Anthropic Claude Mythos PreviewがHAWKおよびラウンド数を削減したAESに対する改良された攻撃を発見

TL;DR

Anthropicは、Claude Mythos Previewによって大部分が自律的に生成された2つの新しい暗号解読結果を発表しました。一つはポスト量子署名方式HAWKの有効鍵サイズを半分にする攻撃であり、もう一つは従来の成果よりも200〜800倍高速な7ラウンドAESに対する中間一致攻撃です。どちらの攻撃も理論的なものであり、導入済みのシステムに影響を与えるものではありませんが、言語モデルがいかに強力にアルゴリズムの欠陥を発見できるかを示しています。

研究発表の概要

Anthropicのブログ記事「Discovering cryptographic weaknesses with Claude」では、Claude Mythos Previewモデルが、よく研究されている2つの暗号プリミティブに対する新しい攻撃を見つけるためにどのように使用されたかが詳細に述べられています。この研究は最小限の人間によるガイダンスで行われ、API使用料は攻撃あたり約10万ドルであり、NISTおよびHAWKの原著者に責任を持って開示されました。知見は2つの個別の論文に文書化されており、オープンソースのデモンストレーションコードと、将来のLLM主導の暗号解読のためのベンチマークスイート（CryptanalysisBench）が付属しています。

HAWKに対する改良された鍵復元攻撃

コアとなる結果

Claude Mythos Previewは、HAWKの基礎となる格子における非自明な自己同型（automorphism）を特定しました。これにより、スキームの有効鍵サイズを半分に縮小する、より高速な列挙攻撃が可能になります。HAWK-256パラメータセットの場合、予想される攻撃コストは (2^{64}) から (2^{38}) に減少します。

技術的根拠

• HAWKの安全性は、格子同型問題（Lattice Isomorphism Problem）の困難性に依存しています。
• 以前の研究（例：ePrint 2025/928）は、そのような自己同型を効率的に見つけることが攻撃を可能にすることを証明していましたが、HAWKの格子内にその存在を実証してはいませんでした。
• Mythosは自己同型を発見し、Sage/Pythonで検証パイプラインを構築し、エンドツーエンドで攻撃を確認しました。

発見プロセス

• Claude Codeのようなマルチエージェント・ハーネスが、計算ツールや暗号文献にアクセスできる複数のワーカーエージェントを調整しました。
• 人間の監視はプロジェクト管理に限定されていました。重要な洞察は、2つのエージェント間の対話から生まれました。一方のエージェントは、最初はその考えを退けていましたが、もう一方がそれを洗練させました。
• 合計発見時間：約60時間；APIコスト：約10万ドル。

影響評価

• この攻撃は多項式時間ではなく指数時間であり、まだ導入されていないNIST第3ラウンド候補であるHAWKにのみ影響します。
• これは、AIが2年間の専門家によるレビューを生き残った構造的な弱点を明らかにできることを示しています。
• この結果は、将来のNIST候補は、同様の見落としを避けるためにAI支援分析を用いて評価されるべきであることを示唆しています。

7ラウンドAESに対するより高速な中間一致攻撃

コアとなる結果

Claude Mythos Previewは、「Möbius Bridge」フィンガープリント・アルゴリズムを導入しました。これは、7ラウンドAES-128に対する既知の最高の中間一致攻撃における256倍の列挙ステップを排除し、200〜800倍の高速化を実現します。

技術的根拠

• この攻撃は、従来の学術的な設定と同様に、最大 (2^{105}) 回のクエリを伴う選択平文モデルを想定しています。
• Möbius Bridgeは、以前の攻撃で必要とされた256回の推測に対して不変な変換を作成し、テーブルルックアップの回数を削減します。
• 追加の最適化により、変換に伴う高い計算コストが相殺されます。

発見プロセス

• 研究者は、Claudeが仮説を立て、実験を実行し、自律的に反復できるようにするための足場（scaffold）を構築しました。
• ClaudeがAES-128は「真に困難である」という自己課した信念を克服するために、初期のプロンプトが必要でした。
• 3日間でClaudeは数億トークンを生成し、約10億トークンの後に最終的にMöbius Bridgeを提案しました。
• 人間の努力は、数学的な検証と論文の準備に集中しました。検証には数百時間を要しました。

影響評価

• この攻撃は、フル10ラウンドの暗号ではなく、7ラウンドに削減されたバージョンのAESを対象としているため、即座の実用的な影響はありません。
• これは、LLMが微妙なアルゴリズムの改善の発見を加速できることを示し、長年にわたる削減ラウンドAES研究の系譜を継ぐものです。

サポートインフラストラクチャ：CryptanalysisBench

Anthropicは、ETH Zurich、Tel Aviv University、TU Berlinと提携し、LLMの暗号解読能力を体系的に評価するために複数の暗号をパッケージ化したベンチマークスイート、CryptanalysisBench (arXiv 2607.18538) をリリースしました。このベンチマークは、再現性を促進し、将来のモデルの能力を追跡することを目的としています。

その他の予備的な知見

• LEA-13攻撃 – Mythosは、13ラウンドのLEAに対する鍵復元攻撃を発見しました。これはデスクトップ上で1時間未満、(<2^{30}) 個の平文を必要とします。フル24ラウンドのLEAは引き続き安全です。
• Serpent-6攻撃 – 6ラウンドSerpent-128の完全鍵復元手法は、(>2^{70}) 個の平文を必要とした以前の成果を改善しています。
• Salsa20、Poseidon、SHA-1に対して、わずかな利得（<10倍）が観察されました。
• これらの結果はまだ検証中であり、将来の出版物で公開される予定です。

暗号学およびセキュリティ研究への示唆

• AI拡張暗号解読 – HAWKとAESの結果は、最先端のLLMが研究レベルの暗号解読を実行できることを証明しており、候補スキームと導入済みスキームの両方における弱点の発見を加速させる可能性があります。
• 人間のボトルネック – モデルは攻撃を迅速に生成できますが、人間の専門家は、特にAES Möbius Bridgeのような複雑な攻撃に対して、その正当性を検証するために依然として多大な時間を費やしています。
• 政策的考慮事項 – Anthropicは責任ある開示（responsible disclosure）に従い、公開前にNISTとHAWKの著者に通知しました。AI主導の攻撃が強力になるにつれ、調整された開示フレームワークが不可欠になります。
• 将来のワークフロー – 著者は、AIが敵対的レビューの標準的なツールとなり、設計者がより弾力性のあるアルゴリズムを反復的に設計するのを助け、おそらく次世代の暗号プリミティブの設計に貢献することを期待しています。

結論

Anthropicの発表は、Claude Mythos Previewがポスト量子署名と対称暗号の両方に対して、数学的に非自明な攻撃を自律的に発見できることを示しています。これらの攻撃は、未導入または削減されたラウンドのバージョンを対象としていますが、パラダイムシフトを浮き彫りにしています。すなわち、言語モデルは今や実質的な暗号解読研究に貢献する能力を持っており、セキュリティコミュニティに対して、検証プロセスの適応と標準的な暗号レビューパイプラインへのAIツールの統合を促しています。

---

論文へのリンク

• HAWK攻撃: https://anthropic.com/document/hawk_key_recovery.pdf
• AES Möbius Bridge攻撃: https://anthropic.com/document/aes_mobius_bridge.pdf
• ClaudeのAESに関する思考の連鎖: https://anthropic.com/document/aes_mobius_bridge_cot.pdf
• CryptanalysisBenchベンチマーク: https://arxiv.org/abs/2607.18538