Anthropicが、ポスト量子デジタル署名方式HAWKに対し、専門家による2年間・2回のレビューを経ても見つからなかった弱点をClaude Mythos Previewに発見させたと発表した。格子暗号に潜む「非自明な自己同型」という、これまで利用されていなかった対称性を突き止め、完全鍵回復攻撃のコストを想定されていた2^64から実証された2^38へ、約26ビット引き下げた。これは既存手法の改良ではなく、専門家が見落としていた弱点そのものの新規発見にあたる。NIST候補のような審査中の暗号方式を抱えるセキュリティ研究者・標準化関係者にとっての意味は具体的だ——人手のレビューをすり抜けた欠陥を、AIによる追加のストレステストで拾える可能性が示された以上、新方式の審査プロセスにAIによる暗号解析パスを組み込む動機が生まれる。

同時に発表された縮小ラウンドAESへの攻撃(人間の従来手法より200〜800倍高速化)は、これとは性質が異なる。既知のmeet-in-the-middle攻撃を、より洗練された指紋アルゴリズムで改良したものであり、「未発見の欠陥の新規特定」ではなく「既知手法の性能改善」にとどまる。この二つを同じ「AIが人間の見落としを見つけた」という一つの物語で語ってしまうと、AIの自律的な研究能力マイルストーンとして実際に何が起きているのかを見誤る。本当の問いは、暗号解析にAIを使う発表が相次ぐ中で、それぞれが「新規発見」なのか「改良」なのかを、発表のたびに区別して評価できるかどうかだ。

何が起きたか

Anthropicの研究者は、研究プレビュー版モデル「Claude Mythos Preview」を用いて暗号アルゴリズムの弱点を調査し、2件の攻撃を改良したと発表した。1件目はポスト量子デジタル署名方式HAWKへの攻撃で、格子(lattice)に潜む「非自明な自己同型」という、これまで利用されていなかった対称性を発見することで、完全鍵回復攻撃のコストを大幅に引き下げた。HAWKは専門家による2年間・2回のレビューを経ても、この弱点は見つかっていなかった。2件目は縮小ラウンドAES(最も広く使われている対称鍵暗号AESのラウンド数を減らした版)への攻撃で、既存のmeet-in-the-middle攻撃をより洗練された指紋アルゴリズムで改良した。

仕組み・詳細

HAWKへの攻撃は、格子暗号の構造の中に存在する「非自明な自己同型」という対称性を利用する。この対称性はHAWKの設計以来、専門家のレビューでも見過ごされてきたものだった。AESへの攻撃は、7ラウンドに簡略化したAES-128が対象で、Mythosは既存のmeet-in-the-middle攻撃を、より洗練された指紋(fingerprinting)アルゴリズムへと改良した。

数字で見る

  • HAWK-256の完全鍵回復攻撃コスト: 想定2^64 → Mythosが実証2^38(約26ビットの低下)。発見・開発・検証に要した時間は合計で約60時間
  • 縮小ラウンドAES-128への攻撃: 人間の従来手法より200〜800倍高速化

背景

Anthropic自身は「これらは大きな研究上の進展だが、現行の実運用システムには影響しない」としている。HAWKはNIST(米国立標準技術研究所)の候補としてまだ審査段階にあり実運用には配備されておらず、AESへの攻撃も実運用で使われる10ラウンドの完全版ではなく7ラウンドの簡略版が対象であるためだ。Anthropicは研究プロセスを通じて責任ある開示手続きに従い、学術関係者と協議したうえで結果の妥当性を確認したとしている。

なぜ重要か

この発表を「AIが人間の専門家の見落としを効率的に特定した」という単一の物語で語るのは不正確だ。HAWKについては、2年間・2回の専門家レビューを経ても見つからなかった弱点をMythosが新たに発見したという意味で、この表現は妥当する。しかしAESへの攻撃は、既に知られていたmeet-in-the-middle攻撃を改良したものであり、「未発見の欠陥の新規特定」ではなく「既知手法の性能改善」にとどまる。

この区別は些末な粒度の話ではない。暗号設計の審査プロセスにAIをストレステストとして組み込む価値を測るなら、AIが本当に「専門家の目をすり抜けた新しい弱点」を見つけているのか、それとも「既知の攻撃を速くしただけ」なのかで、意味が大きく変わる。AIの自律的な研究能力に関する発表が今後も相次ぐ中で、それぞれの成果が新規発見なのか改良なのかを発表のたびに区別して評価できるかどうかが、この種の主張を正しく読み解くための本当の問いになる。