AI・テクノロジー

AIが耐量子暗号HAWKの欠陥を60時間で発見——Claude Mythosの衝撃

Anthropicは2026年7月28日、最上位モデルClaude Mythos PreviewがNISTの耐量子暗号署名候補「HAWK」の数学的欠陥を約60時間で発見したと発表した。2年間・2ラウンドの専門家査読を通過していた方式の実効鍵強度が半減。実運用システムへの影響はないが、AIが暗号アルゴリズムそのものを設計レベルで審査する時代の到来を示す成果である。

claude

30 7月 2026 • 8 min read

2026年7月28日、Anthropicは最上位モデル「Claude Mythos Preview」を用いて、暗号アルゴリズムそのものに潜む数学的な欠陥を発見したと発表した。標的は、米国立標準技術研究所（NIST）が耐量子暗号（PQC）の署名方式として審査中の候補「HAWK」である。2年間にわたり2ラウンドの専門家査読を通過してきた方式に対し、Mythosは約60時間で既知の最良攻撃を上回る手法を導き、実効鍵強度を半分に落とした。

実運用中のシステムへの影響はない。HAWKは候補段階でどこにも配備されていないからだ。それでもこのニュースが重いのは、AIが「実装のバグを見つける道具」から「アルゴリズムの設計そのものを審査する研究者」へ段を上がったことを、具体的な成果で示したからである。

この記事の要点は次の3つだ。

HAWK-256の完全鍵復元コストが従来想定の2の64乗から2の38乗に低下し、実効鍵強度が半減した
同時にAES-128の7ラウンド削減版に対し、従来より200〜800倍高速な攻撃をほぼ自律的に発見した
どちらも実害はないが、AIの生成速度が人間の検証速度を追い越す構造が暗号研究で顕在化した

背景：耐量子暗号の標準化レースと公開査読モデル

ネットバンキングやHTTPS通信で使われているRSAやECDSAは、十分な規模の量子コンピュータが実現すれば原理的に破られる。この「Qデイ」に備え、NISTは耐量子暗号の標準化を進めてきた。2022年には署名方式の追加公募を行い、HAWKはその第3ラウンドまで生き残った候補の一つだ。安全性の根拠は「格子同型問題（Lattice Isomorphism Problem）」という数学的難問の硬さにある。

この種の標準化は、仕様を公開して世界中の研究者に叩かせることで安全性を積み上げる。配備前に欠陥を見つけてもらうことが目的であり、今回の発見は制度が想定どおり機能した例でもある。

前例もある。NISTがML-KEM／ML-DSAを標準化する過程では複数の競合候補が破られ、なかでもSIKEは2022年にノートPC上で1時間で完全に破られた。今回異なるのは、破ったのが人間ではなくAIだったという点だけだ。

耐量子暗号HAWK攻撃の中身：見落とされていた「対称性」

Mythosが見つけたのは、HAWKが用いる格子に潜む**非自明な自己同型（nontrivial automorphism）**という、それまで誰も利用していなかった対称性だった。

先行研究はすでに「そうした自己同型を効率的に見つけられれば攻撃が成立する」ことを証明していた。しかし、HAWKが実際に使う格子でその自己同型に到達できるかは未解明のまま残されていた。Mythosはその空白を埋めた。

影響は数字に表れる。HAWK-256の完全鍵復元コストは、これまで2の64乗と見積もられていた。Mythosが実証したのは2の38乗である。

ここは正確に押さえたい。この攻撃は依然として指数時間であり、多項式時間で解けるようになったわけではない。鍵長の大きいパラメータではHAWKは現実的に攻撃不能なままだ。そしてこの攻撃はHAWK固有で、他のNIST耐量子署名候補や格子暗号一般には及ばない。

それでも打撃は深い。同等の安全性を維持するには鍵長を倍にする必要があり、そうするとHAWKを魅力的な候補にしていた効率性という長所の多くが失われる。Ars Technicaが「候補としての戦線離脱（out of commission）」と表現したのはこの構造を指す。なお7月29日時点でNISTは依然HAWKを第3ラウンド候補として掲載している。

Anthropicは6月にHAWKの開発者へ攻撃を共有し、公開と同時にNISTの公開メーリングリストでも開示した。米政府・産業界のパートナーにも事前に内容を渡しており、責任ある開示の手順は踏まれている。

AES-128の7ラウンド版と「メビウス橋」

2件目の対象は、世界で最も広く使われている共通鍵暗号AESである。ただし攻撃されたのは、本来10ラウンドあるAES-128を7ラウンドに削った変種だ。暗号研究では完全版の安全余裕を測るためにラウンドを削った版を解析する慣行があり、これはその系譜にある。

Mythosは「メビウス橋（Möbius Bridge）」と自ら名付けた新しい指紋アルゴリズムを開発した。先行手法では攻撃者が2の56乗通りの値を列挙して事前計算表を引く段階が必要だったが、Mythosはその推測に不変な指紋を設計し、この工程を丸ごと削った。変換自体の計算コストは上がるため、それを相殺する最適化も併せて発見し、結果として従来手法より200〜800倍高速な攻撃に到達した。現実的な脅威ではない。ベースとなる先行研究が2の105乗個の選択平文を前提としており、そもそも実行不可能な規模である。

興味深いのは発見の過程だ。当初Claudeは「AESの暗号解読を改善するのは不可能だ」と着手を拒み、「これは現存する最も研究されたブロック暗号だ」といった趣旨の返答を返していた（Anthropicは実際のやり取りを公開している）。研究者が与えた実質的な指示はわずか3回で、いずれも「安易な成果ではなく本当に新しいアイデアを探せ」と方向づける内容だった。方針を切り替えたClaudeは3日間で数億トークンを出力し、累計10億出力トークンを費やしてメビウス橋にたどり着いた。2件の成果はそれぞれ約10万ドルのAPI利用料で得られている。

Claude Mythosが残した最大の論点：検証が新しいボトルネックになる

この発表でもっとも実務的に重い示唆は、攻撃そのものではなく検証コストの非対称性にある。

HAWK攻撃は端から端まで実行可能な形で実装されたため、正しさの確認は比較的容易だった。AES攻撃は違った。Mythosが1週間で発見した手法の妥当性を確認するため、研究者2人が1カ月近く、延べ数百時間を費やしている。Anthropic自身、この研究者たちは暗号の専門家ではないと明記している。

同社はこの構造を率直に認めている。脆弱性発見の取り組み（Project Glasswing）では、人間のトリアージ・検証・修正が追いつかないほど多くのバグをモデルが見つけてしまう現象に既に直面しており、学術的な暗号研究でも同じことが起きると予測する。生成の速度が検証の速度を追い越すと、成果の量そのものが組織の負債になる。

なおMythos Previewは一般提供されておらず、Project Glasswingの一部として限定された組織のみが利用している。

影響・今後：耐量子暗号の標準化とAI暗号監査のこれから

短期的には、暗号標準化プロセスの設計が問われる。NISTのような公開査読モデルは「世界中の研究者の目」を前提としているが、その目の一部がAIになったとき、査読期間や候補の絞り込み方は現状のままでよいのか。逆に言えば、各段階でAIによる系統的な監査を組み込めば、配備後に欠陥が発覚するリスクを下げられる。Anthropic自身、AIを使った仕様レビューが新しい暗号標準の開発における強力な道具になると述べている。

中期的な焦点は「あまり精査されてこなかった暗号」である。AESのように徹底的に叩かれてきた暗号は少数派で、世界中の製品には査読の薄い暗号のロングテールが存在する。Mythosによる追加の成果がそれを示している。

LEA（ISO/IEC標準に収載された軽量暗号、完全版24ラウンド）… 13ラウンド版の鍵を2の30乗未満の平文で、通常のデスクトップPCで1時間以内に復元
Serpent-128（32ラウンド）… 6ラウンド版の完全鍵復元に成功
Salsa20・Poseidonハッシュ・SHA-1… 10倍未満の限定的な改善

いずれも完全版には及ばず実害はないが、こうした監査が安価に大量に回るようになれば、放置されていた弱点が次々と表面化しうる。

そして避けて通れないのが、実運用中の暗号に即座に影響する欠陥をAIが見つけたとき、どう振る舞うべきかという問いである。今回の2件は実害がないため公開できた。Anthropicはこの問いに答えるには学術界・政府・産業界の合議が必要だとして、数週間内に学術ワークショップを開催する意向を示している。今回の発表は、その議論を始めるための呼びかけでもある。

この流れはAI単独の出来事でもない。直近数カ月でGoogleのGeminiが複数のErdős問題を、OpenAIのGPTが単位距離予想を、Claude Fable 5がヤコビアン予想を解決している。AIによる研究水準の数学はすでに例外ではなく、今回の成果はそれが暗号という社会インフラ直結の領域に到達したことを意味する。

耐量子暗号とHAWKに関するよくある質問

HAWKの欠陥が見つかったことで、いま使っている暗号は危険になったのか

いいえ。HAWKはNISTの候補段階の署名方式で、どの製品にも配備されていない。今回の攻撃はHAWK固有で、他のNIST耐量子署名候補や格子暗号一般には影響しない。Anthropicもメディア報道も、実運用システムへの影響はなく変更が必要なソフトウェアもないと明言している。

AESが破られたと聞いたが、通信の暗号化は大丈夫なのか

大丈夫だ。攻撃されたのは本来10ラウンドあるAES-128を7ラウンドに削った研究用の変種で、完全版のAESは破られていない。さらに前提となる先行研究が2の105乗個の選択平文を必要とし、現実には実行できない規模の話である。ラウンドを削った版の解析は、完全版の安全余裕を測る標準的な研究手法だ。

「実効鍵強度が半減した」とは具体的にどういう意味か

HAWK-256の完全鍵復元コストが、従来想定の2の64乗から2の38乗に下がったことを指す。攻撃は依然として指数時間で、多項式時間で解けるようになったわけではない。ただし同等の安全性を保つには鍵長を倍にする必要があり、それではHAWKを候補として魅力的にしていた効率性が失われる。

AIはどのくらい自律的にこの発見をしたのか

HAWK攻撃は半自律で、複数のワーカーエージェントがPythonやSageを使いながら協働した。Anthropicによれば、人間の関与はアイデアの記録方法や計算検証用ライブラリの助言といった進行管理に限られていた。AES攻撃はほぼ完全に自律で、研究者が与えた実質的な指示は3回だけだった。ただし成果の妥当性を人間が検証する作業には、研究者2人で1カ月近くかかっている。

一般の企業や開発者は何をすべきか

今回の件を理由に急いで何かを変える必要はない。実務的な示唆は、耐量子暗号への移行計画で特定の候補方式に前のめりで賭けないこと、そして自社が依存している暗号がどれだけ精査されたものかを把握しておくことにある。査読の薄い独自暗号や古い軽量暗号を使っている箇所は、棚卸しの優先度を上げる価値がある。

まとめ：AIが暗号研究の力学を変えた

Claude Mythos Previewは、2年間の専門家査読をすり抜けた耐量子暗号HAWKの欠陥を60時間・約10万ドルで見つけ、AES-128の7ラウンド版には200〜800倍高速な攻撃をほぼ自律的に発見した。どちらも実運用への影響はなく、暗号標準化プロセスが意図どおりに機能した事例と読むのが正確だ。

だが1年前、言語モデルは初歩的な暗号の解析すらできなかった。その差分の速さこそが、この発表の本当の中身である。今後の争点は「AIが暗号を破れるか」ではなく、AIが生み出す大量の結果を人間の検証能力と制度がどう受け止めるかに移る。生成が検証を追い越す局面で何が起きるかを、暗号という最も保守的な分野が先に体験しはじめている。