7月29日、The Hacker Newsが「Claude AI Just Cracked a Post-Quantum Test Scheme and Found a Faster 7-Round AES Attack」と題した記事を公開した。同記事が伝えるのは、AnthropicのAIモデル「Claude Mythos Preview」に関する自社発表の内容だ。具体的には、耐量子暗号の候補スキームHAWK-256に対するエンドツーエンドの鍵回復攻撃と、7ラウンドAES-128に対する従来比200〜800倍高速な攻撃手法を、AIが約60時間の自律的な作業で導き出したというものだ。

AIが暗号解析を「自律的に」実施した

Anthropicが公開した今回の成果で最も興味深い点は、技術的な内容そのものもさることながら、AIが約60時間の自律的な作業でこれを達成したという点だ。マルチエージェント環境でMythos Previewを稼働させ、ラティス暗号の専門家ではない人間の研究者が「プロジェクト管理的な指示」を与える程度で、モデルが自ら攻撃手法を構築・検証した。

人間側のコストも見逃せない。正しさの検証に2人の研究者が約1ヶ月を費やしており、Anthropicは「検証こそがボトルネックだった」と明言している。今後AIによる暗号解析が日常化するとすれば、生成速度に対して人間の検証能力が律速になるという課題は、研究体制の再設計を求める問いでもある。

なお、AES攻撃においてモデルは当初「AESを改善するのは不可能」として応答を拒否した。Anthropicは、研究者がタイポ混じりの直球な追加プロンプトで押し切った実際のやり取りを公開しており、安全フィルタとの折衝まで含めて赤裸々に示している点は珍しい。

今回の発表は、7月20日に公開されたCryptanalysisBenchとも連動している。ETH Zurich、Anthropic、ハイファ大学、TU Berlin、テルアビブ大学の研究者が共同開発した191タスクのベンチマークで、5つのモデルが第1ティア（難易度低）の65〜86%を突破し、第2ティア（フルストレングス）では6〜12のスキームを解読した。このベンチマークで評価されたのはMythos 5（Mythos Previewの最新アップデート版とされる）だ。今回の自律発見の成果とあわせて、AIによる暗号解析の実力水準を測る文脈として読むと理解が深まる。

HAWK-256への鍵回復攻撃

HAWKは、NISTが2026年5月に第3ラウンドへ進めた9候補の追加耐量子デジタル署名スキームの中で唯一のラティスベース方式だ。NIST安全レベルのパラメータセットはHAWK-512とHAWK-1024であり、HAWK-256は暗号解析ターゲットとして提供される「チャレンジパラメータ」にあたる。つまり、コミュニティが攻撃を試みることを前提に設計された検証用の弱めのパラメータであり、実運用に使われるものではない。

攻撃の核心は格子の対称性（automorphism）の発見だ。2025年のvan Gent・Pullesによる先行研究は、格子を保存する非自明な対称性が存在すれば、鍵回復問題をほぼ半分の次元のSVP（最短ベクトル問題）に帰着できることを示していた。しかし当時はその対称性をHAWKに適用する方法が不明だった。Mythos Previewはその「追加の対称性」を発見し、攻撃経路を完成させた。

具体的には、公開鍵から「τ-コサイクル格子」を構築し、格子簡約とシービングで短いベクトルを回復、最終的に秘密鍵と等価な署名素材を導出する。Anthropicが公開した実装では、96コアサーバーで期待実行時間は約3時間42分。回復した鍵でNIST参照実装による署名検証まで確認できる。

期待される作業量は2⁶⁴から2³⁸へ低下した。2³⁸は約2740億回の演算に相当し、現代の計算資源では現実的な攻撃射程に入る水準だ。これに対し、HAWK-512・HAWK-1024については依然として現実的な攻撃は不可能であり、Anthropicは今回の攻撃が他のNIST候補や格子暗号全般には及ばないと明示している。記事執筆時点でNISTはHAWKを第3ラウンド候補として継続リストに掲載しており、パラメータ変更等についての公式な対応は確認されていない。

7ラウンドAES-128の高速化：Möbius Bridge

AES-128は10ラウンド構成だが、ラウンド数を削減した「縮小版」への攻撃は、完全版に対する安全マージンを測る標準的な暗号解析手法だ。今回の対象は7ラウンド版だ。

従来の中間一致攻撃（meet-in-the-middle attack）では、ある段階で256通りの候補値を総当たりしてからテーブル照合を行う必要があった。Mythos Previewはこの推測ステップを「Möbius Bridge」と呼ばれる不変量フィンガープリントで除去することを発見した。このフィンガープリントはその推測値に依存しないため、256通りの列挙が不要になる。

結果として攻撃の計算量は200〜800倍削減された。ただし攻撃には約2¹⁰⁵の選択平文が必要であり、実運用環境での脅威にはなり得ない。Anthropicの実装は24ビット鍵の小型AES類似暗号に対して完全な鍵回復を行うが、実際のAES-128 7ラウンド版については個別コンポーネントの測定値から完全攻撃のコストを推定する形であり、エンドツーエンドの完全回復は実行していない。

Möbius Bridgeの発見には約3日間と数億トークンの出力を要し、その後の改良を含めると総出力は約10億トークンに達した。モデルが仮説の生成・検証・棄却を繰り返しながら収束していく過程は、人間の研究者が試行錯誤する様子と構造的には類似しており、その規模と速度が根本的に異なる点が今回の成果を際立たせている。

今回の成果は、現行の本番システムへの影響なしという前提で公開されたものだ。それでも「AIが自律的に新しい暗号攻撃を発見する」という実証例として暗号コミュニティへの問いかけは重い。記事執筆時点でNISTフォーラムへの返信はなく、第三者による独立した再現報告も確認されていない。

詳細はClaude AI Just Cracked a Post-Quantum Test Scheme and Found a Faster 7-Round AES Attackを参照していただきたい。