Claudeが60時間でポスト量子暗号HAWKの弱点発見。鍵強度は実質半減

Claude Mythos Preview は、Anthropic が 2026年7月28日に公開した研究で、NIST ポスト量子署名の第3ラウンド候補 HAWK に約60時間で新しい弱点を見つけたモデルです。専門家が2ラウンド・2年かけて審査した方式の鍵強度を実質半減させた一方、Anthropic は実運用中のソフトウェアを変更する必要はないと明記しています。

📖 この記事で分かること

• Claude Mythos Previewが暗号の新しい弱点を発見
• NIST第3ラウンド候補HAWKの鍵強度が実質半減
• 7ラウンドAESへの攻撃が200〜800倍高速に
• 実運用中のソフトウェアへの影響はない

💡 知っておきたい用語

• ポスト量子暗号: 量子コンピュータが実用化しても破られないように設計された暗号方式。将来の脅威に備えて今から標準を選んでいる段階です。
• 鍵復元攻撃: 暗号化された文と結果を大量に突き合わせて、秘密の鍵そのものを割り出す攻撃。総当たりに必要な手数の少なさが強度の目安になります。

最終更新日: 2026年7月29日

▶ 公式ページ

• Discovering cryptographic weaknesses with Claude(Anthropic)

Claude Mythos Previewが見つけた暗号アルゴリズムの弱点

この記事のポイント

• Anthropicが2026年7月28日、Claude Mythos Preview(2026年7月時点)による暗号解析の研究結果を公開しました。
• NIST【エヌアイエスティー】ポスト量子署名の第3ラウンド候補HAWKで、鍵強度が実質半減する弱点を約60時間で発見。
• 実運用システムへの影響はなく、公開ソフトウェアの変更は不要とAnthropicは明記しています。

Anthropicは7月28日、同社のFrontier Red Teamによる研究として、Claude Mythos Previewが複数の暗号アルゴリズムに新しい弱点を見つけたと発表しました。対象はポスト量子署名方式のHAWK、AES【エーイーエス】のラウンド削減版、LEA、Serpent-128などです。

いずれも「今日使われている暗号が破られた」という話ではありません。Anthropicは、今回の結果が今日のコンピュータシステムに実用的な影響を与えるものではなく、実運用ソフトウェアを変更する必要はないと明言しています。

HAWK: 2年の審査を通過した方式を60時間で

最も重い結果はHAWKに対するものです。HAWKはNISTがポスト量子の電子署名方式を選ぶ公募で第3ラウンドまで残った候補で、専門家による2ラウンド・2年間のレビューを通過していました。まだ候補段階であり、実運用には入っていません。

Claude Mythos Previewは、HAWKが使う格子の中に「非自明な自己同型」と呼ばれる、これまで悪用されていなかった対称性を発見しました。理論上は「そうした自己同型があれば攻撃に使える」と予測されていましたが、HAWKの実際の格子にそれが存在することは確認されていませんでした。

結果として、最小パラメータであるHAWK-256への完全な鍵復元攻撃の想定コストは、2の64乗と考えられていたものが2の38乗で可能だと実証されました。同じ安全性を保つには鍵サイズを2倍にする必要があり、候補としての魅力は下がります。ただし多項式時間で破ったわけではなく、指数時間の攻撃がより速くなったという位置づけです。

作業には、PythonやSageなどの計算ツールを使える、サンドボックス内で複数のワーカーエージェントが協調する「Claude Codeライクなハーネス」が使われました。人間はアイデアの整理といったプロジェクト管理的な補助に回っています。要した時間は約60時間、API利用料は約10万ドルでした。Anthropicは2026年6月にHAWKの作者へ攻撃内容を共有し、研究公開と同時にNISTの公開メーリングリストへ協調開示しています。

AESでは自ら名付けた「Möbius Bridge」を考案

AESについては、フルの10ラウンドではなく7ラウンドに削減した版が対象です。ここでClaudeは、自ら「Möbius Bridge」と名付けたフィンガープリンティング手法を考案しました。この指紋は推測値に対して不変であるため、2の56乗通りの列挙が不要になります。従来手法と比べて200〜800倍高速な攻撃になりました。

過程も具体的に記されています。研究者が仮説を立てて実験で検証・反証するスキャフォールドを構築したところ、Claudeは当初「ターゲットを変えないと結果は変わらない。AES-128のr5/r6は本当に難しい」と難色を示したとされます。「新しい攻撃を見つけたい」という最小限の指示の後はほぼ完全に自律で作業し、3日間で数億トークン、最終的に出力10億トークンを費やしてMöbius Bridgeに到達しました。

このAES攻撃もフル暗号を破るものではなく、実装には数億ドル規模の費用がかかります。ほかにLEAの13ラウンド版では2の30乗未満の暗号化平文で鍵を復元でき、現代のデスクトップPCで1時間以内に完了する実用的攻撃が示されました(従来は2の98乗ペアと2の86乗の計算量が必要)。Serpent-128の6ラウンド版でも実用的な完全鍵復元攻撃が得られています。Salsa20、Poseidon、SHA-1については限定的な改善にとどまりました。

検証には人間が約1か月かかった

見過ごせないのは検証側の記述です。AESの結果について、Claude側の発見が約1週間だったのに対し、2人の研究者がその正しさに確信を持つまで約1か月かかりました。研究者は数百時間かけて暗号研究を学び、モデルの主張を検証したとされています。HAWKのほうは端から端まで実装できるコードが得られたため検証は比較的容易でした。

つまり、発見のスピードと検証のスピードは同じようには伸びていません。

編集部の見方

編集部は、今回の成果で最も重いのはHAWKの弱点そのものではなく、発見と検証のあいだに開いた速度差だと見ます。

• 根拠1: HAWKの攻撃は約60時間・API利用料約10万ドルで到達しました。専門家が2ラウンド・2年かけて残した候補に対する所要時間として桁が違います。
• 根拠2: 一方でAESの結果は、モデル側の発見が約1週間だったのに対し、人間の確信までに約1か月と数百時間の学習を要しました。ボトルネックは発見側ではなく検証側に移っています。
• 根拠3: Anthropic自身が実運用への影響はないと明記しており、今回の価値は「壊れたこと」ではなく探索の生産性が変わったことにあります。

この見方が変わる条件は、検証側にも同水準の自動化(形式検証やAIによる反証)が入り、発見と検証の時間差が縮まった場合です。そのときは、暗号候補の審査プロセスそのものの設計を見直す議論に移ります。

よくある質問

Q: 今使っている通信やパスワードは危険になりましたか?

A: なりません。Anthropicは今回の結果が今日のコンピュータシステムに実用的な影響を与えず、実運用ソフトウェアの変更は不要だと明記しています。HAWKは候補段階で未配備、AESとLEA、Serpentはラウンドを削減した版が対象です。

Q: AESが破られたということですか?

A: 違います。対象は10ラウンドあるAESのうち7ラウンドに削減した版で、フルの暗号は破られていません。しかもその攻撃の実装には数億ドル規模の費用がかかるとされています。

Q: HAWKはこのあとどうなりますか?

A: 現時点で公表されているのは、同じ安全性を得るには鍵サイズを2倍にする必要があるという点までです。Anthropicは2026年6月に作者へ共有し、公開と同時にNISTの公開メーリングリストへ協調開示しています。その後の選定判断について公式な発表はありません。

まとめ

Claude Mythos PreviewはNIST第3ラウンド候補のHAWKに約60時間で弱点を見つけ、HAWK-256への鍵復元攻撃の想定コストを2の64乗から2の38乗へ引き下げました。7ラウンドAESでは200〜800倍高速な攻撃も得られています。いずれも実運用中の暗号を破るものではなく、変更が必要なソフトウェアはありません。注目すべきは、モデルの発見に約1週間、人間の検証に約1か月を要したという非対称性のほうです。

Claude Mythos Previewが大規模な脆弱性発見に取り組んだ別の事例は、以下の記事で詳しく解説しています:

【用語解説】

• HAWK: 格子の構造を使うポスト量子の電子署名方式。NISTの公募で第3ラウンドまで残った候補の一つで、まだ実運用はされていません。
• 自己同型: ある数学的な構造を、それ自身へ形を保ったまま移す操作。暗号では、この対称性が残っていると探索範囲を縮められ、攻撃の近道になります。
• ラウンド削減版: 暗号が内部で繰り返す処理の回数を、本来より少なくした研究用の弱いバージョン。安全性の余裕を測るために使われ、ここへの攻撃は本番の暗号を破ることを意味しません。

引用元:

• [1] Discovering cryptographic weaknesses with Claude(Anthropic)
• [2] Anthropic 公式発表投稿(X / @AnthropicAI)
• [3] Anthropic’s Claude Mythos finds weaknesses in encryption algorithms(CyberScoop)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。