Claude Mythos、新規暗号攻撃で60時間以内にHAWKとAESを突破

Claude、暗号アルゴリズムに着手しました。

注意してください。これはコード内のバグを探すのではなく、数学そのものの隙間を探すことです。

本日、Anthropicは、Claude Mythos Previewが2つの暗号アルゴリズムに対してそれぞれ新しい攻撃手法を発見したという重要な研究を発表しました。

最初の目標はHAWK——米国NISTの後量子署名選考において、すでに2年間の2ラウンドにわたる世界トップレベルの専門家による審査を突破した候補案。Mythosは60時間かけて、その有効鍵強度を半分に削減した。

二番目の目標はさらに厳しい：AES、世界で最も広く使用されている対称暗号アルゴリズム、人類が25年間取り組んできた「硬い骨」。

Mythosは簡易版AES-128上で独自の攻撃手法を考案し、それを「モビウスの橋」（Möbius Bridge）と名付け、従来の最強攻撃を200倍から800倍高速化した。

2つの成果により、それぞれ約10万ドルのAPIが燃やされました。

一年前、言語モデルは最も基本的な暗号解析すらできなかった。一年後、それは人間が2年間審査してきた方案の中に欠陥を見出し、自らの発見に名前を付けた。

Twitterでは、一部のユーザーが自分のビットコインを心配している。

60時間で、2年間閉じられていたロックを解錠

Claude Mythosのプレビュー版は、複数の主要な暗号学ライブラリを含む、ほぼすべてのソフトウェアで脆弱性を見つけることができました。

しかし、そうした脆弱性は、要するに「実装」レベルの問題です——プログラマーがアルゴリズムを誤って使用し、ロジックを間違え、境界条件を考慮しなかったのです。このようなバグは、経験豊富なセキュリティエンジニアでも見つけられます。

しかし、今回は異なります。それはアルゴリズム自体の数学的欠陥を突きました。

たとえば、以前は「誰が錠前を歪ませたのか」を探していたが、今は「この錠前の設計原理自体に問題がある」ことを証明している。

HAWKとは何ですか？これはNISTの後量子暗号標準化コンペティションにおける有力なエントリーです。2022年、米国国立標準技術研究所は世界に向けて公募を開始しました。「量子コンピュータはいずれ訪れる。現在のRSAやECDSAといった古典的な署名アルゴリズムは、量子計算能力によって容易に破られるだろう。では、量子コンピュータでも破れない新しい鍵を誰が作れるか？」

HAWKは応募者の一人であり、2年間にわたる二回の世界的な暗号学者による徹底的な審査を乗り越え、最終ラウンドまで進出した。

そのセキュリティは、「格同型問題」（Lattice Isomorphism Problem）という数学的な難問に基づいています。

簡単に言えば：HAWKの鍵は巨大な高次元の格子の中に隠されており、それを解読するには、その格子の中から隠された経路を見つける必要があります。数学者たちはこの経路を見つけるのが極めて困難だと判断し、それを信頼できる基盤として採用しました。

Mythosは、HAWKで使用されているこのグリッドの中に、これまで誰も利用しなかった対称性、学術的には「非自明自己同型」（nontrivial automorphism）と呼ばれるものを発見しました。

以前の論文では、この対称性を効率的に見つけられれば攻撃が可能であることが示されていたが、それはあくまで定理にすぎず、HAWKの格子に実際にこのような対称性が存在するかどうかは、これまで誰も答えられていなかった。

Mythosは答えました：はい。

結果、鍵の強度が半分に減少した。最小のHAWK-256パラメータセットでは、元々完全な鍵の復元に2^64のコスト、つまり約1800億億回の演算が必要とされていた。

Mythosの証明は2^38、約2700億回で済みます。約4.4兆倍減少しました。

HAWKが元のセキュリティレベルを維持するには、鍵を倍にしなければならない。しかし、鍵が倍になると、「軽量」な後量子候補としての核心的な利点である署名のサイズが小さく、処理速度が速いという点がすべて失われる。

このプロセスで最も興味深い点は、プロジェクトの人的操作者が格子暗号の専門家ではなかったということである。

彼は理論計算機科学の背景を持っているが、格暗号には全くの素人だった。彼が行ったのはプロジェクト管理だけ——Mythosがどのようにノートを取るか、どのライブラリを使って計算検証を行うかを提案した。技術的な作業はほぼすべてMythosが自ら行った。

より興味深いのはマルチエージェントの協働である。重要なアイデアは、2つのワーカーエージェントが「ぶつかり合って」生み出したものだ。最初のエージェントはこの方向でいくつか調査した後、この道は通じないと早期に却下した。2番目のエージェントはさらに深掘りし、それを完全に活用する方法を見つけ出した。2つのエージェントはやり取りを重ねて議論し、最終的に「攻撃は有効である」と一致した。

人間が「不可能」と感じる方向に、2つのAIが議論の中で道を開いた。

全体でわずか60時間かかりました。

「不可能」、その後、自らフレームワークを書き直した

HAWKの戦いが精密な外科手術のようだったとすれば、AESの戦いはまるで小説のようだ。

物語の最初、Claudeはこの仕事を引き受けなかった。

Anthropicの研究者がエージェントのスキャフォールドを構築し、Claudeに7ラウンドの簡易版AES-128の新しい攻撃を見つけさせた。

クロードの反応は目を白くしたようなものだった：

異なる結果を求めるなら、目標を変える必要がある……AES-128 r5/r6は本当に難しい。

それは見つからなかった、なぜなら簡単に見つかるものなど存在しなかったからだ。これはこれまで最も研究が盛んに行われてきたブロック暗号である。

つまり、こんな意味です：「社長、25年間、世界で最も頭の良い人たちが誰も噛み砕けなかった問題を、私にやらせようってんですか？それは無理じゃないですか？」

研究員はどのようにすればよいでしょうか？彼はただ、ふと思い立って打った素朴な一文を送っただけでした——

モデルはこれが解決不可能だと考えてしまうため、試みようとせず、十分なプロンプトが必要です。

この一文だけについて、Claudeの反応は劇的だった：自らagent harnessを再書き込みし、「本当に新規なアイデアを探し出す」という設定に切り替えた。

それは説得された。そして、それを売却し始めた。

次の3日間で、研究員は合計3つの実質的なヒントしか提供せず、すべて初心者レベルの簡単な言葉で、スペルチェックすらしていなかった：

我々が探しているのは単純な攻撃ではなく、新しい攻撃です。

目標を変更しないで。——Claudeがより簡単に攻撃できるパスワードに変更しようとしたところ、研究員に止められた。

簡単な成果ではなく、真に難しい発見を求めよう。

Claudeは自ら数億トークンを生成し、重要なアイデアを導き出した。その後、合計で十億トークンを出力し、これは約7,000〜8,000冊の本に相当する分量であり、このアイデアを論文の形に仕上げた。

このアイデアはClaudeによって「モビウスの橋」と呼ばれています。

技術的には、これまで7ラウンドのAESに対する最良の攻撃方法は「ミッド・アンド・ミドル攻撃」（Meet-in-the-Middle）と呼ばれ、本質的には空間を時間に換える手法です：多数の中間計算結果を巨大な検索テーブルとして保存し、暗号の両端から同時に中央に向かって進み、テーブル内で一致を検索します。

しかし、元の方案には致命的なステップがありました：攻撃者は256個の可能性のある値を一つずつ推測し、それぞれをテーブルで照合しなければなりませんでした。

Mythosは、この256種の推測に対して「免疫」を持つ数学的フィンガープリントを生成した——その値が何であっても、このフィンガープリントは常に同じ結果になる。このステップの計算量は、元の1/256に直接削減された。

しかし、その代償として、このフィンガープリント変換自体のコストが高くなった。そこでMythosはさらに最適化テクニックを考案し、最終的に200倍から800倍の高速化を実現した。

一周で、二人が一か月検証した

上記の2つの結果は、今日いずれも生産システムに影響を与えません。

HAWKはまだ候補段階であり、どこにも導入されていません。AESは7ラウンドに簡略化されたバージョンを攻撃しただけで、完全な10ラウンドのAES-128は無傷です——あなたの銀行カードパスワード、HTTPS接続、暗号化されたハードディスクは安全です。

しかし、真正に暗号学界全体を背筋の凍るような思いにさせたのは、検証プロセスである。

MythosはAES攻撃を自力で発見するのに約1週間かかった。Anthropicの2人の研究者は、数百時間にわたる暗号学の文献を読み込み、ようやく「これは正しい」と確認するのにほぼ1か月を要した。

AIは1週間で発見を成し遂げ、人類はその発見を理解するのに1か月かかった。

このような状況は、ネットセキュリティ分野ですでに一度起こっています。Claude Mythos Previewは過去1か月で10,000個の重要なソフトウェア脆弱性を発見し、人間のセキュリティチームの分類、検証、修正プロセスが圧倒されました。

今、学術的暗号学の分野でも同じ衝撃が訪れるところである：発見がボトルネックではなく、検証がそれになる。

さらに、Mythosの野心はこれにとどまらない。Anthropicは、ISO標準に採用された軽量暗号アルゴリズムLEAに対して、実用レベルの攻撃を発見したことを明かした。13ラウンドのLEAの鍵復元は、従来2^98組の平文対と2^86回の計算を必要としていたが、Mythosはこれを2^30組未満の平文にまで削減し、一般のパソコンで1時間以内に実行可能にした。