Claudeが暗号学的弱点を発見し、Amazon Anthropicパートナーシップは新たな試練に直面

Amazon Anthropicの提携研究者らは、Claude Mythos Previewが2つの新たな暗号攻撃を発見したと述べている。しかもClaudeは当初、より難しい標的はほぼ不可能だと主張していた。結果はHAWKと、研究用に縮小された7ラウンド版AES-128に影響する。いずれの攻撃も実運用システムを脅かすものではないが、AIが高度な数学研究にどう貢献できるかという前提に挑戦するものだ。

最も示唆的だったのは、攻撃の速度や計算予算ではない。モデルが人間の運用者からどれほど粘り強い働きかけを必要としたかだ。Claudeは何度もより簡単な問題に取り組もうとし、有望な経路を退け、標的の変更を提案した。研究者らは、論文発表に適した結果へとClaudeを導き続けた。

このやり取りこそが、ここでの本当の競争を規定している。比較すべきなのは、単純にClaudeと人間の暗号研究者の対決ではない。継続的に支援されたAI研究と、生産性が低そうに見える作業をモデルが放棄しがちな傾向との競争である。この発見は双方に依存しており、人間による検証には機械による探索よりはるかに長い時間がかかった。

Claudeは2つの攻撃を発見したが、運用中の暗号を破ったわけではない

Claude Mythosは、現行製品で使われている暗号を侵害することなく、正当な研究上の進展を生み出した。

Anthropicは2026年7月28日に結果を公表した。同社の暗号研究では、HAWKに対する改善された鍵回復攻撃と、7ラウンドAES-128に対するより高速な攻撃を説明している。

HAWKは耐量子デジタル署名の提案だ。デジタル署名により、システムは送信者の身元を検証し、情報が改変されていないことを確認できる。耐量子方式は、将来の量子コンピューターに対してもこうした保証を維持することを目指している。

米国国立標準技術研究所は2022年、追加の耐量子署名アルゴリズムの募集を開始した。HAWKは、およそ2年にわたる2回の初期ラウンドを通過した後、この公開審査プロセスの第3ラウンドに進んだ。

Mythosは、HAWKの基盤となる格子にこれまで使われていなかった対称性を発見した。格子とは、計算が困難な問題によって暗号の安全性を提供できる、構造化された数学的なグリッドだ。非自明な自己同型と呼ばれるこの対称性により、秘密鍵をより高速に探索できる。

Anthropicによると、この結果によりHAWKの実効鍵強度はおおむね半減する。より小さいHAWK-256パラメーターセットでは、完全な鍵回復に必要と見積もられる作業量が2^64回の演算から2^38回に低下した。

これは、すべてのHAWK構成が容易に攻撃できるようになったことを意味しない。より大きな鍵には依然として非現実的な指数探索が必要だ。この攻撃はHAWKに固有であり、ほかの耐量子署名候補や格子暗号全般を弱めるものでもない。

ただし、HAWKが意図した安全性を維持するには、はるかに大きな鍵が必要になる。その変更は、この提案の魅力だった効率性を損なうだろう。したがってHAWKはまだ実運用に入っていないものの、この攻撃は標準選定にとって重要である。

2つ目の発見は、NISTが2001年に採用したAdvanced Encryption StandardであるAESに関するものだ。AES-128は、10回の反復変換ラウンドを適用してデータを保護する。各ラウンドは、平文、鍵、暗号文の関係をさらに見えにくくする。

Claudeが攻撃したのは、その10ラウンドではない。研究者が完全な暗号の安全余裕を測定するために使う、意図的に弱められた7ラウンド版を対象とした。

この区別は決定的だ。縮小ラウンド暗号解析は、暗号の完全な設計に達する前に攻撃手法が進展し始めるかを検証する。橋が崩落したことを示すのではなく、橋の一部をストレステストすることに似ている。

この攻撃は、2^105個の選択平文にアクセスできることも前提としている。選択平文モデルでは、攻撃者は入力を選び、未知だが固定された鍵で暗号化された出力を受け取る。このデータ要件だけでも、実際には実験を不可能にする。

Anthropicは、理論上の攻撃を実装するだけでも数億ドルを要すると見積もっている。完全なAES-128は依然としてClaudeの射程外だ。

こうした境界があるため、Anthropicは実運用ソフトウェアに変更は必要ないと述べた。同時に、Claudeが「AESを破った」という劇的だが不正確な結論も退けられる。

変化したのは、より限定的で、より興味深い点だ。AIシステムが、広く研究されてきた2つの標的に対する本格的な暗号解析研究を前進させた。一方の結果は標準候補に実質的な打撃を与え、もう一方は古典的な研究課題に対する既知の最良手法を改善した。

この組み合わせは、HAWKの設計者を大きく超える圧力を生む。標準化団体、モデル開発者、クラウド事業者、セキュリティチームは今、AIが生み出した発見をどのように生産、検証、開示すべきかを決めなければならない。

ここでAmazon Anthropicの関係が重要となる理由

この実験は、フロンティアモデルのインフラを、単なるチャットボット実行手段ではなく、暗号研究プロセスの一部へと変える。

Amazonは2本の論文の執筆者ではなく、AWSも攻撃を発表したわけではない。この研究は、Claude Mythos Previewを使用したAnthropicの研究者によるものだ。それでも、Amazon Anthropicの関係は不可欠な商業・インフラ上の文脈を提供する。

AmazonはAnthropicに合計80億ドルを投資しつつ、少数持分を維持している。Anthropicはまた、AWSを主要なクラウドおよびトレーニングパートナーと位置付けている。ClaudeモデルはAmazon Bedrockを通じて企業顧客に提供されている。

この提携は、モデル能力、専門的な計算インフラ、企業向け配布を結び付ける。AnthropicはTrainiumアクセラレーターと関連ソフトウェアでAWSと協業し、Amazonはクラウドプラットフォーム向けの主要なモデルプロバイダーを得る。

最新の暗号研究は、集中的な推論が何を支えられるかを示している。各主要結果は、推定10万ドルのAPI利用料を消費した。AESプロジェクトは最終的に10億の出力トークンを生成したと、Anthropicは述べている。

これらの数字は通常の企業ワークロードを表すものではない。多数のエージェント、仮説、実験、批評、失敗した経路にまたがって、大量の計算資源を使う研究パターンを示している。

Amazonにとって重要なのは、顧客が標準的なBedrockプロンプトでこの実験をそのまま再現するかどうかではない。Mythos Previewは一般には利用できず、Anthropicはそのサイバーセキュリティ能力を理由にアクセスを制限している。

問題は、クラウドインフラが自動化研究における決定的な投入要素になるかどうかだ。有用な発見に継続的なマルチエージェント作業、反復実験、膨大なトークン予算が必要なら、計算資源提供者はワークフローにおいて戦略的な位置を占める。

この観点から見ると、AmazonのAnthropicへの投資は別の意味を持つ。この提携は、汎用アシスタントのホスティングだけに関するものではない。モデルが技術文献を探索し、数学ツールを操作し、独創的なアイデアを検証する実験の近くにAWSを置くものだ。

その機会には責任も伴う。より多くの計算資源により、防御側の研究者は見過ごされてきたアルゴリズムを調査できる。同じスケーリングは、モデルや同等の能力が広まった場合に攻撃的分析を加速させる可能性もある。

Anthropicは以前、Mythosが主要なオペレーティングシステムやブラウザーをまたぐソフトウェア脆弱性を発見し、悪用できると述べた。暗号設計研究は、この問いをプログラミング上のエラーから、数学そのものの弱点へと移す。

実装バグには、具体的な検証手段がある。クラッシュするプログラム、サニタイザーレポート、あるいは機能するエクスプロイトは、客観的な結果を提供できる。新しい暗号解析は、正しさが数学的仮定、先行研究、正確な計算量見積もりに依存するため、より難しい。

そのため人間によるレビューは、重要性を増すのであって減るわけではない。また、コスト構造の予測可能性も低くなる。モデルは、資格を持つ専門家が却下できるより速く、数百のもっともらしいアイデアを生み出せる。

企業の購入者は、この実験をセキュリティ判断をモデルに委ねる許可と解釈すべきではない。むしろ、重要な主張のすべてに来歴、実験ログ、人間によるレビューを結び付け続ける必要性を示している。

エンジニアリングチームはすでに、複雑な意思決定の背景を保持することに苦労している。エージェントがレビュー担当者が追跡しなければならない何千もの中間成果物を生成する場合、検索可能なナレッジベースの重要性はさらに高まる。

したがって、インフラ競争には検証競争が伴う。AWS、Anthropic、その他のモデルプラットフォームは、候補となる発見の量を増やせる。希少資源となるのは、発表可能な結果と自信に満ちた数学的ノイズを見分けられる専門家の注意力だ。

主要なメカニズムは完璧な1つのプロンプトではなく、粘り強さだった

Claudeの決定的な優位性は、人間がより簡単な作業を中心に課題を再定義しようとするClaudeを止めた後に初めて現れた。

HAWKプロジェクトでは、Mythosはエージェント型ハーネスの内部で半自律的に動作した。ハーネスはプロンプト、ツール、メモリ、コードを組み合わせ、モデルが一度だけ応答するのではなく、より長期的な目標を追求できるようにする。

この環境はClaude Codeに似ており、複数のワーカーエージェントをサポートしていた。これらのエージェントは公開論文を参照し、Pythonや、記号・数式計算システムであるSageなどの計算ツールを利用できた。

人間のオペレーターは理論計算機科学の経験を持っていたが、格子暗号の専門家ではなかった。人間によるガイダンスは主に、アイデアの追跡や検証ライブラリの選定といった研究管理に焦点を当てていた。

2つのワーカーが、重要なHAWKの方向性を特定した。一方はそれを早期に退けたが、もう一方はさらに発展させた。継続的なやり取りを経て、最終的に両ワーカーは実行可能な攻撃を認識した。

HAWKの発見と検証を完了するまでのプロセスには、およそ60時間を要した。Mythosは文献レビューを実施し、数学を探索し、計算実験を実行し、エンドツーエンドの検証パイプラインを構築した。

AESのプロセスは、さらに鮮明な分業を示している。Anthropicの研究者は、Claudeが仮説を提案し、検証し、失敗を却下し、探索を続けられるスキャフォールドを構築した。課題は、発表済みの最良の攻撃を上回る改善を求めるものだった。

Claudeは当初抵抗した。縮小ラウンドAESは徹底的に研究されてきたと主張し、異なる成果には異なる標的が必要だと提案した。この応答は会話の水準では合理的だったが、独創的研究には役に立たなかった。

人間のオペレーターは、次第に直接的な指示で応じた。メッセージは、モデルが新しい攻撃を追求し、7ラウンドのAES-128を維持し、価値の低い発見を避けるべきだと強調した。Anthropicは、スペルや文法の誤りもそのままにプロンプトを公開した。

Simon Willisonは、プロンプト分析でこれらのメッセージを取り上げた。その重要性は文言そのものではなく、エージェントの振る舞いについて何を明らかにするかにある。

プロンプトが提供した専門的な暗号知識はほとんどなかった。そこから得られたのは、意欲、標的の安定性、さらに努力を費やす許可だった。モデルはすでに技術文献、ツール、先行するエージェントの出力にアクセスしていた。

その指示を受け、Mythosは3日間で数億トークンを生成した。最終的に、従来の攻撃における高コストな推測を1つ省くフィンガープリンティング手法「Möbius Bridge」を提案した。

中間一致攻撃は、2方向から計算を進め、中間状態を照合することで時間を短縮する。通常は、実行時間の短縮と引き換えに、大規模な計算結果テーブルを保存する必要がある。

従来の7ラウンドAES手法では、ある段階で256通りの値を列挙し、テーブルと照合する必要があった。Mythosは、その推測にかかわらず不変のフィンガープリントを構築し、列挙を不要にした。

新しい変換の計算には追加の作業が必要となった。そこでClaudeは、そのコストを相殺する追加最適化を開発した。Anthropicは、測定方法に応じて、統合した手法の実行速度は200倍から800倍になると見積もっている。

これが今回の成果の中核となる仕組みだ。Claudeは、巧妙な問いに対して完成済みの攻撃を返したわけではない。人間がより容易な出口を何度も塞ぐ中で有望な方向性が浮かび上がった、大規模な探索プロセスを動かした。

これを「プロンプトエンジニアリング」と呼ぶだけでは、ワークフローを過小評価してしまう。研究者らは目標を設定し、標的を維持し、計算資源を配分し、中間成果を保存し、検証を求めた。これらは研究管理の機能である。

このプロセスは、知的なモデルなら励ましを必要としないという考えにも疑問を投げかける。最先端モデルは有益な応答を生み出すよう最適化されており、有名な問題を難しいと宣言することは責任ある対応に聞こえ得る。研究では、その社会的に受け入れられる回答の先へ進み続ける必要がある。

ここには微妙な評価上の問題がある。モデルが発見に必要な要素を備えていても、十分な努力を配分しなければ失敗する可能性がある。標準的なベンチマークは、多くの場合、1回の制約された実行内で固定問題を解けるかを測定する。

長時間稼働する研究エージェントは異なる振る舞いをする。その出力は、足場となる仕組み、並列ワーカー、ツールへのアクセス、コンテキスト管理、フィードバック、失敗した試行に割り当てる予算に左右される。能力は、モデルを取り囲むシステムにも一部属している。

AESの成果は、決意あるユーザーなら誰でも短いプロンプトから一流の暗号解読を引き出せることを示すものではない。初期の悲観論に隠れたモデルの能力を、継続的なオーケストレーションが引き出し得ることを示している。

人間による検証が真のボトルネックとなった

モデルは、Anthropicのチームが研究の正しさ、新規性、有用性を確立できるより速く研究を生成した。

Anthropicによると、Mythosは改良されたAES攻撃をおよそ1週間で考案した。その後、2人の研究者が結果への確信を得るために約1カ月を費やした。

同社はまた、その研究者らが主張を検証し論文を準備するのに十分な暗号学を学ぶため、数百時間を投入したとしている。Anthropicは、彼らが暗号学の専門家ではなかったことを明示している。

この開示は、攻撃そのものと同じくらい注目に値する。モデルが数式、コード、権威的な説明を提示しても、数学研究が信頼できるものになるわけではない。査読者はあらゆる仮定を検証し、その手法を数十年にわたる先行研究と比較しなければならない。

HAWKは、より具体的な検証経路を提供した。チームは鍵復元手法をエンドツーエンドで実装し、選択した鍵を復元できるか確認できた。そのため、広大で理論的なAES攻撃よりも結果をテストしやすい。

AESについては、誰も提示されたリソース仮定の下で完全な攻撃を実行できない。したがってレビューは、アルゴリズムの正しさの証明、計算量の確認、より小さな構成要素の実験的検証に依存する。

Anthropicは、学術研究者に相談し、6月にHAWKの結果を設計者と共有し、NISTのメーリングリストを通じて公開を調整したとしている。また、公開前に米国政府および業界のパートナーにも説明を行った。

これらの手順は、明白な誤りの可能性を減らす。しかし、より広範なピアレビューに取って代わるものではない。2本の論文と関連コードにより、独立した暗号研究者は主張に異議を唱える機会を得た。

暗号学レビューの公開性は重要である。セキュリティは通常、結果を発表する組織への信頼ではなく、繰り返される敵対的分析によって生まれる。専門家は推論の再現を試み、隠れた仮定を特定しなければならない。

CyberScoopは、Keyfactorの経営幹部Ellen Boehmが、この発見を耐量子評価プロセスが機能している証拠と見なしたと報じた。候補アルゴリズムが公開コンペティションに参加するのは、導入前に研究者が弱点を見つけられるようにするためである。

この解釈は、HAWKから誤った教訓を導くことを防ぐ。その後退は耐量子標準化の失敗を意味しない。インフラになる前に、公開候補が厳しい試験を受けたことを意味する。

NISTコンペティションの歴史もこの見方を支持している。以前の耐量子候補であるSIKEは、研究者がノートPCで実行可能な壊滅的攻撃を発見するまで、何年にもわたる注目を乗り越えた。

AIは、新たな敵対的圧力源を加える。標準化団体はモデルを使い、より多くの構成をテストし、より多くの変種を探索できる。設計者も、提案を提出する前に同じ技術を実行できる。

しかし、探索能力の向上はキューイングの問題を生む。モデルが専門家による評価よりはるかに速く攻撃を生成すれば、バックログは増大する。不正確な結果は数カ月分の注意を消費し得る一方、本物の発見が気付かれないまま待たされる可能性もある。

モデルは、自身の誤った仮定を確認するテストを書くことで、検証されたかのような誤った安心感を生むこともある。内部整合性は正しさと同じではないため、独立実装と査読者は引き続き必要である。

AmazonとAnthropicの提携はこのボトルネックの近くに位置する。モデルのスケーリングと、より長いエージェントセッションの提供は、上流の流れを拡大するからだ。インフラは、学術コミュニティが有資格の査読者を増やせる速度よりも速く、候補成果の出力を増やし得る。

適切な対応は、すべての自動探索を抑制することではない。それと並行してレビューシステムを構築することだ。そうしたシステムには、完全なログ、再現可能なコード、明示的な脅威モデル、バージョン管理された文献、人間の介入に関する明確な記録が必要である。

CryptanalysisBenchは、モデルの性能をより測定可能にする試みの1つである。Anthropicは学術研究者とともにこのベンチマークを作成し、異なるモデルが試行できる形式に暗号問題をパッケージ化した。

それでも、ベンチマークが捉えられるのは全体の一部にすぎない。Anthropicの最も強力な成果は、Claudeに標的を変更させないという粘り強い人間の判断に依存していた。したがって評価設計では、自律的な作業と現実的な研究監督下での性能の両方を測定しなければならない。

結果が証明していないこと

これらの攻撃は研究対象としては十分に信頼できるが、Claudeが現代の暗号を破った、あるいは暗号研究者に取って代わったと主張するには限定的すぎる。

第1の制約は実用的な影響である。HAWKは導入済みの標準ではなく候補である。7ラウンドAESは、意図的に弱められた研究対象だ。完全なAES-128は10ラウンドを使用し、影響を受けない。

第2の制約は計算可能性に関するものだ。AES攻撃は2^105個の選択平文を仮定しており、現実的な環境で収集できるデータ量をはるかに超えている。200倍から800倍の改善でも、不可能な攻撃が実用可能になるわけではない。

第3の制約は自律性に関するものだ。Mythosは技術的探索の大半を独立して実行したが、人間が標的を選び、足場となる仕組みを構築し、進捗を監視し、モデルを方向転換させ、出力を検証した。

この作業を完全に自律的だったと表現すれば、そうした貢献を消し去ってしまう。一方で、AIが執筆しただけの人間による発見だったと表現するのも不正確である。有用な単位は、両者を組み合わせた研究システムだ。

第4の制約は外部検証である。Anthropicは論文、コード、選択した推論アーティファクトを公開したが、より広い暗号コミュニティがそれらを検証し始めたばかりだ。主張されたすべての改善が精査に耐えるかどうかは、独立レビューによって決まる。

公開された推論も、すべての内部トークンの完全な記録ではない。Anthropicによれば、この文書は、成功した1つのセッションをより読みやすく説明するためClaudeが書き直したものだ。他の多くのセッションでは発見は生まれなかった。

この選択により、アーティファクトは成功経路を理解するには有用だが、成功率の推定には向かなくなる。読者は、同程度の支出がどの程度の頻度で出版可能な研究を生むかを推測できない。

第5の制約は一般化である。HAWKにおける対称性が、格子暗号全体に同じ弱点が存在することを意味するわけではない。7ラウンドAESに対するフィンガープリントの改善が、残り3ラウンドを突破する道筋を意味するわけでもない。

暗号ラウンドは、複雑性が積み重なるように設計されている。縮小版への進展はセキュリティマージンの測定に役立つが、最終ラウンドは既知のあらゆる手法の先に残り得る。

Anthropicによる予備的な追跡主張にも注意が必要である。同社は、デスクトップで動作する13ラウンドLEAへの攻撃と、6ラウンドSerpent-128への別の攻撃を報告している。どちらも、それらの暗号の完全版には到達していない。

チームは、さらなる作業後に詳細を公開する予定だ。それまでは、これらの結果は完全に検証可能な知見ではなく、企業による主張にとどまる。

経済的な問題もある。主要標準を研究する最先端研究所にとって、1件の成果に約10万ドルを投じることは理にかなうかもしれない。大学グループ、メンテナー、小規模なセキュリティチームにとっては、利用しにくい。

この不均衡により、AI支援暗号解読への初期アクセスは、モデル企業、ハイパースケールクラウド事業者、政府、資金力のあるベンダーに集中する可能性がある。成果を生み出す組織が、それを再現するために必要なシステムも管理する可能性がある。

Mythosへのアクセスが制限されていることは、独立した再現をさらに複雑にする。研究者は公開アーティファクトを検査できるが、同じモデルと足場となる仕組みを必ずしも再実行できるわけではない。

こうした制約は、発見の価値を否定するものではない。発見が何を意味するかを定義するものだ。Claude Mythosは、慎重に管理された研究プログラムの中で独創的なアイデアに貢献できるように見える。要求に応じて導入済み暗号を打ち破る一般的能力を確立したわけではない。

適切な懐疑の対象は、周辺の主張であり、アルゴリズムをテストする価値ではない。人間、モデル、あるいは両者の協働のいずれから有用なアイデアが生まれるにせよ、導入前のより強力なレビューは有益である。

AmazonとAnthropicを追う人々は3つの兆候に注目すべきだ

次の段階を決めるのは、独立した再現、測定可能な研究の信頼性、そして実際の運用に影響する発見の開示ルールである。

第1の兆候は、外部の暗号研究者がHAWKとAESの論文をどのように評価するかだ。再現された計算、修正された計算量見積もり、独立実装は、結果が専門家の圧力に耐えるかを示す。

強力な再現は、最先端モデルが新規の暗号解読に貢献できるというAnthropicの主張を支えることになる。実験自体が有益であり続けたとしても、大幅な修正があれば、より広い能力に関する見解は弱まる。

第2の兆候は、CryptanalysisBenchや類似評価における性能である。研究者には、複数モデルによる結果、反復実行、文書化された予算、異なる水準の人間による支援が必要だ。

ベンチマークは、発見と再発見を区別すべきである。また、失敗したセッション、トークン消費量、ツール利用、エージェントの方向を変えた介入も記録すべきだ。

複数のモデル系統が、統制された条件下で新たな検証済み攻撃を生み出すなら、AI暗号解読は業界全体の能力となる。成功がまれでMythos固有のインフラに依存し続けるなら、結論はより限定的なままだ。

第3の兆候は、Anthropic、Amazon、標準化団体、政府が、導入済みソフトウェアに影響する発見をどう扱うかである。今回の2つの攻撃は、どちらも本番システムを危険にさらさなかったため、秩序ある開示が可能だった。

実用的な突破が生じれば、より難しい判断が迫られる。研究者はベンダーへの通知、パッチや移行の調整、技術的詳細の制限、そしていつ一般市民に警告すべきかを決める必要がある。

Anthropicはすでに、現在の取り組みについて政府および業界のリーダーと協議したとしている。次の試金石は、こうした関係が危機の後に場当たり的な統制を設けるのではなく、危機の前に透明性のあるルールを生み出せるかどうかだ。

開発者や企業のセキュリティ責任者にとって、当面必要なのは暗号を置き換えたり、AESをめぐって過度に不安になることではない。暗号アルゴリズム、ライブラリ、鍵、プロトコルが自社システムのどこに入り込んでいるかを、より明確に把握することだ。

チームはまた、機械生成のセキュリティに関する主張を評価する準備を整えるべきだ。完成度の高い最終レポートをそのまま受け入れるのではなく、出典資料、実験、プロンプト、コード、レビュー担当者の判断を保持することを意味する。

AmazonとAnthropicをめぐるこの物語は、結局のところレバレッジに関するものだ。Amazonは資本、クラウドインフラ、そして企業市場への流通経路を提供する。Anthropicは、異例に深い技術調査を継続できる制限付きモデルを提供する。

Claudeの暗号研究は、この組み合わせが何を可能にするかを示す一方で、その制約要因も浮き彫りにする。計算能力は、膨大な規模で発見候補を生み出せる。だが信頼性の確認は、依然として慎重な人間のレビューと同じ速度でしか進まない。

したがって、今後数か月における問いは明確だ。独立した専門家はこれらの攻撃を検証し、他のモデルでもこの研究パターンを再現できるのか。その証拠によって、今回が例外的な実験だったのか、それともデジタルセキュリティを支える数学を監査するための再現可能な手法の始まりなのかが決まる。