Claude Mythos Previewが暗号方式の数学的弱点を発見 — HAWKとAES縮約版で新しい攻撃

AnthropicのFrontier Red Teamは2026年7月28日、Claude Mythos Previewによる新しい攻撃の発見を発表しました。対象はポスト量子暗号候補のHAWKと、AESの縮約版です。いずれも実運用中のシステムには影響しません。それでも、AIが暗号アルゴリズムそのものの数学的な穴を見つけた事例として、暗号標準化の審査にAIが加わる意味を考えさせる発表です。

発表の前提になっているのは、Mythos Preview登場時の成果との違いです。そのときに見つかったのはOpenSSLやwolfSSLのような暗号ライブラリの実装ミスでした。今回は実装ではなく、アルゴリズムの数学に弱点が見つかっています。

数字

今回の2件を数字で見る

• HAWK-256の鍵復元コスト

  2^64 → 2^38

  想定されていた作業量と、Mythosが示した作業量

• 縮約7ラウンドAES

  200〜800倍

  従来の最強攻撃に対する高速化。測り方で幅がある

• HAWK攻撃の所要時間

  約60時間

  発見から検証まで

• 1件あたりのAPI費用

  約10万ドル

  HAWKとAESの両方

利用者・実装者・研究者の立場でどう変わるか

暗号ライブラリの利用者

運用中のシステムに影響はありません。HAWKはNIST標準化の第3ラウンド候補で、まだ展開されていません。AESへの攻撃は10ラウンドのうち7ラウンドに縮約した研究用の変種が対象で、完全な10ラウンドのAESは破られていません。Anthropicも、本番ソフトウェアを変更する必要は無いと明言しています。

暗号標準化に関わる研究者・実装者

NISTのような標準化プロセスでは、AIによるレビューが実務の選択肢に入ってきます。Anthropicは、HAWKのような仕様をAIでレビューすることが新しい暗号標準の開発で強力な道具になると述べています。

ここで新しい制約になるのが検証の手間です。AESの攻撃はMythosが1週間で見つけたのに、2人の研究者が正しさに確信を持つまで約1か月かかりました。

AIの脆弱性発見能力を評価する立場

サイバーセキュリティでは、LLMが見つける脆弱性の量が人間のトリアージ速度を超え始めています。Anthropicは、同じことが学術的な暗号研究でも起きると予測しています。LLMが研究成果を自律的に生み出すようになると、人間は妥当性・新規性・有用性を検証する側で詰まる、という見立てです。

HAWKに対する攻撃の中身

HAWKは、NISTが2022年に募集した追加のポスト量子デジタル署名の第3ラウンド候補です。2年間・2ラウンドの専門家レビューを通ってきました。安全性の根拠は、Lattice Isomorphism Problem(格子同型問題)の困難性です。

Mythosが見つけたのは、HAWKの格子に隠れていた対称性(nontrivial automorphism)でした。先行研究は、この対称性を効率よく見つけられれば攻撃になることを示していました。ただ、HAWKの格子でそれが手に入るかどうかは未解決でした。

対称性を使うと列挙型攻撃が速くなります。攻撃は指数時間のままですが、同じ安全性を保つにはHAWKの鍵サイズを2倍にする必要があります。そして鍵を2倍にすると、HAWKがポスト量子署名の候補として魅力的だった理由の多くが失われます。

具体的には、HAWK-256に対する完全な鍵復元のコストが2^64から2^38に下がりました。大きな鍵サイズでは、今も現実的に攻撃できません。この攻撃はHAWK固有で、他のNISTポスト量子署名候補や格子ベース暗号一般には及びません。

発見の過程で起きたこと

Mythosは、Claude Codeに似たエージェントハーネスの中で動きました。複数のワーカーエージェントが、PythonやSageといった計算ツールと公開済みの暗号論文を使えるサンドボックスです。

鍵になる発想は、ワーカー2体の掛け合いから出ました。1体目はこの案を実現不可能として早々に退け、2体目が活かす方法を見つけました。2体はメッセージを交わし続け、最後に有効な攻撃だという点で一致しています。

攻撃を見つけた後、Mythosは端から端までの検証パイプラインを自分で実装しました。自分自身と人間の担当者に、攻撃の正しさを納得させるためです。人間の担当者は理論計算機科学の素養はあっても、格子暗号の専門家ではありませんでした。人間の関与は、アイデアの管理方法や検算用ライブラリの助言といった進行管理にとどまっています。

過去の標準化との比較

標準化の途中や終盤で重大な弱点が見つかること自体は珍しくありません。ML-KEMとML-DSAの標準化では、競合した提案のうち複数が安全でないと示されました。SIKEはノートPC1台で1時間もかからず完全に破られた例です。Anthropicは、今回の結果もその延長にあると位置づけています。

7ラウンドAESへの攻撃と探索の経過

もう1つの成果は、AES-128の縮約7ラウンド版に対する攻撃です。AES-128は本来10ラウンドです。暗号研究では、縮約版で攻撃技法を磨いて完全版の強度を見積もるのが定石になっています。

攻撃の脅威モデルはchosen plaintext(攻撃者が任意の平文を暗号化させ、出力を見られる設定)です。先行研究が前提にする2^105個のchosen plaintextを要求する研究用の設定で、実運用への脅威ではありません。

Mythosは、meet-in-the-middle攻撃の系譜に連なる形で、Möbius Bridgeと呼ぶ新しい指紋計算を考え出しました。meet-in-the-middleは、中間計算を表に保存して使い回し、時間を空間と引き換えにする手法です。従来の攻撃には256通りの値を列挙して表を引く段階があり、Mythosの指紋はその推測に依らない不変量として作られています。この段階の作業が直接256分の1になります。

指紋の計算自体は重くなるので、他の最適化も組み合わせました。結果は、測り方により200〜800倍の高速化です。

あゆみ

AES攻撃が見つかるまで

1. 最初の試行Claudeが問題への着手を拒む

   AES-128の5〜7ラウンドは本質的に難しく、これは世界で最も研究された暗号の1つで、簡単に見つかるものは残っていない、という趣旨のメッセージを書いて終わりました。

2. 研究者の1通ハーネスを自分で書き直す

   研究者が「モデルは不可能だと思うと試さない。かなりのプロンプトが必要」と伝えると、Claudeは新しい発想を探すよう指示する構成にハーネスを書き換えました。6ラウンドAESの解析を助けるアイデアがここで出ています。

3. その後の3日間7ラウンドに照準を合わせる

   数億トークンを自律的に生成。研究者のメッセージは3通だけで、既存手法を超える新しい攻撃を狙うこと、対象の暗号を変えないこと、手近な成果ではなく本当に難しい発見を狙うことを求めました。

4. さらに3日後Möbius Bridgeに到達

   核心の発想が出ました。その数日後、出力トークンは合計10億に達し、論文に載る攻撃に仕上がっています。

研究者が書いたプロンプトの原文は、誤字も含めてそのまま公開されています。Anthropicは、探索の途中でClaudeが思考を巡らせた記録も、読みやすく書き直した形で論文と並べて公開しました。複数あった探索セッションのうち、公開されたのは新しい発想に至った1本です。成果の出なかったセッションも多かったと説明されています。

脚注には、もう1つ興味深い実験があります。HAWKの攻撃が正しいと確かめた後、AESで成功した同じ足場(プロンプトとコードの組み合わせ)にHAWKを解かせたところ、攻撃を再発見できました。

他の暗号での成果とCryptanalysisBench

発表は、2件の主要結果に加えて、まだ論文になっていない予備的な成果も挙げています。

LEAの従来最良は、13ラウンドで2^98組の平文ペアと2^86の作業量です。LEAの攻撃は実際に端から端まで動き、ランダムな鍵を選んで数時間で復元できることを確かめられるため、正しさへの確信が高いとされています。14ラウンドへの拡張などは調査中です。

同時に公開されたCryptanalysisBenchは、ETH Zurich・Tel Aviv大学・TU Berlinの研究者と作った、多数の暗号をまとめたベンチマークです。LLMの暗号解析能力を継続的に測れます。攻撃能力の定量測定という点では、CTF7大会でのサイバーベンチマークやスマートコントラクトの脆弱性発見ベンチマークSCONE-benchと同じ系統にあたります。

発見の速さと検証の遅さ

AIの発見速度に人間の検証が追いつかない点は、今回の発表の中心的な論点です。AESの発見は約1週間でしたが、研究者は検証のために暗号研究を学び直し、数百時間を費やしました。その研究者たちは暗号の専門家ではなかった、とも記されています。HAWKの攻撃は端から端まで実装でき、検証が容易でした。AESの攻撃は、正しさに確信を持つまでに2人で約1か月かかっています。

サイバーセキュリティでは、LLMがバグを大量に見つけた結果、人間側のトリアージ・検証・修復が律速になっています(この論点はAnthropicのサイバー評価インシデント3件の開示にも通じます)。

同じ検証の非対称は、Claudeがリーマンゼータ関数の零点の下限を41.6%から67.2%へ更新した事例では違う形をとりました。そちらは結果が定理証明支援系のLean 4で形式化され、正しさの確認に機械的な経路が使えています。

Anthropicのセキュリティ事例の流れ

Anthropicはここ数か月、Claudeを使ったセキュリティの実証事例を続けて公表しています。政府システムを走査したアルバータ州政府による4.66億行のコード走査事例や、Mythosクラスの位置づけを示したClaude Fable 5とMythos 5の登場発表が並びます。今回の暗号研究は、Mythosクラスの到達点を、学術的に検証できる難問で示した例にあたります。

発表の結びでは、他分野の流れにも触れています。GoogleがGeminiで複数のエルデシュ問題を解いたこと、OpenAIがGPTで単位距離予想を解決したことです。そして7月にはClaude Fable 5がヤコビアン予想を解決したと発表されました。数学の研究水準に達した能力が、暗号にも及んだという位置づけです。

この発表をどう読むか

「AIが暗号を解いた」という短い言い回しでは、今回の意味を取り違えやすくなります。2件はどちらも、標準化や学術研究が意図的に用意してきた枠の内側の成果です。Anthropic自身も、2件とも予想される結果だったと書いています。HAWKは弱点を実運用の前に見つけるための審査が働いた例で、AESは縮約版を攻める長い研究の延長でした。

注目すべきは、そこで止まらない点です。Anthropicは1年前のモデルが最も基本的な暗号の解析すらできなかったことを引き合いに出しています。そして、世界で使われる暗号の多くは、本来必要な水準の精査を受けていないと指摘します。長い裾野の暗号を調べる機会であると同時に、休眠中の弱点が見つかる可能性でもあります。

もう1つの論点は、実運用の暗号でAIが脆弱性を見つけたときの振る舞いです。標準化候補や縮約版の外、つまり実運用の暗号で同様の脆弱性が見つかった場合の対応について、Anthropicは学術界・政府・産業の議論が必要だとしています。

論点の入口として、近いうちにアカデミア向けのワークショップを開くことも予告されました。

まとめ

運用中の暗号に今すぐ手を入れる理由はありませんが、標準化候補の審査は、AIが一員になる前提で組み直す段階に入りました。次に問われるのは、発見の速さに見合う検証の仕組みです。