【解説】Claude Mythos が暗号アルゴリズムを解読？！耐量子計算機暗号 HAWK 編

Last updated at 2026-07-30Posted at 2026-07-30

こんばんは！
GMOコネクト株式会社で執行役員CTOをしている菅野哲（かんのさとる）こと、さとかんでございます。
いかがお過ごしでしょうか？

Anthropic が「AI で暗号アルゴリズムの新しい攻撃を見つけた」という記事を出しまして、報道の見出しだけだと何が起きたのか掴みにくかったので、公開された論文や NIST の文書まで当たって解説してみました。前編・後編の2本立てでお送りします。

暗号のおっちゃんとしては見過ごせないネタなのですが、報道の見出しだけだと誤解しそうな話でもあるので、そのあたりも丁寧に切り分けていきますね。

TL;DR

Anthropic が、AI モデル Claude Mythos Preview を使って耐量子計算機暗号の署名候補 HAWK への鍵回復攻撃を改善したと発表した。約60時間、API 費用にして約10万ドル
タイトルの「解読？！」について先に答えると、HAWK については文字どおり鍵が出ています。HAWK-256 の公開鍵から署名を作れる等価鍵を復元し、NIST 参照実装の署名/検証で確認済み
ただし実運用への影響はありません。HAWK は標準化の候補段階で、実運用されないまま終わりました。なお HAWK-512 / 1024 の「NIST レベル 1 / 5」は仕様書が掲げた目標値であって、今回の攻撃を織り込んだ後の分類ではありません
2026年7月29日、HAWK チーム自身が NIST の標準化プロセスから HAWK を撤退させました。攻撃を確認したうえでの判断です

Anthropic の発表記事と、同時に公開された HAWK 論文、NIST の文書、先行研究の原典にあたって内容を確認しました。
なお、本記事では、単に「発表記事」と書いたら Anthropic のブログ記事、「論文」と書いたら HAWK 論文を指します。先行研究（GP25）や NIST IR 8610、HAWK 仕様書は、そのつど名前を書きます。

この記事は2部作の前編です。後編では共通鍵暗号 AES に対する結果を扱いますが、本記事は単独で読めます。

この記事の情報の時点
本文の内容は 2026年7月30日時点で確認したものです。HAWK の撤退のように、発表から数日で状況が動いた例があります。標準化プロセスの現況はNIST の第3ラウンド候補ページで最新をご確認ください。

何が起きたのか

2026年7月、Anthropic が Discovering cryptographic weaknesses with Claude という記事を公開しました。

これまで Claude が暗号ライブラリで見つけてきたのは、アルゴリズムの実装ミスでした。今回は違います。アルゴリズムそのものの数学的な欠陥を見つけた、という主張です。

対象は HAWK。NIST が公募した「追加デジタル署名方式」の第3ラウンド候補で、唯一残った格子ベースの候補でした。

念のため補足しておくと、格子ベース署名の本命はすでに標準化済みです。主コンペで ML-DSA（Dilithium）と FN-DSA（Falcon）の2つが選ばれており、HAWK は追加コンペで「Falcon の代替になりうる候補」として注目されていた立ち位置でした。今回の話で格子暗号全体が揺らいだわけではありません。

項目	内容
使用モデル	Claude Mythos Preview
所要時間	約60時間
API 費用	約10万ドル
人間の関与	プロジェクト管理レベル（オペレータは格子暗号の専門家ではない）
成果	HAWK-256 の等価鍵を実際に復元、参照実装で検証

見出しだけ見ると身構えますが、中身を追っていくと、これは標準化プロセスが設計どおりに機能した事例なんですね。

先に結論：実務への影響はありません

本題に入る前に、影響範囲をはっきりさせておきましょう。ここを飛ばすと誤解のもとになるので。

HAWK は実運用されないまま終わった

NIST の標準化コンペの候補段階で、標準化された方式ではありません。ただし「どこにも使われていない」と断定はできないので、自組織で試験導入していないかは暗号資産の棚卸しで確認してください。

そして 2026年7月29日、HAWK チーム自身がプロセスからの撤退を表明しました。攻撃を確認したうえで、「パラメータを倍にする、あるいはより高い rank のモジュールに移るといった素直な緩和策では、HAWK は競争力を失う」という判断です。NIST も第3ラウンド候補のページを更新し、HAWK を withdrawn と記載しています。

公開された提案を広く精査し、実際に使われる前に欠陥を見つけ、駄目なら取り下げる。
標準化プロセスはそのためにあります。今回はそれが最後まで回りました。

等価鍵が復元されたのは「チャレンジ用」のパラメータ

HAWK には3つのパラメータセットがあります。

パラメータ	位置づけ
HAWK-256	チャレンジ用。仕様書自身が「安全性水準は約64ビットと見積もられ、NIST 提出には低すぎる。しかし解読の標的としては良い」と明記
HAWK-512	仕様書が目標として掲げていた NIST セキュリティレベル 1
HAWK-1024	同じく NIST セキュリティレベル 5

HAWK-256 は、いわば解読されるために置かれていた的なんですね。実際に射抜かれたわけですが、これは仕様書が想定していた使われ方です。

多項式時間の破りではない

攻撃は指数時間のままです。速くなっただけで、計算量の壁が消えたわけではありません。実際、論文の著者は HAWK-512 への攻撃を実行してすらいません。コストが見合わないからです。

他の方式への影響は、この論文からは分かりません

論文が示しているのは Falcon には転用できないという一点です（HAWK 論文 Appendix F）。

ちなみに Falcon は HAWK と同じ体を使うので τ 自体は存在します。それでも駄目な理由は2つで、(i) Falcon が公開するのは Gram 行列ではないので制約 (C2) が作れない、(ii) Falcon の秘密基底は det B = q ≠ 1 なので、後述する「det = 1 だから最短になる」という仕掛けが働かない。
det が 1 かどうかが効いている、というのは技術詳細の節でもう一度出てきます。

ここは正確に書きます。他の方式に影響がないことを論文が証明したわけではありません。
別の自己同型や別種の module-LIP 構成への波及は、この論文からは何も言えません。
「Falcon は大丈夫と示された」「他は未知」が現状です。

PQC と量子暗号は別物です
耐量子計算機暗号（PQC）は「既知の量子攻撃に耐えることを目標とした古典的な暗号方式」のことです。絶対に破られない保証ではありません。量子力学を使う量子暗号 / QKD（量子鍵配送）とは別の概念なので、ここは混同されがちなポイントですね。

本題：なぜ τ だったのか

HAWK の安全性は2つの問題に分かれて依拠しています（NIST IR 8610 の整理）。

公開鍵からの鍵回復の困難性 … rank-2 の smLIP（module 格子同型問題）
署名の偽造困難性（SUF-CMA） … omSVP（One-More-Shortest-Vector Problem）

今回攻撃されたのは前者です。smLIP はざっくり言えば「同じ格子を違う見た目の基底で表したとき、元の良い基底を復元できるか」という問題です。

Mythos が見つけたのは、この格子に潜む未使用の対称性でした。しかも、そこに至る道筋が公開情報の上にきれいに残っているんです。

先行研究が残していた「逃げ道」

ここが構図の要です。GP25 のアブストラクトの結論部分を引用します。

omSVP ゲームを容易に勝てるようにする自明な自己同型はもはや存在しないと考えられる。本研究は HAWK の安全性に影響しないが、自己同型群を巻き込む新しい攻撃の筋道を開くものであり、それ自体として理論的に興味深いかもしれない。

ここで注意が要ります。この「自明な（trivial）」は普通の形容詞ではなく、GP25 が定義した技術用語です。
omSVP の定義に登場する群 Gₙ、つまり「攻撃者が計算できて当然とみなすべき変換の集まり」を指します。
1の冪根や、LJPW24 が見つけた symplectic 自己同型がここに入ります。

つまり GP25 が言ったのは「Gₙ に追加すべきものはもう残っていないだろう」であって、非自明な自己同型が存在しないとは言っていません。むしろ本文ではこう書いています。

大雑把に言えば、非自明な自己同型を見つけるのが容易なら、smLIP も容易だということになる。我々はこれを、非自明な自己同型の計算が困難であることの証拠と見なす。ただし、smLIP が現在想定されているより容易であるという可能性も同様にありうる。

この最後の一文が逃げ道として明示されていました。そして Mythos が通ったのは、まさにこちらの枝です。

τ をそのまま適用しても短ベクトルは出ません。τ-コサイクル格子という間接的な構造を経る必要があり、その意味で GP25 の言う「自明」には該当しない経路でした。
GP25 の結論と Mythos の結果は矛盾していません。 GP25 が可能性として残した側が現実になった、それだけの関係です。

NIST は「既存の手法が通用しない」と書いていた

2026年5月の NIST IR 8610（第2ラウンド状況報告書）にはこうあります。

smLIP 問題の変種を解く手法に進展があったものの、これらの技法は HAWK が用いる複素円分数体には現時点では適用できないように見える。（中略）NIST は HAWK の安全性仮定、特に円分数体の特有の構造の中での smLIP 問題について、さらなる分析を推奨する。

原文は「適用できない（inapplicable）ように見える」です。既存の module-LIP 解読の手法を、HAWK が使う複素円分数体に当てはめることができない、という意味ですね。

注意すべきは、これが「ここに穴がある」という指摘ではないことです。
「手持ちの道具がこの領域では通用しない」という記述であって、脆弱性の告知ではありません。
この違いが、次の節につながります。

対合は3つあるのに、誰も1つしか使っていなかった

HAWK が使う円分体のガロア群には、非自明な対合（2回適用すると元に戻る写像。involution の訳語です）が3つあります。c、τ、σ と呼ばれます。この事実自体は初等的なガロア理論から従い、論文も数行で済ませています。

ところが、それまでの module-LIP 解読は、論文著者らの知る限り例外なく複素共役 c しか使っていませんでした。Gentry–Szydlo は自らの手法の拡張について「degree-2 拡大が複素共役である場合に限り」と明記しており、以降の研究もこれを踏襲しています。

τ を使うという着想自体は難しくありません。難しいのは、それが使えることを示すほうです。

ここは誰も書いていません
「なぜ誰も τ を使わなかったのか」の理由は、実はどこにも書かれていません。論文が述べているのは「既存研究が c しか使っていなかった」という事実までです。τ の固定体が総実でないために既存の道具が接続できなかったのではないか、という説明は自然ですが、検証されていない推測です。

発見プロセス

技術の中身と同じくらい気になるのが、どうやって見つけたのかという話です。

Claude Code に似たハーネスで、複数のワーカーエージェントがサンドボックス内で協働しました。Python と Sage、公開された暗号研究へのアクセスがあります。人間のオペレータは理論計算機科学の素養はあるものの、格子暗号の専門家ではありません。介入は「アイデアの記録方法」「検証に使うライブラリ」といったプロジェクト管理レベルにとどまったとされています。

発表記事によると、この攻撃を生んだ鍵となるアイデアは2体のワーカーの協働から生まれました。両者ともそのアイデアを調べ始めましたが、1体目は実現不可能として早々に棄却し、2体目が完全に活用する方法を見つけたとのことです。

ただし公平を期すと、発表記事は「そのアイデア」が具体的に何だったかを特定していません。τ の着想なのか、その活用法なのかは書かれていません。AES 側と違って HAWK 側の思考連鎖は公開されていないので、Mythos が実際にどう辿り着いたのかは追いようがありません。

論文の謝辞には、こう書かれています。

本論文の数学的発見の大部分は AI 支援によるものである。人間著者の寄与は主に AI の作業を指示し、整理し、検証することであった。

さらに HAWK チームへの謝辞にはこうあります。

特に、我々の攻撃の各構成要素の適切な帰属についての助言に感謝する。AI 支援の研究はこれを難しくする。

どこまでが新規で、どこからが既存手法の再構成なのか。その線引き自体が論点になったことが窺えます。

🔧 ここから技術詳細です

ここから先は攻撃の中身に踏み込みます。数値の読み方だけ知りたい方は「数字を引用するときの注意」まで飛ばしてください。結論は変わりません。

3つの対合と、その固定体

先ほど触れた3つの対合を、正確に書くとこうなります。HAWK が使う円分体を K_n = ℚ(ζ) とします。

対合	定義	固定体	性質
c	ζ ↦ ζ⁻¹	K_n⁺	総実体（実数の世界に収まる）
τ	ζ ↦ −ζ	ℚ(ζ²)	複素円分体（総実ではない）
σ	cτ	K_n^σ	CM 体

既存の module-LIP 解読が使ってきたのは c だけです。相対ノルムを取って主イデアル問題に落とす系統、symplectic 自己同型を使う系統、Hermitian square-basis オラクルを使う系統。系統は分かれていますが、ガロア対合としてはどれも c しか使っていません。

τ-コサイクル格子

HAWK の秘密鍵は SL₂(R_n) の短い基底 B、公開鍵はそのグラム行列 Q = B*B です。

Mythos が構成したのは、次の量を最短ベクトルとして含む格子でした。

$$V_\tau := B^{-1}\tau(B)$$

これは「秘密基底 B が τ に対してどれだけ不変でないか」を測る量です。

なぜこれが格子の最短ベクトルになるのか。理由は「B が短いから」ではありません。

この格子上の長さは Q^(τ)(Y) = Tr_F(det Y) で測ります。HAWK の秘密鍵は B ∈ SL₂(Rₙ)、つまり det B = 1 なので、V_τ = B⁻¹τ(B) も det = 1 になります。
一方この二次形式は、AM–GM 不等式と「0でない代数的整数のノルムは 1 以上」から、det Y = 1 のときちょうど最小値 n/4 を取ることが示せます（HAWK 論文 Lemma 4.4）。

したがって V_τ は自動的に最短ベクトルです。論文はこれを「鍵生成の分布によらず」成り立つと明記しています。秘密鍵が短いことではなく、行列式が 1 だという条件だけが効いている、というのがこの構成の妙味です。B から作られているのに、公開鍵 Q だけから多項式時間でこの格子の基底が計算できる。そこがポイントです。

仕組みはこうなっています。V_τ は2つの公開検証可能な制約を満たします。

(C1) τ(Y) = adj Y：コサイクル方程式を線形化したもの
(C2) QY = σ(Y)ᵀτ(Q)：公開グラム行列 Q と τ(Q) の間の絡み合い関係

どちらも Y の有理座標に関する ℚ-線形条件で、係数は公開鍵から計算できます。したがって整数解の集合はエルミート標準形で求まる格子になります。これが τ-コサイクル格子 Λ_B^(τ)（rank n）です。

なぜ τ だと rank が落ちるのか

ここが factor-2 改善の源泉です。

使う対合を γ、それと複素共役の合成を ρ := cγ と書きます。

γ = c のとき、ρ = c² = id に退化します。すると制約 (C2) が「QY が対称」という条件に潰れ、得られる格子の rank は 3n/2 止まりです
γ = τ のとき、ρ = cτ（表でいう σ）は id ではなく、それ自体が位数2の自己同型です。(C2) が独立な n/2 次元の制限として効き、rank は n に落ちます

論文はこの rank の節約こそが blocksize の factor-2 改善をもたらすと明言しています。

ちなみに位数3以上のガロア元では駄目です。(C1) の線形化（Y⁻¹ を adj Y に置き換える操作）が γ² = id を要求するためで、論文は「有用な代替は見つからなかった」と記しています。使えるのは対合だけ、そして対合は3つしかない。そういう構図です。

主定理

攻撃は3ステップです。

HAWK 論文定理 6.1 任意の2冪 n ≥ 4 について、HAWK-n の公開鍵 Q = B*B から B'*B' = Q なる B' を出力する決定論的アルゴリズムが存在し、poly(n) 回の算術演算と、次元高々 n/2+1 の厳密 SVP オラクルへの poly(n) 回の呼び出しで済む。

論文が主張しているのは SVP オラクル次元の漸近的な factor 2 の改善です。

コスト

表を読む前に、3つの列が何を測る量かを押さえておきます。

β：攻撃に必要な BKZ の blocksize。格子簡約をどれだけ深く回す必要があるか
Core-SVP：その blocksize を、SVP を解く困難性に換算した保守的な指標（2^0.292β）
AGPS20 ゲート数：既知で最良の古典的な篩アルゴリズムで SVP オラクルを実現したときのゲート数見積もり

HAWK 論文の Table 1 は、SVP オラクル1回あたりのコストを示しています。

パラメータ	β（仕様 → 攻撃）	Core-SVP	AGPS20 ゲート数
HAWK-256	211 → 129	2^62 → 2^38	2^74 → 2^52
HAWK-512	452 → 257	2^132 → 2^75	2^141 → 2^86
HAWK-1024	940 → 513	2^274 → 2^150	2^278 → 2^158

総鍵回復コストは別の量です。こちらは HAWK-512 が 2^150 → 高々 2^108 ゲート、HAWK-1024 が 2^288 → 高々 2^182 ゲートになります。

ただしこれは SVP オラクルの部分だけを価格付けたモデル値です。メモリアクセス、progressive BKZ の係数、各種オーバーヘッドは仕様書側と攻撃側の両方で除外されています。実行時間や必要メモリの総見積もりではありません。

具体値を見るとわかるとおり、β は半分になっていません（452 → 257、940 → 513）。「半減」は漸近的な話です。

何がどこまで証明されているか

論文は主張の範囲を自分で区切っています。

定理 6.1 が証明されているのは2冪の n についてのみ。非巡回な一般の導手は発見的な期待の記述にとどまる
実装で使われたショートカットは2つあり、扱いが違う。intertwiner 部分格子のほうは数学的主張が HAWK 論文 Appendix D で証明されている。一方 τ-tower descent は "We make no provable claim" と明記され、根拠は実験のみ
補題を厳密に再導出したのは ℓ ≤ 6 のランダム鍵のみ
end-to-end の鍵回復のうち ℓ = 5〜8 は合成インスタンスで、実際に生成された鍵は ℓ = 9（HAWK-256）だけ

実証は96コアのサーバ1台で数時間、2つの公開鍵に対して成功しました。うち1つは独立2回の実行がいずれも成功し、互いに異なるがユニタリ同値な鍵が出ています。

なお、ここで出るのは元の秘密鍵そのものではありません。定理の出力は「B'*B' = Q を満たす B'」であって、元の基底 B とは限らないからです。公開鍵 Q は B にユニタリ変換をかけても変わらないので、Q だけからは元の B を識別できません。論文の定義では B と B' が U∈U₂(Rₙ) で B' = UB と結ばれるとき等価とされ、等価鍵があれば同じ公開鍵に対して有効な署名を作れます。実用上は「破れている」で正しいのですが、「秘密鍵 seed が復元された」とは別の話なので、区別しておきます。

適用範囲

構成が成立するのは (ℤ/m)^× が非巡回のとき、つまり導手 m が {1, 2, 4, pᵏ, 2pᵏ}（p は奇素数）以外のときです。

HAWK の3つのパラメータは、すべてこの条件に当てはまります。HAWK-256 / 512 / 1024 はℓ ∈ {9, 10, 11}、つまり導手 m = 2^ℓ = 512 / 1024 / 2048。
Gal(Kₙ/ℚ) ≅ (ℤ/2^ℓ)^× ≅ ℤ/2 × ℤ/2^(ℓ-2) は ℓ ≥ 3 で非巡回なので、3つとも攻撃の射程内です。

変数名に注意
HAWK 仕様書は n = 2^m, m ∈ {8, 9, 10} と書いており、この m は n の指数です（HAWK-256 なら m = 8）。
一方この記事と論文の m は導手（HAWK-256 なら 512）で、同じ文字が別の意味になっています。
仕様書と論文を並べて読むときは取り違えないでください。

一方 m ∈ {pᵏ, 2pᵏ} の体はこの τ-構成を回避できます。ただし攻撃一般からの回避ではありません。それらの体でも rank 3n/2 の c-コサイクルによる別経路は残り、論文は blocksize を概ね 0.72 βkey と見積もっています。

数字を引用するときの注意

この件、測定対象の違う3つの数字が飛び交っていて、報道でも混ざっています。引用するときは区別しておきたいところです。

数字	何の値か	出典
2^64	HAWK-256 の安全性水準の見積もり	HAWK 仕様書 §3.2「約64ビットと見積もられる」
2^62 → 2^38	SVP オラクル1回あたりのコスト（Core-SVP）	HAWK 論文 Table 1
2^150 → 2^108 など	総鍵回復コスト（ゲート数）	HAWK 論文 §6.1

Anthropic の発表記事が「2^64 と考えられていたのが 2^38 と示された」と書いているのは、仕様書の安全性水準の見積もりを指しています。論文 Table 1 の 2^62 とは別の量であり、矛盾ではありません。

同じく「実効鍵長が半分」「鍵強度を半減」も発表記事の高水準な要約表現です。論文の定理が主張しているのは、SVP オラクル次元の漸近的な factor 2 改善です。

何が「打撃」なのか

「鍵長を2倍にすれば元の安全性に戻る」なら大したことがないように見えます。しかし発表記事はこう続けます。

残念ながら、HAWK の鍵サイズを2倍にすることは、この方式を（現状のままでは）魅力的な PQC 署名候補にしていた理由の多くを消してしまう。

NIST IR 8610 は HAWK の利点として次の2点を挙げています。

セキュリティカテゴリ1で署名サイズ 555 バイト。Falcon や ML-DSA より小さい
整数演算のみで実装できる。Falcon が必要とする複雑な浮動小数点演算が不要で、FPU を持たない制約付きハードウェアでも実装しやすい

鍵長を倍にすれば、この優位は薄れます。

そして数字を並べると、状況がもう少し具体的に見えます。ただし並べ方には注意が必要です。

	仕様書の主張	攻撃後
HAWK-512（NIST-I 目標）	2^150 ゲート	高々 2^108
HAWK-1024（NIST-V 目標）	2^288 ゲート	高々 2^182

参考までに、NIST が公表している AES 鍵探索の古典ゲート参考値は、カテゴリ1が 2^143、カテゴリ5が 2^272 です。攻撃後の値はこれらを下回ります。

ただし、これで「NIST カテゴリを満たさなくなった」と判定することはできません。2^108 / 2^182 は AGPS20 の古典 SVP オラクルだけを価格付けたモデル上界で、メモリアクセスや progressivity 係数、その他のオーバーヘッドは仕様書側・攻撃側の両方で除外されています。一方 NIST のカテゴリ定義は「AES 鍵探索と同等以上の計算資源を、NIST が関連とみなす全メトリクスで要求する」というもので、量子回路深さや量子ゲート数も併用されます。回路も単位も除外条件も校正されていない数字なので、並べて大小を言うことはできても、カテゴリ充足の判定はできません。それには全メトリクスと整合した再評価が要ります。

言えるのは、「同じゲート会計の中で攻撃前後を比べると余裕が大きく削られた」ということです。HAWK チームが「パラメータを倍にするか、より高い rank のモジュールに移る」しかないと述べ、それでは競争力を失うとして撤退を選んだ背景として、この目減りは理解できます。

なお、NIST がこれらを利点として挙げていることと、これらが第3ラウンド選定の理由であることは別です。後者を明示した記述は確認できていません。「攻撃コストが指数時間であることよりも候補としての競争力低下のほうが実質的な打撃だ」というのは、本稿の解釈です。

まとめ

Mythos は HAWK の格子に潜む未使用の対合 τ を使い、鍵回復を次元 n/2+1 の SVP に帰着させた。HAWK-256 については、署名を作れる等価鍵が実際に復元された
ただし HAWK-256 は仕様書自身が「解読の標的として良い」と置いたチャレンジ用パラメータであり、実運用への影響はない
経路がきれいに残っています。NIST が「既存手法は通用しない」と書き、先行研究が「非自明な自己同型を見つけるのは難しいだろう、ただし smLIP がもっと容易な可能性もある」と両論を書いた、その後者の枝を通った
数字を引用するときは、安全性水準の見積もり（2^64）、SVP オラクル1回あたりのコスト（2^62）、総鍵回復コストの3つを区別すること

これは暗号研究が意図どおりに機能した事例だと思います。公開して精査し、実際に使われる前に欠陥を見つける。今回はその精査を AI が担った、というわけですね。

後編では、世界でもっとも研究されている共通鍵暗号 AES のほうを扱います。「で、うちの AES は危ないの？」という実務的な問いに直結する話なので、影響範囲の切り分けを中心にお送りします。

後編はこちら↓

参考資料

最後に、GMOコネクトでは研究開発や国際標準化に関する支援や技術検証をはじめ、幅広い支援を行っておりますので、何かありましたらお気軽にお問い合わせください。

お問合せ: https://gmo-connect.jp/contactus/

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up

【解説】Claude Mythos が暗号アルゴリズムを解読？！ 耐量子計算機暗号 HAWK 編