7月30日、pbxscience.comが「AI Model Uncovers New Mathematical Flaws in Post-Quantum Cryptography Candidate and AES」と題した記事を公開した。AnthropicのAIモデル「Claude Mythos Preview」（※Anthropicが研究目的で用いているモデルと見られるが、現時点では広く公表されたプロダクト名ではない）が耐量子暗号の候補アルゴリズムおよびAESに対して新たな数学的攻撃手法を発見したという研究成果を詳しく紹介している。なお記事の主体はpbxscience.comであり、Anthropic公式ブログ等との関係は現時点では明確ではない。
AIが「実装バグ」ではなく「設計上の欠陥」を発見
AIを使ったセキュリティ研究といえば、コードの実装バグを見つける静的解析や脆弱性スキャンが一般的だ。だが今回紹介された内容は、その一歩先を行く。Claude Mythos Previewは、アルゴリズムの実装ではなく、設計そのものの数学的欠陥を発見した。
対象となったのは以下の2つだ。
- HAWK：NIST（米国立標準技術研究所）の耐量子暗号標準化プロセスにおける第3ラウンド審査中のデジタル署名方式
- AES-128の7ラウンド版：世界で最も広く使われている共通鍵暗号AESを、研究用に意図的に弱体化させたバージョン（※後述）
いずれも現在実運用されているシステムへの即時の影響はない。HAWKは未展開であり、AESの攻撃対象は意図的に弱めた実験用の設定だ。ただし、AIが従来の人間の専門家チームが数年かけて取り組んでいた領域に、数十時間で切り込んだという事実は重い。
HAWKへの攻撃：最小パラメータセットで鍵回復コストが2⁶⁴から2³⁸に低下
HAWKはNTRU格子ベースのデジタル署名方式の一種であり、量子コンピュータに対しても安全とされる設計で、約2年間にわたる専門家による審査を経ている。格子暗号（Lattice-based Cryptography）とは、高次元の格子上の数学的問題（最短ベクトル問題など）の困難性を安全性の根拠とする暗号方式の総称で、量子コンピュータによる攻撃にも耐性があるとされている。Claude Mythos Previewは約60時間の作業でこの暗号に対する既存の最良攻撃を大幅に改善した。
具体的には、最小パラメータセットにおける完全な鍵回復攻撃のコストが2⁶⁴から2³⁸に低下した。ビット数で言えば64ビット相当から38ビット相当への低下であり、約40%の削減にあたる。元のセキュリティレベルを維持するには鍵サイズを大幅に増やす必要があるが、それはHAWKが「高速かつコンパクト」という設計上の強みを失うことを意味する。
ただし、この攻撃は依然として指数関数的なコストを要するため、実用的な脅威ではない。また、他のNISTの耐量子暗号候補や、格子暗号全般には影響が及ばないとされている。
AES攻撃：「Möbius Bridge」で2013年以来の記録を更新
「7ラウンド版」とはなにか
AES（Advanced Encryption Standard）は内部で暗号化処理を複数回繰り返す構造を持ち、AES-128では10ラウンドの処理が行われる。ラウンド数を減らすと安全性は低下するが、フルラウンド版への攻撃が現実的でない中でも研究者が暗号の性質を分析するための「意図的に弱体化させた実験用設定」として、ラウンド削減版への攻撃研究は暗号解析の重要な手法となっている。今回対象となった7ラウンド版は、あくまでこうした研究目的の設定であり、実運用中のAESへの影響はない。
新手法「Möbius Bridge」
AES-128の7ラウンド版に対する攻撃では、Claude Mythos Previewが「Möbius Bridge」と名付けた新しいフィンガープリント技術を考案した。これは既知の最強手法である中間一致攻撃（Meet-in-the-Middle Attack）（※暗号化・復号の両方向から処理を進め、中間点で突き合わせる攻撃手法）を上回るもので、従来比で200〜800倍高速な攻撃を実現した。この領域でのベンチマークは2013年から更新されていなかった。
この結果にはもう一つ興味深い経緯がある。Claudeは当初、AES暗号解析を改善することは「事実上不可能」だと主張し、タスクを拒否した。研究者が「安易な成果に妥協せず、真に新規のアプローチを探せ」と明示的に指示した後、はじめてこのブレークスルーが生まれた。
この2つの主要結果を開発・検証するための計算コストはそれぞれ約10万ドル。その後、Anthropicのスタッフが数百時間をかけて独自に結果を確認した。
その他の成果と今後への示唆
Claude Mythos Previewは上記2件に加えて、以下の暗号スキームに対しても新規または改善された攻撃を報告している。
- LEAブロック暗号
- Serpent-128の縮小ラウンド版
- Salsa20ストリーム暗号（小規模な改善）
- Poseidonハッシュ関数
- SHA-1
これらもすべて、現在展開されているフルバージョンには影響しない。
Anthropicは今回の研究を踏まえ、AIが「発見」をこなせるようになったことで、暗号分野のボトルネックは発見ではなく人間による検証にシフトしていると指摘する。AIは既存の暗号提案の脆弱性を洗い出すストレステストの役割と、次世代暗号システムの設計支援という二つの役割を担っていくと同社は見ている。
NISTの公開審査プロセスは、まさにこうした弱点を標準採用前に発見するために設計されている。今回の成果は、そのプロセスにAIが実質的に貢献できることを示した事例となった。
詳細はAI Model Uncovers New Mathematical Flaws in Post-Quantum Cryptography Candidate and AESを参照していただきたい。
