米商務省標準技術局（NIST）が進めるポスト量子暗号の標準化プロセスから、署名方式「HAWK」が撤回された。Anthropicの大規模言語モデル（LLM）「Claude Mythos Preview」が約60時間で攻撃手法を見いだし、想定していた安全性を半減させたことが決定打となった。
主なポイント
- HAWKの開発チームは、攻撃内容が公表された翌日にNISTの追加署名プロセスからの撤回を表明。
- Claude Mythos Previewは格子構造の新たな対称性を突き、HAWK-512に対する鍵回復コストを2^150回から2^108回へと引き下げた。
- 同じ取り組みの中で、7ラウンド版AESへの攻撃も200〜800倍高速化する結果が得られた。
Anthropicの開示を受けてHAWKが撤退
Anthropicは7月28日、研究ブログで結果を公表し、Claude Mythos PreviewがHAWKの安全性の源泉とされていた格子構造の内部に、これまで利用されてこなかった対称性を発見したと説明した。
同社によると、この攻撃の探索には、専門エージェントによる約60時間分の実行時間と、およそ10万ドルのAPI費用がかかったが、担当した人間のオペレーターは格子暗号の専門家ではなかったという。
その翌日、Léo Ducas氏はNISTの公開メーリングリストに投稿し、2022年から2ラウンドにわたる専門家レビューをくぐり抜けてきたHAWKの提案を取り下げると表明した。
HAWKの仕様書に記載されたゲート数モデルに基づくと、HAWK-512鍵の回復に必要な計算量は2^150回から2^108回へと大幅に低下し、最大のパラメータセットでも同様に急激な安全性低下が生じる。Anthropicは6月時点で攻撃手法をHAWK側に共有しており、その後、NISTフォーラムへの投稿に合わせて公表時期を調整。第三者が検証しやすいよう、デモコードと論文を並べて提示した。
方式は、公表からわずか1日足らずで「白旗」を上げた格好だ。
関連記事: DEX取引高が7月に26％減、オンチェーン流動性が細る
暗号研究者の間で「AIによる暗号解読」の査読ルールが議論に
メーリングリスト上では、Daniel Apon氏が、提示された数理的議論について「問題は見当たらない」とコメント。一部の研究者は攻撃手法そのものから、AI活用時のプロセス設計へと議論の軸を移した。
Markku-Juhani Saarinen氏は、AI支援による暗号解読の成果については、第三者が迅速かつ低コストで検証できるよう、機械検証可能な証明、あるいは縮小版パラメータに対する実動デモのいずれかを必ず伴うべきだと主張した。
Bas Westerbaan氏は、HAWKはこれまでも「やや荷が重い」案と見られていたと指摘。最大パラメータセットの公開鍵と署名の合計サイズが、すでに標準化済みのML-DSA-44とほぼ同水準であり、「補完的な方式」という売り文句は見えにくかったという。
Apon氏はさらに、AI生成の暗号解読結果をどう評価するかについて、コミュニティとしてのルール作りが必要だと訴えた。そうでなければ、人間の査読者が、誰も検証しきれないほど大量の機械生成アウトプットに埋もれてしまうと警鐘を鳴らしている。
AESへの影響とポスト量子暗号標準化の前例
今回の発表では、AESに対するより穏やかな結果も併せて報告された。Mythosは、インターネット通信の多くを守る標準のAES-128から3ラウンド少ない、7ラウンド版AES-128に対するミートインザミドル攻撃を、200〜800倍高速化したという。
ただし、これらの成果は、現時点で実運用されているソフトウェアには影響しないとされている。
NISTのポスト量子暗号プロセスでは、こうした「土壇場での崩壊」は今回が初めてではない。過去ラウンドでは、長年にわたる公開レビューを経ていたSIKEが、1台の一般的なノートPCによる約1時間の攻撃で破られた例もある。その際、標準化作業は淡々と候補から除外し、残りの方式でプロセスを続行した。