Anthropic、未公開のClaudeモデルがNISTの耐量子候補の1つを弱体化させたと主張

インターネットは今、その数学的基盤を入れ替えている最中だ。大規模な量子コンピューターが実現すれば、銀行取引、ソフトウェア更新、暗号化トラフィックを現在保護している暗号技術の大半が破られる。そのため米国立標準技術研究所（NIST）は、代替手段を選ぶための公開コンテストを10年近くにわたって実施してきた。

そのうちの1つのコンテストは今も継続中だ。5月14日、NISTは9つのアルゴリズムを進出させた新たなデジタル署名方式をめぐる第3ラウンドの審査に。デジタル署名とは、メッセージ、支払い、あるいはソフトウェア更新が、本当にその送信者だとされる相手から来たことを証明する数学的仕組みだ。生き残った9つのアルゴリズムの陣営は、設計の最終変更を8月14日までに提出しなければならない。

その締め切りがあるからこそ、火曜日の発表はいつものAI研究のプレスリリースとは違った意味を持つ。

7月28日、Anthropicは2本の論文を公開し同社が一般公開して販売していない最先端モデルClaude Mythos Previewが、2つの暗号アルゴリズムに対する新たな数学的攻撃を発見したと主張した。そのうちの1つがHAWKであり、HAWKはその9つのうちの1つだ。

同社が引こうとしている区別こそが、この話の核心だ。これまでのClaudeのセキュリティ研究は、実装バグ、つまりアルゴリズムを動くコードに落とし込む際にプログラマーが犯したミスを見つけるものだった。そうした問題は主要ソフトウェア全体、暗号ライブラリを含めて何千件も見つかっている。たとえるなら、錠前自体は正しいが取り付けが曲がっているようなものだ。今回Anthropicが主張しているのは、Claudeが「アルゴリズムそのものにある数学的欠陥を見つけられる」ということだ。つまり錠前の設計そのものが間違っており、丁寧に取り付けても意味がない。

HAWKとは何か、そしてこの攻撃が何をするのか

HAWKは、数百次元にわたる点の格子を扱う幾何学の一分野である格子に基づく、唯一の残存候補だ。その魅力は実用性にあった。最も低いセキュリティ水準では署名サイズが555バイトで、NISTがすでに承認した標準より小さく、さらに競合方式で誤実装を招きやすい厄介な10進演算も避けている。

この攻撃は、HAWKの格子に隠れた対称性を見つけ出すことで成立する。昨年公表された学術研究ではそのような対称性が存在するなら、鍵復元問題の難しさをおおよそ半分にできることが証明されていた。だが誰もそれを見つけていなかった。モデルはそれを見つけた。

HAWK-256では、HAWKの設計者自身が攻撃者向けの標的として公開している意図的に小さくした構成において、秘密鍵を盗むコストは約1800京回の演算から約2750億回へと下がる。Anthropicは、単一の96コアサーバー上で4時間未満にそのような鍵をエンドツーエンドで復元するコードを公開した。

NISTが実際に評価している2つの構成、HAWK-512とHAWK-1024は破られていない。推定攻撃コストはこれらでも下がるが、どちらもなお現実に構築可能な範囲をはるかに超えている。元の安全余裕を回復するには鍵サイズを2倍にする必要があり、それではHAWKを選ぶ価値の大半も失われるだろう。

この結果が示していないこと

モデルがその仕事をしたという主張は、ここで非常に大きな意味を担っている。Anthropic自身の表現は「大部分は自律的に」であり、しかもそのモデルは、先行研究ですでにまさにこの種の対称性に弱い可能性があると指摘されていた方式に向けられていた。その先行論文の著者の1人は、HAWKの設計者でもある。

検証は依然として人間の仕事であり、しかも高コストだ。Anthropicは計算コストを結果1件あたりおよそ$100,000、HAWKでは60時間と見積もった。その後、研究者たちは2つ目の結果を確認するためにさらに数百時間を費やし、そのうち2人は確信に至るまでにほぼ1か月を要した。

外部による検証は始まっているが、まだ限定的だ。Anthropicはこの攻撃をNISTの公開メーリングリストに投稿し、そこで暗号研究者のDaniel Aponは、その数学は独自に検証しても妥当だったと返信した。それ以外では、『The Hacker News』は鍵復元の独立した再現を見つけられなかったと報じており、NISTもHAWKの位置づけが変わるかどうかについては何も述べていない。

2つ目の発見は、見出しが示唆するほど強いものではない。これは、暗号化トラフィックの大半を保護する暗号AESへの攻撃を200倍から800倍高速化するものだ。だが標的は完全な10ラウンド暗号ではなく、簡略化された7ラウンドの研究用バージョンであり、さらに攻撃者が同じ鍵で暗号化された約400穣件のメッセージを入手できることを前提としている。Anthropicは完全な攻撃を実行しておらず、構成要素を測定して残りを推定した。

Anthropicはまた、このモデルが当初AESの問題を拒否し、標的は研究が進みすぎていて改良の余地がないと言い張っていたことも明らかにした。研究者たちは、誤字だらけの自作プロンプトを使って続行するよう促した。

競争的な背景を考えると、これは見た目ほど特異な例ではない。GoogleはErdősコレクションの未解決問題にGeminiを投入しており、Anthropicも今月、公開モデルがJacobian Conjectureを解決したと述べた。暗号は単に、主張された結果をコードを実行して検証できる分野だというだけだ。

Mythos Previewは購入できない。これはProject Glasswingを通じて組織に提供される、Anthropicのクローズドなセキュリティプログラムだ。

これを数学の話ではなく投資のテーゼとして追っている人にとって、重要な数字は6,700万ではありません。$100,000であり、それが下がり続けるかどうかです。