2つの主要成果——Claudeは何を破ったか

暗号システムには大きく2つの役割があります。Web ページを開くと、まずブラウザは相手が本物のサイトかを確認します。本物の所有者だけが作れる署名を検証するのです。本人確認が終わると、双方は同じ鍵を使って通信内容を暗号化します。前者がデジタル署名、後者が共通鍵暗号です。

Web サイトへアクセスした際の暗号処理の役割分担。今回の2つの成果は両端に対応します。中央の「鍵交換」は別種のアルゴリズムであり、今回は攻撃対象ではありません。（本サイト作成の模式図）

成果1 · ポスト量子署名 HAWK への攻撃

背景。将来の量子コンピューターによる現行暗号の解読に備え、米国国立標準技術研究所（NIST）は次世代の「耐量子」アルゴリズムを選定しています。現在インターネットで使われる署名アルゴリズム（RSA、ECDSA など）の安全性は、「巨大な数を2つの素数へ分解するのは難しい」といった問題に依存します。ところが、これらは十分な量子コンピューターが実現すれば効率的に解ける問題です。

NIST は 2016 年にポスト量子暗号の標準化を始め、10年近く選定を続けています。HAWK が参加するのは、署名方式を募集するため 2022 年に追加されたコンペです。世界の専門家による2年間、2ラウンドの審査を通過し、第3ラウンドへ進んだ唯一の「格子」ベース候補です。

従来の最良攻撃は、歪んだ座標を少しずつ矯正するものでした。HAWK には鍵の小さい順に HAWK-256、HAWK-512、HAWK-1024 の3パラメータがあります。設計者はこの攻撃を前提に、必要な探索規模をそれぞれ 211、452、940 と見積もりました。探索規模が少し増えるだけで、1回の探索コストは指数関数的に増えます。

Claude の成果。約 60 時間で、このアルゴリズムに存在しながら従来は利用されていなかった対称性数学では自己同型（automorphism）と呼びます。特定の変換を施しても、構造全体が元と同じに見える性質です。正方形を 90 度回転するようなものです。を見つけ、新しい攻撃を構築しました。

Claude はまさにその対称性を見つけ、欠けていた前提を満たしました。

先行研究は、この種の解析で常に同じ対称性だけを使っていました。Claude は従来使われていなかった別の対称性を選び、論文では τ と表記しています。この τ を使うと、公開鍵だけから新しい点集合を構成できます。その中で最短のベクトルが秘密鍵につながります。元の点集合よりはるかに小さく、形も規則的です。Ducas が 2023 年に公開し、2024 年に正式発表したアルゴリズムは、まさにこの形に適しています。

HAWK 攻撃の3段階。3つの道具のうち2つは既存の公開手法で、欠けていたのは両者を結ぶ構成でした。（論文第 4～6 節を基に本サイトが整理）

論文 Table 1。Core-SVP に基づく計算で、コストの単位は「おおよその計算ステップ数」です。より詳細なゲート回路基準では、3パラメータはそれぞれ 2⁷⁴→2⁵²、2¹⁴¹→2⁸⁶、2²⁷⁸→2¹⁵⁸ です。注意点は2つあります。Core-SVP の値は論文著者が数式で換算したもので、HAWK 仕様自体が示すのは探索規模とゲート数だけです。また HAWK-256 はチャレンジ用パラメータで、仕様にゲート数がなく、2⁷⁴ も著者の計算値です。

上表は「1回の探索にかかる労力」です。攻撃全体では複数回の探索に加え、候補の検査や秘密鍵までの段階的な降下が必要なため、総コストはさらに大きくなります。HAWK 仕様が示す鍵復元の総コストは、512 が 2 の 150 乗、1024 が 2 の 288 乗です。新攻撃では、それぞれ最大 2 の 108 乗と最大 2 の 182 乗まで下がります。

最も強い証拠は、HAWK-256 を実際に最後まで走らせたことです。公式リファレンス実装で生成した2つの公開鍵から、いずれも秘密鍵の復元に成功しました。96 コアの Sapphire Rapids サーバー1台で数時間です。復元した鍵は公式実装による署名・検証テストを通過しました。

うち1つの公開鍵は2回実行し、異なる2つの秘密鍵が得られましたが、どちらもなりすまし署名に使えました。これは失敗ではありません。先述の通り、HAWK を破るには利用可能な「良い座標」をどれか1組見つければよく、元の所有者と同じ組である必要はないからです。攻撃コードは GitHub（anthropics/cryptography-research-demo、Apache 2.0 ライセンス）でオープンソース公開されています。単一コマンドのパイプラインで、最後に公式実装を使った検証まで自動実行します。

影響。完全解読ではありませんが、従来の安全水準を取り戻すには HAWK の鍵長を2倍にする必要があります。HAWK の魅力は、鍵が小さく署名が速いこと、浮動小数点演算が不要なことでした。鍵が2倍になれば、これらの利点はほぼ失われます。

影響範囲は次の4点に限られます。

成果2 · 縮小版 AES への攻撃を大幅高速化

背景。AES は現在、世界で最も広く使われる中核的な共通鍵暗号標準です。インターネットバンキングやチャットの暗号化にも使われます。2001 年に標準化され、20年以上研究されてきました。

AES-128 は 128 ビットのデータに同じ処理を10回繰り返します。各ラウンドでは3つの処理を行います。

AES の1ラウンドを構成する3処理。この参照表は暗号分野で Sボックスと呼ばれます。以下では「Sボックス」と表記します。10回繰り返すと、入力と出力の関係は逆算できないほど複雑になります。（論文 Figure 1 を基に本サイトが作成した模式図）

安全性を評価するため、研究者は10ラウンドを7ラウンドへ減らすなど、縮小版を調べます。7ラウンド AES を実際に使うシステムはありません。縮小版にどれほど弱点が残るかを調べ、完全版の安全余裕を推定するためです。暗号研究では数十年前から行われている標準的な手法です。

この研究路線の出発点は、Demirci と Selçuk が 2008 年に示した発見です。AES の4ラウンドは理想的なランダム関数ではありません。

2人は次の実験を行いました。最初の1バイトだけが異なる 256 個の入力を用意し、4ラウンド後の出力の最初の1バイトを観察します。理論上、この 256 個の出力パターンは 2 の 2048 乗という天文学的な種類があります。しかし実際に現れ得るのは、ごく一部だと証明しました。中央4ラウンドの結果が 25 バイトだけで決まるからです。25 バイトは 200 ビットなので、最大でも 2 の 200 乗通りしかありません。

2 の 200 乗も天文学的な数ですが、2 の 2048 乗とは本質的に違います。前者は事前に列挙して表として保存できる規模ですが、後者は不可能です。これにより攻撃全体が成立しました。その後の研究は一貫して、表を小さくすることと、推測する鍵バイトを減らすことを目指しています。

7ラウンド AES に対する中間一致攻撃の研究史。2010 年と今回の進歩は対称的です。一方は表の上側、もう一方は下側のバイトを除去しました。両者の間には 16 年あります。

Claude の成果。「メビウス橋」と呼ばれる新手法を自律的に考案し、攻撃者が行う盲目的な推測を1回減らしました。

まず上側のバイトを除去しやすい理由です。役割は 256 個の数を並べ替えるだけです。そこで順序に依存せず、各値の出現回数だけを記録する指紋を作ります。並びが変わっても指紋は同じなので、そのバイトを推測する必要がありません。1バイトの推測を減らせば 256 通りの試行がなくなり、直ちに 256 倍の削減です。Dunkelman、Keller、Shamir が 2010 年に実現しました。

下側のバイトは事情が異なります。Sボックスを通過した後に加わるため、単純な並べ替えではなく、同じ手法は使えないように見えます。

しかし Sボックスは、無作為に埋めた数の集まりではありません。数式から計算されています。

上側のバイトは順序を変えるだけなので、順序を無視する指紋で対処できます。下側のバイトは、各値に同じ固定処理を施します。逆元を取り、固定の撹拌を行う処理です。同じ処理なら、「処理後も変わらない量」を探せばよいことになります。

例えるなら、すべての数へ一律に 10 を足しても 100 を足しても、2つの数の差は変わりません。「差」が、何を足しても変わらない量です。Claude が探したのも同種の量ですが、処理は「数を足す」代わりに、Sボックスの2段階です。

これを見つければ、未知の鍵バイトが 256 通りのどの値でも、計算される指紋は同一です。このバイトも推測不要になり、さらに 256 倍を削減できます。

削減した 256 倍は、指紋の計算コストでほぼ相殺されるところでした。単純な実装では、指紋1件につき約 2 の 19 乗回の表参照が必要です。推測量を 2 の 8 乗分減らしても、各件の処理が 2 の 19 乗増えれば赤字です。

棒の長さは指数値に比例。中央の赤い棒が問題です。発想そのものは 2⁸ を削減しますが、1件ごとに 2¹⁹ の追加コストがかかり、収支はマイナスです。3つの実装最適化で1件を 2^8.6 まで圧縮し、約 1400 倍削減したことで初めて有利になりました。最適化は、頻出結果の事前計算、最も効率的な順序での全分岐走査、再利用可能な表参照結果のキャッシュです。

影響。必要データ量は 2 の 105 乗件のまま変わらず、時間は 2 の 99 乗から 2 の 89.3～91.4 乗へ下がりました。完全版 AES を揺るがすものではありません。それでも、最も徹底的に研究されてきたアルゴリズムで数百倍の効率化は、極めてまれな進展です。

実測は研究チーム自身が行いました。両方の攻撃を実装し、同じマシンで計測しています。公開済みの 2013 年版との比較は 362 倍、「今回の最適化を旧攻撃にも適用した」強化版との比較は 115 倍でした。差の理由は付録に記されています。計測に使ったオンライン実装には、先述した3つの最適化のうちキャッシュが未実装でした。

もう1つ重要な点があります。攻撃全体には 2 の 89 乗の時間とメモリが必要で、実際に最後まで走らせて結果を確認できません。そこで4段階の検証を積み上げました。

完全版 AES に対する現在の最良攻撃（biclique）でさえ、鍵を1つずつ試す方法より約 4 倍速いだけです。暗号研究では「2ビット高速」と表現します。この規模では、4倍は事実上ほとんど差がありません。AES の設計から30年近く、完全版は揺らいでいません。今回の攻撃も、ほかの類似ブロック暗号には適用できません。

その後も続く成果

2つの成果を得た後、研究範囲を広げ、論文発表前の結果をさらに複数得ました。

一般利用者への影響は

結論から言えば、心配は不要です。現実の生活に実害はありません。

AIはどう実現したか——60時間・指示3件・10万ドル

HAWK：複数エージェントが分担、棄却した発想を別が救う

Anthropic の研究者1人が Claude と1週間取り組みました。研究者は理論計算機科学の経験を持ちますが、格子暗号の専門家ではありません。

Claude Code に似たフレームワークを使用し、複数のワーカー（並行動作する複数のClaudeインスタンス）がサンドボックス内で協働しました。Python コードを書き、Sage のような数学ソフトウェアを使い、公開済みの暗号文献も読めます。ほとんどの時間は worker が自律的に動き、人間の入力はアイデアの記録方法や検証用ライブラリの提案など、プロジェクト管理に限られました。

重要な発想は、興味深いことに2つのワーカーの共同作業から生まれました。2つとも同じ方向を調べ始め、1つ目は不可能と判断して早期に棄却しました。2つ目は、それを完全に利用する方法を発見しました。メッセージを往復した後、両者とも有効な攻撃だと合意しました。

発見、開発、検証には計約 60 時間かかりました。

AES：ほぼ完全自律、Claude は当初拒否

AES の攻撃は、ほぼ完全に自律的に作られました。研究者が実験環境を用意し、Claude 自身が仮説を立て、実験で検証または棄却し、攻撃を設計しました。

最初はうまくいきませんでした。Claude は、AES の暗号解析を改善すること自体が不可能だと考え、作業を拒否しました。報告書は当時の2つの発言を公開しています。

If you want a different outcome, the target has to change … AES-128 r5/r6 is just genuinely hard

on AES-128 r5/r6/r7 it found nothing because there's nothing easy to find; this is the most-studied block cipher in existence.

研究者は1件のメッセージを送りました。報告書は誤字や文法ミスも原文通り残しています。以下の [sic] は「原文のまま」を意味し、転記ミスではありません。

the models tend to think it is impossible to solve so they don't try they [sic] need a good amount of prompting.

このメッセージを受け取った Claude は、エージェント基盤全体を自ら書き直し、本当に新しいアイデアを探すよう変更しました。これが効き、6ラウンド AES で新しい成果が出始めました。

研究者は続いて、why not do aes-128 r7? the whole point is to find something better than existing approaches.（なぜ7ラウンドをやらないのですか。この取り組みの目的は、既存手法より優れたものを見つけることです。）と尋ねました。

その後の3日間、Claude は自律的に数億トークンを出力しました。人間が与えた実質的な指示は計3件だけです。

1. no again the goal is that we have highly inteligent [sic] model as good top researcher, we want to find new attacks

2. no we don't want to change the targets [...] agian [sic] we need to find something that worth [sic] publishing

3. again we are not looking for low hanging fruit, we want proper research to find genuinly [sic] hard findings.

3日後、メビウス橋 が生まれました。さらに数日後、累計出力が 10 億 token に達した時点で、攻撃は論文に掲載された形へ洗練されました。

Anthropic は、Claude が中核アイデアを発見したセッションの思考過程も公開しました。業界で思考連鎖と呼ばれるもので、公開版は読みやすいよう詳細を補って再構成されています。Claude は先行する複数の Agent の発見を振り返り、さまざまな批判を読み、新しい変換を次々に提案しました。いくつかを自ら棄却した後、メビウス変換を思いつきます。続いて数学面と計算面の両方から検証し、後続 Agent が作業を続けられるよう報告書にまとめました。

これは多数の自律セッションの1つにすぎず、何も見つからなかったセッションも数多くあります。

続きもあります。HAWK の成果を確認した後、研究チームは興味から、AES 攻撃用のフレームワークを HAWK にも投入しました。フレームワークは答えを知らない状態で、同じ攻撃を独立に再発見しました。

本質的価値 — 実装ミスの発見から、一流数学者の設計を覆す段階へ

暗号分野における AI の能力は、「プログラマーがコードを誤って書いたかの検査」から、「一流数学者が設計したアルゴリズムの論理を覆すこと」へ進みました。これこそ今回の成果の重みです。

人間の研究者が検証で詰まり始める

HAWK の攻撃はエンドツーエンドで実行できるため、検証は容易です。実行して鍵が得られるか確認すれば済みます。AES の攻撃は実行できません。

報告書の表現は「1週間」と「約1カ月」。論文では、モデルが中核アイデアを生むまで数十時間、著者が確信を持つまでの検証に数百時間としています。

Anthropic はすでに自らの知識の限界へ近づき、ここ数カ月の大半を Claude の成果検証に費やしています。サイバーセキュリティ分野で起きているのと同じ現象です。モデルが見つける bug が多すぎて、人間のプロセス — 分類、検証、修正 — が追いつきません。今後の暗号研究では、AI の成果が爆発的に増える一方、人間の査読者が不足する可能性があります。

この新しい状況では、人間の主な仕事は言語モデルの出力を検証することになります。居心地のよい状況ではありません。

AES 論文第 1 節

解決策として提案しているのは、暗号攻撃の技術を形式化し、実際に最後まで走らせなくても攻撃の正しさを自動検証できるようにすることです。論文の試算では、当時この自動検証が使えれば、論文を1桁短い期間で完成できたとしています。

オープンなベンチマークも開発

「言語モデルは暗号解析をどこまで行えるか」を他者も研究できるよう、Anthropic は ETH Zürich、Tel Aviv University、University of Haifa の研究者と CryptanalysisBench を開発し、7 月 20 日に arXiv へ公開しました。

明確にすべき2つの境界

情報開示の手順

業界慣行に従い、まず方式の著者へ非公開で通知し、対応期間を設けた後に公開しました。学術研究者にも結果の有効性を確認しています。HAWK の結果は 6 月に HAWK の著者へ通知され、一般公開と同時に NIST の公開メーリングリストにも共有されました。2本の論文は米国政府と産業界のパートナーへ事前に送付され、討論会も開かれました。今後数週間以内に、言語モデルが安全保障や暗号研究で担う役割を議論する学術ワークショップを開催する予定です。

言語モデルが研究水準の数学を行ったのは初めてではありません。Google は Gemini で複数の Erdős 問題を解き、OpenAI は GPT で単位距離予想を解決しました。Anthropic も今月初め、Claude Fable 5 がヤコビ予想を解決したと発表しています。暗号研究に使われたのも同種の能力ですが、今回は現実のシステムにより近い対象でした。

最後に未回答の問いが残っています。いつかモデルが実際に稼働中の暗号システムで脆弱性を見つけたら、研究者はどう対応すべきでしょうか。学術界、政府、産業界が共同で答える必要があります。

攻撃対象は2つです。HAWK は「相手が本人であること」を証明します。Web ページを開くと、ブラウザは相手が本物のサイトかを確認します。HAWK は米国 NIST の次世代ポスト量子暗号コンペに参加し、2年間、2ラウンドの世界的な専門家審査を通過しています。AES はもう一方の「通信内容を他人に読ませない」役割を担う、世界で最も使われる暗号です。今回は7ラウンド縮小版が対象です。公開鍵は誰でも見られ、秘密鍵は所有者だけが持ちます。署名できるのは秘密鍵です。

HAWK の最小パラメータは実際に実行されました。公式リファレンス実装で生成した2つの公開鍵から、秘密鍵をすべて復元しています。96 コアのサーバー1台で数時間でした。復元鍵は公式の署名検証を通過し、攻撃コードもオープンソース公開されています。

「AES が破られた」という表現は不安を招きます。境界を明確にします。

HAWK では研究者1人と Claude が1週間協働しました。複数の Claude インスタンスが隔離環境で並行作業し、重要な発想は2つのインスタンスの議論から生まれました。1つ目は不可能だと早期に棄却しましたが、2つ目が拾い直して成功させました。AES はほぼ完全自律です。当初 Claude は、「現存する中で最も研究されたブロック暗号で、簡単に見つかるものはない」と拒否しました。研究者が「モデルは解決不能だと思い込んで試さない。もっと強く促す必要がある」と返すと、Claude は実験フレームワーク自体を書き直しました。その後の3日間、人間が与えた実質的な指示は計3件だけです。

HAWK の攻撃はエンドツーエンドで実行でき、秘密鍵が得られるか確認すれば検証できます。AES は最後まで走らせられません。形式証明、小型 AES での完全実行、実 AES に2つの近道を設けた 50 鍵の実験を重ね、段階的に検証しました。