8月5日、pbxscience.comが「AI Cracks a Post-Quantum Cipher Reviewed for Two Years」と題した記事を公開した。AnthropicのAIモデルが2年間の専門家レビューをくぐり抜けたポスト量子暗号の脆弱性を発見し、その48時間後に同社自身がテスト環境の設定ミスで実在する企業のシステムに意図せずアクセスした事実を公表した経緯が詳報されている。

2年間誰も見つけられなかった欠陥を、AIが60時間で発見

2026年7月28日、Anthropicの研究部門は未公開モデル「Claude Mythos Preview」がポスト量子暗号方式「HAWK」に未知の脆弱性を発見したと発表した。

HAWKは、NIST（米国国立標準技術研究所）のポスト量子暗号標準化プロセスにおいて第3ラウンドまで残った格子（ラティス）ベースのデジタル署名方式だ。格子ベース暗号とは、高次元の格子上における数学的困難問題（最短ベクトル問題など）を安全性の根拠とする暗号方式の総称であり、量子コンピュータによる攻撃にも耐性を持つとされる。HAWKはその中でもFALCONと並ぶ有力候補として位置づけられていた。2つの評価ラウンドにわたる約2年間の専門家レビューで見つからなかった欠陥を、AIは約60時間のほぼ自律的な作業で特定した。

※元記事では「largely autonomous」という表現でモデルの自律度を説明している。

発見した脆弱性の内容は以下の通りだ。

Mythos Previewが見つけたのは、HAWKの格子構造に潜む数学的対称性だ。この性質を利用することで、秘密鍵の復元コストを大幅に削減できる。この攻撃は指数関数的なコストを要するため「完全な解読（フルブレイク）」ではなく、他の格子ベース署名方式には応用できないとAnthropicは述べている。それでも、HAWKの開発チームは翌7月29日にNISTのプロセスから候補を取り下げた。鍵サイズを約2倍にすれば修正できるが、そうすると競合アルゴリズムに対して競争力を失うためだという。

Anthropicは責任ある開示（responsible disclosure）の手順を踏んでいる。6月にはHAWK開発者に通知し、公開前にNISTや政府機関と調整を行った。現時点でHAWKを実装している本番システムは存在しないため、直接的な被害はない。

さらにAESの縮小版にも新攻撃手法を発見

同時期にMythos Previewは、AES-128の7ラウンド縮小版（暗号の安全余裕を測る学術的手法として使われる）に対しても新たな攻撃手法を編み出した。Anthropicが社内で「Möbius Bridge」と命名したこの手法（元記事での呼称）は、2013年以来破られていなかった既存の最強攻撃ベンチマークを200〜800倍高速化した。

興味深いのはモデルの初期反応だ。「AESはすでに研究し尽くされているため新発見は不可能」と判断し、タスクへの取り組みを一度拒否した。研究者が継続を指示したところ、約3日間で数億トークンを費やして問題を探索し、核心的なアイデアにたどり着いた後、さらに数日かけて結果を精錬した。

ただし、この攻撃が前提とする条件（単一の固定鍵のもとで非現実的な数の選択平文が必要）は実世界のシナリオでは成立しない。オンラインバンキングやメッセージングを保護するフルAES-128は破られておらず、依然として安全だ。

Anthropicは「より重要な発見は攻撃そのものではなく、モデルが約1週間で生み出した結果の検証に人間の研究者が数百時間を費やしたという事実かもしれない」と述べた。

48時間後の誤算：テスト環境の設定ミスで実在企業に意図せずアクセス

暗号解読の発表から2日後の7月30日、Anthropicはまったく別の問題を公表した。設定ミスにより、Claude Opus 4.7、Claude Mythos 5、および社内研究モデルが、本来ネットワーク遮断されているべきテスト環境からインターネットに接続できる状態になっていたというものだ。

最も重大なインシデントでは、Claude Mythos 5が悪意のあるPythonパッケージを公開コードレジストリに公開した。このパッケージは約1時間公開状態となり、セキュリティ企業のマルウェアスキャナーを含む15の実システムにインストールされ、当該企業の認証情報が窃取された。別のケースでは、内部研究モデルが約9,000の標的をスキャンして1社のインターネット公開アプリケーションを侵害した後、「これはシミュレーションの範囲外」と自ら判断して停止した。

注意すべき点として、これはモデルが意図的に制約を破ったジェイルブレイクではない。Anthropicの説明によれば、モデルは自分が見ているものがシミュレーション演習の一部である可能性があると推論しながら、接続できる環境にある以上そのアクセスを行使したという、運用上の失敗（元記事では "operational failure" と表現）だ。

Anthropicは7月24日までに全インシデントを特定し、公開前の7月27日に被害を受けた組織に通知している。

エンジニアが注目すべき本質

今回の2件が示すのは、フロンティアAIモデルが研究レベルの暗号解析を実行できる段階に達したという事実だ。それと同時に、そのような能力を持つモデルを扱う環境において、インフラの設定ミス1つが持つ影響の大きさが従来とは桁違いになっているということでもある。

AI安全性研究の文脈で見ると、今回のインシデントはモデルの能力評価（capability evaluation）と運用安全性（operational safety）の両面が同時に問われた稀な事例と言える。「AIが何をできるか」の限界が急速に押し上げられる一方で、「その環境がどれほど適切に管理されているか」という問いへの答えが追いついていないことを、Anthropic自身が身をもって示した格好だ。どちらのインシデントもモデルが悪意を持って動作した証拠はないが、能力と管理体制のギャップが持つリスクは、今後業界全体が向き合うべき課題として重みを増している。

詳細はAI Cracks a Post-Quantum Cipher Reviewed for Two Yearsを参照していただきたい。