🔐 AIが「プログラムのバグ」ではなく暗号理論そのものを攻撃
Anthropicは2026年7月、高度なサイバー能力を持つ研究用AI「Claude Mythos Preview」を使い、暗号アルゴリズムそのものに対する新しい攻撃手法を発見したと発表しました。これまでMythos PreviewはOSやブラウザ、暗号ライブラリなどから大量の脆弱性を発見していましたが、それらの多くは「安全な暗号方式をプログラム側が間違って実装した」ことによる脆弱性でした。今回の研究が一段違うのは、人間が設計した暗号アルゴリズムの数学的構造そのものをAIに研究させ、新しい暗号解読法を発見させた点です。対象となったのは、量子コンピューター時代を想定したデジタル署名方式「HAWK」と、世界で最も広く使われる共通鍵暗号AESを研究用に弱くした「7ラウンドAES-128」です。Anthropicによれば、どちらも現在運用されているシステムを破る攻撃ではありませんが、最先端AIが人間の暗号研究者に近い「新しい数学的攻撃を考案する能力」を持ち始めたことを示しています。
特に注目されるHAWKは、NIST（米国立標準技術研究所）が進めるポスト量子暗号（PQC）の追加デジタル署名標準化プロジェクトに参加している方式です。現在広く利用されているRSAや楕円曲線暗号は、十分に大規模な量子コンピューターが実現するとShorのアルゴリズムによって安全性を失う恐れがあります。このためNISTは2016年から耐量子暗号の標準化を進め、すでにML-KEM、ML-DSA、SLH-DSAなどを標準化しています。さらに署名方式の選択肢を増やすため追加コンペを実施しており、HAWKは2026年5月、FAEST、MAYO、SQIsignなどとともに9方式の第3ラウンド候補へ選ばれました。つまり今回AIが弱点を見つけたのは無名の実験的暗号ではなく、18カ月以上の第2ラウンド評価を通過し、NISTが次世代標準候補として審査している方式だったことになります。
🧮 HAWKの攻撃コストを「2の64乗」から「2の38乗」へ
HAWKは格子暗号の一種で、「Lattice Isomorphism Problem」と呼ばれる数学問題の難しさを安全性の根拠の一つとしています。Mythos Previewは関連論文を調査し、数学的推論と計算実験を繰り返した結果、HAWKで使われている格子にこれまで利用されていなかった「nontrivial automorphism（非自明な自己同型）」と呼ばれる対称性が存在することを発見しました。この性質を利用すると秘密鍵を探索する範囲を大幅に縮小でき、HAWK-256に対する完全な鍵回復攻撃の想定計算量は従来の約2^64から、実証された攻撃では約2^38まで低下しました。Anthropicが「effective keysizeを半分にした」と表現しているのはこのためです。より大きなHAWKパラメーターを直ちに現実的な計算量で突破できるわけではありませんが、同等の安全性を維持するには鍵を大きくする必要が生じ、HAWKが候補として持っていた効率面の魅力を損なう可能性があります。なお、この攻撃はHAWK固有のもので、格子暗号全体やML-KEM、ML-DSAなど他のNIST標準を破ったわけではありません。
HAWKの発見過程も、従来のAI利用とはかなり異なります。
- 🤖 複数のMythosエージェントが並列研究：文献調査、仮説生成、数学的検証、コード実験を分担
- 💬 エージェント同士が研究結果を共有：あるエージェントが却下したアイデアを別のエージェントが再検討して突破口を発見
- 🧮 PythonやSageを使って自ら検証：理論を提案するだけでなく計算実験を実行
- ⏱️ 発見・開発・検証まで約60時間：人間は主にプロジェクト管理や方向付けを担当
- 💰 推定APIコスト約10万ドル：現在のレートなら小規模研究では高額ながら、国家や大企業に限られる規模ではない
- 🔍 最後に人間が検証：AnthropicはHAWK開発者へ6月に事前開示し、公開時にはNIST側とも情報を共有
興味深いのは、2体のエージェントが同じ着想を検討した際、一方は「実現不可能」と早々に捨てたのに対し、もう一方が利用方法を発見したことです。その後両者がメッセージを交換しながら研究を進め、最終的に攻撃成立へ到達しました。これは単一のLLMへ質問して答えを得る使い方ではなく、AI研究者を何人も並列で働かせ、失敗した仮説まで別のAIが再検討する「AI研究チーム」型の探索が機能した事例といえます。
🔓 AESも突破？実際には「10ラウンド中7ラウンド」の研究用AES
もう一つの成果がAES-128に関する新しい攻撃です。ただし「ClaudeがAESを破った」という理解は正確ではありません。実際のAES-128は暗号化処理を10ラウンド繰り返しますが、今回の研究対象はそのうち7ラウンドだけを実行する弱体化AESです。暗号研究では、完成版より弱い「Reduced-round cipher」を意図的に攻撃し、どこまでラウンド数を増やすと既知の解析手法が通用しなくなるのかを調べることで、安全余裕を評価します。さらに今回の既存攻撃は攻撃者が任意の平文を暗号化させられるchosen-plaintext条件に加え、2^105個という現実には扱えないほど大量の平文を要求します。したがって、現在ウェブ通信、ストレージ、VPNなどで使われている通常のAES-128が解読可能になったわけではありません。
それでも暗号研究として興味深いのは、Mythos Previewが長年研究されてきたMeet-in-the-Middle攻撃を独自に改良したことです。AIは「Möbius Bridge」と名付けた新しいフィンガープリント方式を考案し、従来必要だった256通りの推測の一つを不要にしました。理論上は256倍の削減になりますが、新しい変換自体にも計算コストが発生するため、追加最適化まで含めた最終的な高速化は従来手法の約200～800倍になりました。しかも最初のMythos Previewは「AESは研究され尽くしており改善は難しい」と判断して研究を諦めようとしていました。研究者が「簡単な問題を探すのではなく、本当に新しい攻撃を探すことが目的」と数回方向修正すると、約3日間に数億トークン規模の探索を行い、最終的にMöbius Bridgeへ到達。研究全体では約10億出力トークンに達しました。発見そのものには約1週間だったのに対し、Anthropicの人間の研究者2人が正しさに十分な確信を持つまでには約1カ月かかったとされています。
⚛️ ポスト量子暗号は「量子コンピューターだけ」を警戒すればいいわけではない
今回のHAWK研究は、ポスト量子暗号について重要な点を浮き彫りにしています。「耐量子暗号」という名称から量子コンピューターでなければ攻撃できないように感じられますが、実際にはそうではありません。PQCは量子アルゴリズムにも耐えられると期待される数学問題を安全性の根拠にしているだけで、その数学的構造に未知の近道が発見されれば、普通のコンピューター上で動く古典アルゴリズムでも安全性が低下する可能性があります。実際、NISTの過去のPQC選定でも、有力候補だったSIKEが2022年に一般的なノートPCでも短時間で秘密鍵を回収できる攻撃を発見され、事実上破られました。だからこそNISTは候補を数年間公開し、世界中の暗号研究者に積極的に攻撃してもらってから標準化する方式を採っています。今回HAWKの弱点が正式採用前に見つかったことは、標準化プロセスの失敗というより、むしろ**「本番投入する前に可能な限り攻撃する」という暗号標準化が正常に機能した例**ともいえます。
そして今後、その「攻撃する研究者」の中にAIが大量参加する可能性があります。AnthropicはETH Zurich、テルアビブ大学、ベルリン工科大学の研究者と共同で、LLMの暗号解析能力を測定する「CryptanalysisBench」も構築しました。HAWKやAESの結果が示したのは、AIが既存論文を要約する段階から、文献を読み、仮説を立て、数式を操作し、プログラムを書き、実験で失敗を確認し、別の仮説へ移り、最終的に人間が知らなかった攻撃アルゴリズムを作る段階へ移りつつあることです。一方で検証コストは依然として大きく、AES研究ではAIが1週間で出した成果を人間が確認するのに数週間を要しました。今後AIによる数学・暗号研究が高速化すると、「AIが新しい定理や攻撃を生成する速度に、人間の査読と検証が追いつかない」こと自体が新しいボトルネックになる可能性があります。
🛡️ まとめ：AES崩壊ではない、それでもAI研究能力の大きな転換点
今回の成果によってインターネットバンキングやHTTPSのAES暗号が突然危険になったわけではありません。HAWKはまだNISTの候補段階で実運用されておらず、AESへの攻撃も10ラウンドのAES-128ではなく7ラウンド版を対象としています。HAWKについても攻撃計算量は指数時間のままで、大きなパラメーターが即座に突破可能になったわけではありません。そのため一般ユーザーがパスワードや暗号設定を変更する必要はありません。
それでも今回の研究が重要なのは、Claude Mythos Previewが**「既知の脆弱性を探すAI」から「未知の数学的攻撃を研究するAI」へ踏み込んだ**ことです。60時間と約10万ドルで2年間の人間による審査を通過したHAWKの安全性評価を大きく更新し、AESでは何十年にもわたる暗号解析研究の延長線上に新しい高速化手法を追加しました。AIによる暗号解析能力がさらに安価かつ高速になれば、将来の暗号標準は「数百人の研究者が数年間攻撃する」だけではなく、数千のAIエージェントに何兆回もの仮説を試させ、それでも破れないことを確認してから採用する時代へ向かう可能性があります。暗号を攻撃するAIは同時に、より強い暗号を作るための極めて強力なテストツールにもなり得るのです。
📚 参考・出典
- Anthropic「Discovering cryptographic weaknesses with Claude」 — HAWKおよび7ラウンドAES-128に対するClaude Mythos Previewの暗号解析研究、発見過程、コスト、影響
- NIST「Status Report on the Second Round of the Additional Digital Signature Schemes」 — HAWKを含む9方式を第3ラウンドへ選出した2026年5月の評価報告
- NIST「Post-Quantum Cryptography: Additional Digital Signature Schemes」 — ポスト量子デジタル署名方式の標準化プロジェクトと候補一覧
- NIST「Nine Candidates Advance to the Third Round」 — HAWK、FAEST、MAYO、SQIsignなど9候補の第3ラウンド進出
- Anthropic「Assessing Claude Mythos Preview’s cybersecurity capabilities」 — Mythos Previewによるゼロデイ探索、暗号ライブラリ解析などのサイバー能力評価
- Anthropic「Measuring LLMs’ ability to develop exploits」 — LLMによる脆弱性悪用・攻撃チェーン構築能力の評価
