RESEARCH BRIEFING · AI × CRYPTOGRAPHY
Anthropic Frontier Red Team「Discovering cryptographic weaknesses with Claude」(2026年7月28日公開) を一次情報として、記述を1件ずつ照合した解説
Claude Mythos Preview が、暗号の「実装のバグ」ではなく「アルゴリズムそのものの数学的欠陥」を2件発見した。いずれも現行の本番システムには影響しない。
「これらは実質的な研究上の進展だが、現時点でいかなる本番システムにも影響しない。この結果によって変更を要する製品ソフトウェアはない」。さらに結論部では、両攻撃を「想定内（expected）の結果」と評価している——NIST の標準化プロセスは元来こうした欠陥を配備前に発見するためのものであり、AES 側もラウンド削減版攻撃という長い研究系譜の延長にある、という理由による。
従来モデルが見つけていたのは実装の誤り（プログラマがアルゴリズムを使う際の誤り）だった。今回はアルゴリズムの数学的性質そのものである。2年・2ラウンドの専門家レビューを通過した候補方式に対し、60時間で既知最良攻撃を改善した。
以下の事実はすべて Anthropic の発表に基づく。独立した第三者による再現・査読は本稿執筆時点で完了していない。ただし論文2本・デモコード・思考過程が公開され、HAWK の著者と NIST のメーリングリストへ事前開示されており、検証可能な状態にはある。
能力の所在が、コードの層からアルゴリズムの層へ移った。
この報告で最も誤読されやすい点。2つの結果は発見のされ方がまったく違い、人間の関与の中身も異なる。原文の総括は「大部分は自律的に、大部分は人間の介入なしに達成された」である。
| HAWK | 7ラウンド版 AES-128 | |
|---|---|---|
| 対象 | ポスト量子デジタル署名方式。NIST 追加署名公募（2022年）の第3ラウンド残存候補 | 2001年に NIST が採用した共通鍵暗号の、ラウンド数を減らした研究用の版 |
| 結果 | 鍵強度が実質半減。HAWK-256 の鍵回復コストは 264 と考えられていたが 238 と実証 | 既存最良の中間一致攻撃を 200〜800 倍高速化（測定法により幅） |
| 機構 | 格子同型問題に基づく安全性。格子中の未活用の対称性（非自明な自己同型）を発見 | 新しいフィンガープリント法 Möbius Bridge。先行手法が総当たりしていた1段階の推測を不要にした |
| 自律性 | 半自律。人間の関与は非技術的な方向付けとプロジェクト管理 | ほぼ完全自律。実質プロンプト3件 |
| 所要 | 発見・開発・検証あわせて約60時間 | 着想に約1週間 |
| 検証 | 端から端まで実行可能なため検証は容易 | 研究者2名が確信を得るまで約1ヶ月 |
| 費用 | 各成果あたり API 費用 約10万ドル | |
2年・2ラウンドの専門家レビューを通過した候補方式に対し、60時間で既知最良攻撃が改善された。
HAWK の安全性は「格子同型問題」の困難さに基づく。Mythos は、HAWK が使う格子の中に、これまで活用されていなかった対称性（非自明な自己同型）を見つけた。先行研究は「そうした自己同型を効率的に見つけられれば攻撃が成立する」ことを証明していたが、HAWK の格子で実際に到達可能かは未解決だった。そこを埋めた形になる。
同等の安全性を保つには鍵長を2倍にする必要がある。しかし鍵長を2倍にすると、HAWK が有力なポスト量子署名候補である理由の多くが失われる——署名・鍵のサイズが小さいことが同方式の売りだったため。候補としての評価に直接影響する結果といえる。
鍵となる着想は、2体のワーカーエージェントの相互作用から生まれた。片方はその案を「実現不可能」と早計に棄却したが、もう片方が活用する方法を見つけた。両者はメッセージを交換し続け、最終的に有効な攻撃であることで合意したという。
攻撃を見つけた後、Mythos は自ら端から端までの検証パイプラインを実装し、自分自身と人間の操作者の双方に対して正しさを示した。この「実行して確かめられる」性質が、後述する AES との検証コストの差を生んでいる。
原文は次のように明記している。「これは HAWK に固有であり、他の NIST ポスト量子署名候補や、格子ベース暗号一般には影響しない」（脚注でも重ねて記載）。ポスト量子暗号全体が揺らいだという読み方は、一次情報が明示的に否定している。
NIST の提案は、配備前に広く欠陥を見つけてもらうために公開される。プロセス後期の重大な発見は前例がなくはない——ML-KEM / ML-DSA の標準化過程では複数の競合提案が安全でないと示され、候補の一つ SIKE はラップトップ上で1時間のうちに完全に破られた。
対象は AES-128 の全10ラウンドのうち7ラウンドに減らした版。実際に TLS 等で使われているフル仕様の AES ではない。
「AI が AES を破った」と要約されがちだが、対象は10ラウンド中7ラウンドに削減した研究用の版であり、フル仕様の AES は破られていない。攻撃前提の 2105 個の選択平文という数字が、実行可能性の水準を示している。原文も脚注で「実装しても数億ドル規模の費用がかかり、他の類似暗号方式には影響しない」と明記している。
主要2件の後、探索範囲を広げて得られた予備的な成果も併せて報告されている。期待値を調整するうえで有用な情報。
| 対象 | 結果 | 位置づけ |
|---|---|---|
| LEA ISO/IEC 29192-2:2019 |
13ラウンド版の鍵を 230 未満の暗号文で回復し、現代のデスクトップ上1時間以内に完走する実用的攻撃。既存最良は 298 の平文対と 286 の計算量 | 実際に動く攻撃。ただし完全版は24ラウンドで適用外 |
| Serpent-128 | 6ラウンド版に対する実用的な完全鍵回復攻撃。既存研究は 270 超の平文対と 290 の復号を要していた | 完全版は32ラウンドのため影響は限定的 |
| Salsa20 / Poseidon / SHA-1 | いずれも改善は限定的（10倍未満の効率化） | 現時点では有力な結果ではない |
| CryptanalysisBench | ETH Zurich・Tel Aviv 大学・TU Berlin と共同で構築した、LLM の暗号解析能力を測るベンチマーク | 第三者が同種の検証を行える基盤 |
※ LEA の完全な結果（必要な平文対の正確な下限、鍵による難易度差、14ラウンドへの拡張）は、追加調査後に公開予定とされている。
原文の結論部が最も重視している論点。人間が律速になる場所が、発見から検証へ移りつつある。
この事案を引用する際、以下を併記しないと実態より大きく描くことになる。すべて一次情報が明示的に述べている事項。
脚注によれば、公開された思考過程は多数の自律セッションのうちの1つであり、「多くのセッションは新しい発見に至らなかった」とされている。成功率は開示されていない。したがって「同じ手法を向ければ常にこの水準の成果が出る」とは読めない。なお、公開された思考過程の文書は、読みやすさのため Claude 自身が詳細を加えて書き直したものである。
学術関係者に相談して結果の妥当性を確認し、米国政府および産業界のパートナーへ事前に写しを共有している。HAWK の結果については2026年6月に HAWK の著者へ攻撃を共有し、公開と同時に NIST の公開メーリングリストへ調整開示した。論文2本・思考過程の文書・デモコードが公開されている。
※ 本節は上記の事実から導いた編集部の解釈であり、一次情報に明記された結論ではありません。
本番の暗号化通信や署名が直ちに危険になったわけではない。一方で、フロンティアモデルが数十時間・十万ドル規模の投入で、2年の専門家レビューを通過した方式に意味のある攻撃改善を出せる段階に入った。暗号方式の選定・移行計画を持つ組織は、評価の前提を「専門家レビュー済み＝十分」から「継続的に再評価されるもの」へ移す時期にある。
この報告で最も再現性が高そうな示唆は、能力の高さそのものより検証の負担にある。実行できない数学的主張は、人間が論証で確かめるほかない。AI 活用を検討する組織は、生成能力と同じだけ検証体制に投資できるかを先に考える必要がある。
「実質プロンプト3件」は強い数字だが、スキャフォールドの構築と標的の選定（AES-128 の7ラウンドを狙う）は人間が行っている。また当初モデルは「不可能だ」として着手しなかった。問題設定と粘りの指示は依然として人間側の仕事である、というのが現時点の実態に近い。
両論文の査読と第三者による再現、NIST 追加署名 第3ラウンドにおける HAWK の扱い、CryptanalysisBench 上で他モデルが同水準に達するか、予告されている LEA の完全な結果。特に第三者再現の結果は、本稿の前提そのものを更新しうる。