Claude Mythosは暗号研究を変えたのか？HAWK撤回と減ラウンドAES攻撃の意味¶

いま必要な判断

判断	結論
現行システムの暗号を交換するか	交換不要 — HAWKは未展開で、AESの成果は10ラウンド中7ラウンドだけが対象
HAWKを採用候補として扱うか	候補外 — 開発チームがNIST候補を撤回し、NISTも反映済み
暗号レビュー工程を変えるか	変更する — AIによる探索と、人間による再現・新規性確認・開示統制を分ける

現行AESと導入済みPQCは、そのまま運用を続けられる。 「AIがAESを破った」という見出しを見た直後でも緊急対応は不要だが、標準化候補には、AIエージェントを追加の攻撃者として組み込む価値が生じた。少なくともこの事例では、ボトルネックが攻撃案の生成から、人間による検証・新規性判定・開示調整へ移った。

HAWKと減ラウンドAESで異なる影響範囲

二つの成果は検証の強さが違う¶

Anthropicは2026年7月28日、Claude Mythos Previewがポスト量子署名候補HAWKの鍵回復攻撃と、 7ラウンドAES-128への改良攻撃を見つけたと発表したが、技術論文2本と研究過程の説明はいずれも、自社モデルを評価するAnthropicの研究者が作成した自己評価資料である。¹ 前者は公開コードで小さいパラメータを実際に破り、HAWKチームの確認と候補撤回まで進んだ。後者はMöbius Bridgeという新しい指紋計算を導入したが、確認は著者側の部品実験と計算量評価が中心で、完全な攻撃を実行できる規模ではなく、同じ「数学的弱点の発見」でも外部確認の有無、検証の強さ、実務影響は異なる。

HAWKの鍵強度は単純に「半分」ではない¶

HAWKは、NISTの追加デジタル署名標準化で第3ラウンドへ進んでいた格子ベースの署名方式である。² 公開鍵から秘密鍵と同等の情報を得るには、従来は大きな格子で最短ベクトルを探す必要があると考えられていた。

Mythosが見つけた核心は、HAWKの格子にある未利用の対称性だ。論文は、この対称性を使って鍵回復を元の半分程度の次元の最短ベクトル問題へ落とす。³ HAWKチームも「格子簡約に必要なブロックサイズがおよそ半分になる」と確認した。⁴

「鍵強度を半減」は、この数学的な次元削減を短く表した言い方であり、すべての安全性指標が一律に2分の1になるという意味ではない。論文の計算モデルでは、HAWK-512の推定攻撃コストが2の150乗から2の108乗へ、 HAWK-1024が2の288乗から2の182乗へ下がる。³ 大きいパラメータへの攻撃は依然として非現実的だが、同じ安全余裕を得るために鍵を大きくすると、 HAWKが持っていたサイズ上の利点が消える。

この評価を受け、HAWKチームは7月29日にNISTの候補から撤回すると表明した。 NISTも第3ラウンドのページを「withdrawn」に更新した。⁴⁵ これは配備済み製品の事故ではなく、公開標準化が配備前に弱点を見つけるという本来の役割を果たした結果である。

60時間の探索は人間なしの完全自動ではない¶

Anthropicの報告では、HAWK攻撃の発見、実装、確認には約60時間かかり、 API費用は約10万ドルと推定された。¹ ただし、Mythosは完全に無人で研究したわけではない。

複数のワーカーを動かすClaude Code型の環境が用意され、理論計算機科学の背景を持つ研究者が、記録方法や計算ライブラリの選択などを助言した。モデルは文献を調べ、仮説を交換し、計算実験を行い、最終的にHAWK-256の秘密鍵を 1台のサーバーで数時間かけて回収する検証パイプラインを作った。¹³⁶

重要なのは「人間専門家が2年間同じ問題を解けなかった」という比較ではない。 HAWKが約2年間、2ラウンドの公開審査を通過していた一方、専用ハーネス上のモデルが短期間で新しい経路を見つけた、という比較である。この比較は、標準化候補の審査へAIエージェントによる追加探索を組み込む根拠になる。

Möbius BridgeはAESを破らず研究記録を更新した¶

AES-128は通常10ラウンドの変換を行う。 Mythosが扱ったのは、そのうち7ラウンドだけを残した研究用の弱い変種である。¹⁷ 暗号研究では、減ラウンド版を攻撃して安全余裕と新しい手法を調べる。

従来の攻撃は、攻撃者が選んだ平文を2の105乗個使い、2の99乗程度の処理を想定していた。 Möbius BridgeはAESのS-boxが持つ代数構造を利用し、鍵の1バイトを推測する処理を不要にする。論文の計算量評価では、変換自体の最適化した費用を織り込んだ推定処理量が2の89.3〜91.4乗となり、従来比で約200〜800倍の改善に相当する。これは実測した攻撃速度ではなく、 2の105乗個という必要平文数も変わらない。⁷

この条件は実行不可能であり、完全なAES攻撃は走らせていない。論文は小型AESでの完全実験、構成要素のベンチマーク、網羅的な小規模検査、 Leanによる一部性質の証明を組み合わせて妥当性を確認した。⁷ ただしLeanが直接証明したのは変換の代数的性質であり、実際の切り詰めた指紋の偽陽性率までは証明していない。その評価は測定と、誤鍵なら出力がランダム化されるというヒューリスティックに依存する。したがって、これは現行AESの脆弱性報告ではなく、暗号解読手法の研究記録を更新した成果である。

攻撃生成より検証と開示が遅くなり始めた¶

HAWKでは人間がプロジェクト進行を時折助言したのに対し、AnthropicはAESの発見過程を「ほぼ完全に自律的」と説明している。ただし、これは研究者が課題、プロンプト、実験用の足場を用意した上で、 Mythosが仮説と実験を回したというベンダー自身の評価である。¹ Anthropicによれば、モデルは合計約10億出力トークンを使い、主な着想を1週間ほどで得た。その後、2人の研究者が数百時間を使い、約1か月かけて正しさへの確信を高めた。¹

このAnthropic報告の工程からは、運用設計の変化が示唆される。攻撃案は短期間で出た一方、検証・新規性判定・開示調整には数百時間規模の人手を要した。暗号研究全体で同じ移行が起きたと結論するには、他組織による再現と追加事例が必要である。 AnthropicはHAWKチームへ6月に先行共有し、公開時にはNISTのメーリングリストと同期し、政府・業界関係者にも事前説明した。¹⁴

今後の暗号研究では、次の役割を同じ「AI研究」の一語にまとめないほうがよい。

AIが文献と仕様から攻撃仮説を大量に作る。
実行可能な小型例、形式証明、独立実装で人間が反証する。
新規性と影響範囲を専門家が判定する。
配備状況に応じて、開発者、標準化機関、利用者への開示順を決める。

この結果だけで「暗号解読の自動化完了」とは言えない¶

HAWKは、縮小版を端から端まで実行でき、設計チームが影響を確認し、撤回へ進んだ。一方のAESは、手法の部品と小型例を検証した段階で、計算量評価には専門家の継続審査が必要である。二つを同じ確度の「実証済み攻撃」と呼ぶべきではない。

CryptanalysisBenchも、LLMが既知の攻撃を再現し、新しい設計上の弱点を見つけ始めたことを示す。ただし、難しい未解決課題の層は飽和しておらず、既知攻撃の記憶と再発見を完全には分離できない。⁸ 一つの成功例から、任意の暗号方式を自律的に破れると一般化する根拠はない。

現在の判断は二つに分かれる。現行システムには緊急変更を行わない。標準化候補と長く監査されていない暗号方式には、再現可能なAI探索、独立レビュー、責任ある開示を一体の工程として追加する。

出典¶

Anthropic, Discovering cryptographic weaknesses with Claude, 2026-07-28. ↩↩↩↩↩↩↩
NIST, Nine Candidates Advance to the Third Round of the Additional Digital Signatures Process, 2026-05-14. ↩
Zygimantas Straznickas and Stephen A. Weis, HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1, 2026-07-28. ↩↩↩
NIST pqc-forum, HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1, 2026-07-29. HAWKチームの確認・撤回とNISTの反映確認を含む. ↩↩↩
NIST, Round 3 Additional Signatures, 2026-07-31参照. ↩
Anthropic, cryptography-research-demo, 2026-07-31参照. ↩
Milad Nasr and Nicholas Carlini, Cryptanalysis of 7-Round AES via the Algebraic Structure of its S-box, 2026-07-28. ↩↩↩
Lukas Fluri et al., CryptanalysisBench: Can LLMs do Cryptanalysis?, 2026-07-20. ↩