み」の内側での成果で、実運用暗号への即時影響はありません。むしろ、標準化コミュニティが長年やってきた敵対的レビューの担い手が、新しくLLMという形で増えた、と読むほうが実態に近そうです。

一方で、Anthropic自身が「実運用中の暗号系でAIが脆弱性を見つけた場合、研究者はどう反応すべきか」を今から議論しておく必要がある、と踏み込んで書いている点は見逃せません。今回のように標準化候補や縮約版という「安全な射的場」の外側での発見が、いつ・どの領域で起きるかを予測するのは難しく、あらかじめアカデミア・政府・産業の3者で通信プロトコルを作っておくべき、というのがAnthropicの主張です。

もう1つ、実務的に重要なのは検証コストの新しい割り当てです。HAWK側は実装可能なので端から端まで動かして確認できましたが、AES側は数学的推論の妥当性検証に人間が1か月かかりました。この非対称は、今後のAI主導研究で繰り返し出てくると考えられます。エンジニアリング可能な検証パスを最初から設計に組み込む(たとえば発見時にend-to-endのverifierを同時生成させる)ような開発様式が求められるかもしれません。

まとめ

• 暗号ライブラリを運用中の組織: 即時対応は不要。ただし新規にPQC方式を選ぶ場合は「AIによるレビューを経ているか」を確認軸に加える余地があります
• 標準化プロセスに関わる立場: AIレビューを実務ツールとして視野に入れる時期。ただし発見速度に対する人間側の検証コストの非対称に注意
• AIの脆弱性発見能力を評価したい業界: CryptanalysisBench を追跡指標として活用できます。今後のFrontier Red Teamの続報でどこまで能力が伸びるかを継続確認する価値があります
• 政策・ガバナンス側: 「実運用暗号でAIが脆弱性を見つけたら誰が何を止めるか」の議論を今のうちに始めておく必要があります。Anthropicは近い将来にアカデミアとのworkshopを予定しています