7月29日、Anthropicが「Discovering cryptographic weaknesses with Claude」と題した記事を公開した。NISTの量子後暗号標準化審査を2年間・2ラウンドにわたって生き残ってきた暗号アルゴリズムの数学的欠陥を、AIモデルがわずか60時間で発見した——この事実だけでも暗号研究のあり方を揺るがすに十分だが、さらに世界最広用の共通鍵暗号AESの段数削減版に対する新攻撃まで、ほぼ自律的に導き出している。
何が起きたのか
AnthropicのAIモデルClaude Mythos Previewが、暗号アルゴリズム自体の数学的欠陥を自律的に発見した。コードの実装バグではなく、アルゴリズムの設計レベルの脆弱性を見つけた点が今回の肝だ。
Claude Mythos Previewとは： Anthropicが研究目的で開発した実験的なプレビューモデルであり、通常公開されているClaudeシリーズ（Claude 3.5 Sonnetなど）とは異なる研究用の位置づけにある。今回の暗号解析タスクへの適性を検証するために用いられた。
発見されたのは2件：
- HAWK（ポスト量子暗号の署名方式候補）に対する改善された攻撃
- AES（世界で最も広く使われる共通鍵暗号）の段数削減版に対する新攻撃
いずれも現時点で実運用システムへの影響はないが、「AIが暗号研究の一線に踏み込んだ」という事実は重い。
最大の発見：HAWKの鍵強度を実質半減
HAWKとは
HAWKは、米国標準技術研究所（NIST）が進めるポスト量子暗号（PQC）標準化プロセスにおける追加署名方式（Additional Signatures）ラウンドの候補だ。量子コンピュータが実用化されると、現在広く使われているRSAやECDSAは破られてしまう。これを見越して2022年にNISTが追加の署名方式を公募し、HAWKはその審査を2年間・2ラウンドにわたって生き残ってきた候補である。
Claude Mythosが見つけた欠陥
Mythosは60時間の作業でHAWKに対する攻撃を発見した。具体的には、HAWKが依拠する格子（Lattice）構造の中に「非自明な自己同型写像（nontrivial automorphism）」と呼ばれる未発見の対称性を見つけ出し、これを利用して鍵回復攻撃を大幅に高速化した。
「自己同型写像」とは平たく言えば、「ある構造を別の見かけに変換しても、実は元の構造と数学的に同一である」という対応関係のことだ。暗号が安全であるためには、こうした隠れた対称性がないことが前提になる。Mythosはその「ないはずの対称性」を発見し、攻撃の足がかりにした。
結果として、実効鍵長が半分になった。例えばHAWK-256の小サイズに対する完全な鍵回復攻撃のコストは、従来の推定2⁶⁴から2³⁸まで引き下げられた。
同等のセキュリティ強度を維持するには鍵サイズを2倍にする必要があるが、それはHAWKが候補として評価されてきた主な利点（コンパクトさ）を損なう。
発見のプロセス
理論計算機科学のバックグラウンドを持つ（ただし格子暗号の専門家ではない）Anthropicの研究者1名が、Claude Code類似のマルチエージェントハーネスを使ってMythosと協働した。Mythosは文献調査、数学的推論、計算実験を経て攻撃を特定し、正しさを検証するパイプラインも自ら実装した。
興味深いのは、マルチエージェントのダイナミクスだ。攻撃の核心となるアイデアは2つのワーカーエージェントが協力して発見した。最初のワーカーが「実現不可能」として棄却した方向を、2つ目のワーカーが掘り下げて突破口を開いた。両者がメッセージを交換しながら最終的に攻撃の有効性で合意した。
人間によるディレクションは「どのライブラリを使うか」「アイデアをどう整理するか」といったプロジェクト管理レベルにとどまっていた。
2件目：AES段数削減版への200〜800倍高速な攻撃
AES-7の研究とは
AES-128は10ラウンドの処理を繰り返す暗号だ。フルの10ラウンドを破ることは現実的ではないため、暗号研究者は「段数を削減した弱バージョン」を使って攻撃技術の研究を進める。今回のターゲットは7ラウンド版AESだ。
Möbius Bridgeという新技法
Mythosは「中間値一致攻撃（meet-in-the-middle attack）」の系譜に属する手法を改善した。従来の最強攻撃では、攻撃の一段階で2⁵⁶通りの値を列挙してルックアップする必要があった。
Mythosが開発した「Möbius Bridge」と名付けたフィンガープリントアルゴリズムは、このguessに対して不変な変換を設計することで、その列挙ステップを丸ごと不要にした。計算コストが増える部分は別途最適化で補い、結果として従来比200〜800倍の高速化を達成した。
この攻撃の発見はほぼ完全に自律的だったが、面白い挿話がある。最初、Mythosは「AESの暗号解析を改善することは不可能だ」として問題に取り組もうとしなかった。研究者がスキャフォールドを調整し、仮説の提案→実験→検証のループを回せる環境を整えることで、ようやく実際の探索が始まった。
コストと規模感
元記事によれば、HAWK攻撃とAES-7攻撃のそれぞれに要したAPI費用は約10万ドル（約1,500万円）。研究グレードの成果としては妥当なコストだが、この水準が下がれば攻撃的な利用も視野に入ってくる。Anthropicが責任ある開示手順を踏んだ上で、政府・産業界のパートナーへ事前共有し、HAWKについてはNISTの公開メーリングリストへの開示をHAWK著者と協調して行った背景もここにある。
ベンチマークの公開
Anthropicは今回の研究と並行して、ETHチューリッヒ・テルアビブ大学・ハイファ大学の研究者と共同で**CryptanalysisBench**を構築・公開した。LLMの暗号解析能力を評価するための標準ベンチマークで、他の研究者が追試や比較を行いやすくすることを目的としている。
詳細はDiscovering cryptographic weaknesses with Claudeを参照していただきたい。
