AIが「世界一調べ尽くされた暗号」に穴を見つけた——それでも銀行口座が無事な理由

AIが、世界でいちばん調べ尽くされた暗号に新しい攻撃法を見つけた——。2026年7月28日、AI企業のAnthropicが自社ブログでそんな報告を出しました。攻撃を見つけたのは、同社の未公開モデル「Claude Mythos Preview」。標的になったのは、インターネットの通信を支える暗号AESの変種と、量子コンピューター時代に備えて審査中の電子署名方式HAWK（ホーク）の2つです。

見出しだけ読むと「ついにAIが暗号を破ったのか」と思ってしまいますが、報告をよく読むと、実際に使われている暗号は何ひとつ破られていません。Anthropic自身も「今日の実運用システムには影響しない」とはっきり書いています。それなら大した話ではないのかというと、そうでもない。むしろこのニュースは、「破った／破られていない」の間にある部分にこそ読みどころがあります。

20年以上試され続けたAESと審査中のHAWK

まず、標的になった2つの暗号を押さえておきます。

1つ目のAES（エーイーエス）は、2001年に米国立標準技術研究所（NIST）が標準として採用した共通鍵暗号です。共通鍵暗号というのは、送る側と受け取る側が同じ「鍵」を共有してデータを暗号化する方式のこと。暗号化されたWebサイトの通信、メッセージアプリ、Wi-Fi、ネットバンキング——今日の暗号化されたデータのかなりの部分が、このAESに守られています。採用から20年以上、世界中の研究者が攻撃を試み続けてきて、それでも実用的な破り方が見つかっていない。「世界一調べ尽くされた暗号」と呼ばれるのはこのためです。

2つ目のHAWKは、AESとは役割が違って、電子署名の方式です。電子署名は「この相手は本物か」「このデータは改ざんされていないか」を確かめるための仕組みで、Webサイトの本人確認などに使われています。いま使われている署名方式の多くは、将来強力な量子コンピューターが実現すると破られてしまう恐れがあるため、NISTは量子コンピューターにも耐える「ポスト量子暗号」の標準化を進めています。HAWKはその追加署名方式の公募で、第3ラウンドまで残っている候補の1つ。つまりまだ標準ではなく、専門家たちが2年以上かけて審査している途中の新顔です。

わざと弱めて試す、暗号研究の作法

ここで、今回の報告を読むうえで欠かせない前提をひとつ。暗号研究者は、本物のAESをいきなり攻撃したりしません。まず、わざと弱めた簡略版を相手に腕試しをします。

AES-128という規格は、データをかき混ぜる処理を10ラウンド（10回）繰り返す構造になっています。研究の世界では、これを5ラウンドや7ラウンドに減らした「弱め版」を用意して、新しい攻撃テクニックがどこまで通用するかを測るのが定番のやり方です。弱め版で何ラウンドまで攻撃が届くかを見れば、本物の安全余裕がどれくらい残っているかの目安になるし、そこで生まれたテクニックが将来、より深いラウンドへの攻撃に育つ可能性もある。階段にたとえるなら、10段目のてっぺんに旗が立っていて、研究者たちは何十年もかけて一段ずつ登る方法を探してきた、という感じです。

この作法を知っているかどうかで、暗号ニュースの読み方はかなり変わります。「AESが攻撃された」という報告の多くは、この弱め版への攻撃の話だからです。

2つの攻撃の中身

では、Claudeが見つけたものを具体的に見ていきます。

AESに対しては、Claudeは7ラウンド版（本物は10ラウンド）への攻撃を改良しました。7ラウンドAESへの攻撃研究には長い蓄積があり、「ミート・イン・ザ・ミドル攻撃」と呼ばれる、計算の途中結果を巨大な一覧表に保存しておいて時間を節約する手法が最強とされてきました。Claudeはこの手法に、自ら「メビウス・ブリッジ」と名付けた新しい工夫を持ち込みました。従来の攻撃では、ある段階で256通りの候補を総当たりで試す必要があったのですが、Claudeはその総当たり自体を不要にする計算方法を見つけ、いくつかの最適化と組み合わせて、既知の最速の攻撃より200〜800倍速い手順に仕上げたのです。

ただし、ここに大きな但し書きが付きます。この攻撃は「攻撃者が2の105乗個——1のあとに0が31個以上並ぶ個数——の平文を、狙った鍵で暗号化してもらえる」という前提の上に成り立っています。これは元にした先行研究から引き継いだ前提で、現実には到底成立しません。つまり、もともと非現実的だった理論上の攻撃が、200〜800倍速い非現実的な攻撃になった、というのが正確なところです。Anthropicも、仮に実行するなら数億ドル規模の費用がかかり、本物の10ラウンドAESにはそもそも通用しない、と明記しています。

一方のHAWKへの攻撃は、性質が少し違います。こちらは弱め版ではなく、HAWKそのものの数学的な構造を突いたものです。HAWKの安全性は「格子」と呼ばれる数学的な構造の問題の難しさに支えられているのですが、Claudeはこの格子の中に、それまで誰も攻撃に使っていなかった対称性（専門的には「非自明な自己同型」）を見つけました。先行研究で「もしこういう対称性が効率よく見つかれば攻撃に使える」と理論上は示されていたものの、HAWKの格子で実際に見つかるかは分かっていなかった——その空白を埋めた形です。外部の専門家は、この対称性を「符号を反転させても成り立つ対称性」と表現しています。

結果として、HAWKの実効的な鍵の強度は半分になりました。最小サイズのHAWK-256では、鍵を完全に復元する攻撃のコストがおよそ2の64乗と見積もられていたのが、2の38乗で済むことをClaudeが実証しています。それでも攻撃に必要な計算量は鍵サイズに対して指数的に増えるままなので、大きい鍵のHAWKが即座に破れるわけではありません。ただ、安全余裕を取り戻すには鍵のサイズを倍にする必要があり、そうするとHAWKが候補として持っていた「鍵が小さくて軽い」という魅力の多くが失われてしまう。審査中の候補にとっては、かなり痛い指摘です。Anthropicは6月にHAWKの設計者へ攻撃内容を事前に伝え、NISTの公開メーリングリストへの報告と足並みをそろえて公表しています。

つまり、実際に使われているAESは無傷のまま、まだ使われていないHAWKには本物の傷が付いた。「AIが暗号を破った」というニュースの中身は、この2つでした。誰かのパスワードや銀行口座が危険にさらされたわけではなく、変更が必要になった実運用のソフトウェアもひとつもありません。それでいて、配備前の候補の弱点をあぶり出すという、暗号の審査プロセスが本来やりたかったことが、AIの手で実際に起きた——ここが今回の報告のいちばん面白いところだと思います。

「不可能です」と答えたAI

発見の経緯にも、興味深いエピソードが残されています。AESの攻撃は、研究者が用意した実験環境の中で、Claudeがほぼ自律的に見つけたものなのですが、最初のうちClaudeはこの課題への取り組みを渋っていました。「AESは現存するもっとも研究された暗号で、簡単に見つかるものは何もない」といった趣旨の返答をして、改良は不可能だと決めてかかっていたそうです。

研究者が「簡単な成果ではなく、一流の研究者として本当に新しい攻撃を探してほしい」という趣旨の指示を数回送ったところ、Claudeは態度を変え、3日間にわたって数億トークン分の思考を自律的に積み重ねて、メビウス・ブリッジの着想にたどり着きました。最終的な攻撃に磨き上げるまでに出力されたトークンは合計10億に達したといいます。かかったAPI費用は約10万ドル（HAWKの攻撃もほぼ同額）。一方で人間の研究者たちは、Claudeの主張が正しいかを検証するために数百時間を費やしました。攻撃を思いつくのはAIが1週間、正しさを確かめるのは人間が1か月——この非対称さは、これからの研究の風景を暗示しているのかもしれません。

専門家の受け止めと審査プロセスの意味

外部の専門家の反応は、方向の違う2つの評価に分かれています。

ポスト量子暗号を専門とするセキュリティ企業PQShieldの研究責任者で、HAWKに関する研究論文もあるトマ・エスピトー氏は、Live Scienceの取材に対してこの成果を「今年もっとも重要な暗号解読の結果のひとつ、あるいは筆頭」と高く評価しました。同氏が強調するのは、これがNISTの審査プロセスの狙いどおりの出来事だという点です。候補方式は、配備されたあとではなく配備される前にこそ攻撃されるために公開されている。その攻撃の担い手にAIが加わった、というわけです。

一方、セキュリティ企業Arqitの暗号部門責任者ロベルタ・フォー氏は、より冷静な見方を示しています。利用者や企業が鍵のサイズや暗号方式を変える必要は何もない、という点はAnthropicも外部の専門家も一致している。そのうえで同氏は、HAWKへの攻撃について「特別な材料は使っておらず、すでに転がっていた道具を手際よく組み合わせただけ」と指摘し、ポスト量子暗号の候補を真剣に精査している人間が世界に数十人しかいない現状では、2年分の審査をAIが上回ったこと自体が、審査の層の薄さを物語っているとも述べています。同氏が本当に面白いと考えるのは、世界最高の格子理論の専門家とAIが一対一で競うことではなく、専門家がとても手を回せない何千という暗号方式に、専門家級の分析をAIが片っ端から適用できるようになる未来のほうだそうです。

実際、Anthropicはすでに次の標的に手を広げていて、軽量暗号LEAの13ラウンド版に対しては、普通のデスクトップPCで1時間以内に鍵を復元できる実用的な攻撃を、Serpent-128という暗号の6ラウンド版に対しても鍵の完全復元攻撃を見つけたと報告しています（どちらもフルラウンド版には通用しません）。また、AIの暗号解読能力を測るための共通ベンチマーク「CryptanalysisBench」を、チューリッヒ工科大学・テルアビブ大学・ベルリン工科大学の研究者と共同で公開しました。

解釈上の留意点

最後に、この報告を受け取るうえでの注意をいくつか書いておきます。

まず、今回の発表は査読を受けていません。2本の論文はAnthropicが自社サイトで公開した自主発表で、学術誌の審査を経たものではない、という段階です。同社は攻撃の実行コードを公開し、公表前に外部の研究者に妥当性の確認を求めたとしていますが、第三者による本格的な検証はこれからです。HAWKの攻撃は実際に動かして鍵が復元できることを確認済みとされる一方、AESの攻撃は理論上の解析が中心で、Anthropic自身も検証の難しさを認めています。

また、AnthropicはClaudeの開発元です。自社モデルの能力に関する自社発表という構図なので、能力を良く見せたい動機と無縁ではありません。今回は外部の暗号研究者からも肯定的な評価が出ていますが、数値や位置づけは今後の検証で変わる可能性があります。

そして繰り返しになりますが、本物のAESは破られていませんし、HAWKは標準として採用されたものではなく審査中の候補です。「量子時代の標準暗号が破られた」わけでも、「ネットバンキングが危ない」わけでもありません。

そのうえで、Anthropicが報告の最後に置いた問いは、覚えておく価値がありそうです。今回の攻撃はどちらも実害のない「想定内」の結果でした。しかし、AIの暗号解読能力がこのまま伸びていったとき、もしAIが実運用中の暗号に本物の弱点を見つけてしまったら、研究者はそれをどう扱えばいいのか。同社はこの問いに、学術界・政府・産業界を交えた議論が必要だとしています。1年前には初歩的な暗号の解読すらできなかったAIが、いまは専門家が2年見落とした弱点を60時間で見つける。答えを用意しておくべき時期は、案外近いのかもしれません。