「みなづちAI」はリンクフリーです。リンクを行う場合の許可や連絡は不要です。引用する際は、引用元の明記と該当ページへのリンクをお願いします。
AIが見つけた弱点で暗号の標準化候補が消えた。撤回の全文を読む
みなづちです。
2026年7月28日、AnthropicがClaudeによる暗号解析の成果を公表しました。対象の一つは、米国立標準技術研究所（NIST）が審査していたポスト量子署名の候補「HAWK」です。
その翌日、HAWKは標準化プロセスから撤回されました。
多くの記事は「AIが暗号を破った」と伝えています。しかしNISTの公開メーリングリストに投稿された撤回の全文を読むと、書かれていたのは「破られた」という宣言ではありませんでした。安全性の劣化を認めた上で、直すコストが方式の売りを消すという計算が書かれていました。
本記事では、以下のポイントから解説します。
- 攻撃の公表から撤回、NISTの報告までの22時間に何が起きたか
- 撤回投稿の全文に書かれていた、本当の理由
- Claudeがどこまで自律だったのか、人間は何時間かけたのか
- AESは破られていないという、公式自身が付けた限定
- 日本のポスト量子暗号移行が、いまどこにいるのか
目次
この撤回の結論：安全性の劣化を認めた上で、直すコストで降りた
まず結論をお伝えします。HAWKが撤回されたのは安全性が崩壊したからではなく、劣化した安全性を回復させるとHAWKの売りが消えてしまうからです。
提出チームがNISTの公開メーリングリスト「pqc-forum」に投稿した撤回の理由は、三段構えでした。攻撃の効果を認め、回避策を検討し、その回避策では方式が競争力を失うと述べ、だから撤回すると書いています。
原文はこうです。「パラメータの倍増やより高いランクのモジュールへの移行といった素朴な回避策は、HAWKを競争力のないものにする。よって我々はNISTの進行中の追加署名方式標準化プロセスからHAWKを撤回する」。
つまり安全性の劣化そのものは致命傷ではなく、それを埋める費用が致命傷になりました。指数時間の攻撃が少し速くなっただけという技術的な限定と、方式が競争から消えるという結果の大きさが両立しているのは、この構造のためです。
筆者の視点：撤回の全文とスレッド12通を読んで気づいた3つのこと
僕自身、pqc-forumのスレッドを1通ずつ読みながら考えたことがあります。
撤回理由に「破られた」と書かれていなかった
いちばん意外だったのは、撤回投稿の書き出しでした。
「HAWKの暗号解析へのAnthropicの貢献と、全期間にわたって我々と連絡を取り合ってくれたことに感謝したい」。非難や被害の語彙は一つも使われていません。事前に連絡があったことへの謝意まで書かれています。
そして技術的な確認も、自分たちの指標で述べています。「彼らの攻撃が、（等価な）秘密鍵を復元するために格子縮約で必要となるブロックサイズをおよそ半分にすることを確認した」。
破られたのではなく、必要なブロックサイズが半分になった。それを認めた上で、延命策を計算して諦めた。暗号の世界の撤退が、こういう静かな計算として書かれるのだと知りました。
3週間前、人間の多項式時間攻撃はHAWKを倒せなかった
もう1つは時系列です。HAWKは今回の3週間前に、もっと劇的な主張を生き延びていました。
2026年7月5日、pqc-forumに報告が投稿されています。あるプレプリントがHAWKに対する古典的な多項式時間の鍵回復攻撃を主張していましたが、著者らは攻撃を実装しておらず、主張は4つの数論的な仮説に依存していました。
報告者が実装と実験を行った結果、そのうち一つの仮説に欠陥があり、攻撃は実際には指数時間で走ると分かりました。著者らもそれを認めています。
多項式時間を主張した人間の攻撃はHAWKを倒せず、指数時間の高速化にとどまるAIの攻撃が倒した。両者を分けたのは主張の強さではなく、実装されて再現でき、提出チーム自身が追認できた点でした。
議論が22時間で「AIをどう裁定するか」へ移った
3つ目は、スレッドの話題の移り方です。
攻撃の公表からNISTの報告までは22時間でした。その間に議論は「AIは危険か」ではなく、AIが生成した解析の主張を、コミュニティはどう裁定すべきかという手続きの話へ移っています。
ある参加者は、機械検証可能な証明や縮小版への攻撃実演といった「触れる証拠」を常に示すべきだと提唱しました。別の参加者は、AI生成の暗号解析の主張を裁くための「十戒」が必要だと提起しています。
作法を明文化しなければ、人間の側が主張の量に押し流される。その警告が、成果の発表から1日のうちに出ていました。
22時間で何が起きたか。攻撃の公表から撤回、NISTの報告まで
まず時系列を整理します。以下は日本時間です。
7月29日2時06分、Anthropicの研究者が投稿した
出発点はpqc-forumへの投稿でした。件名は「HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1」で、HAWK-nの鍵回復が次元n/2+1の最短ベクトル問題に帰着するという定式化です。
この投稿には、公式ブログにない具体的な数字が書かれていました。AGPS’20というゲート数モデルで、HAWK-512の鍵回復コストを2の150乗から2の108乗へ、HAWK-1024を2の288乗から2の182乗へ引き下げるというものです。
さらにHAWK-256については、単一のサーバー上で数時間で秘密鍵を端から端まで復元する実装で実証したと述べています。
他の方式への波及は明示的に否定されています。「この結果はFalcon、ML-DSA、その他の格子ベース方式に影響しない」。発見の主体についても「これはClaudeによって見つけられたもので、人間による技術的な誘導は最小限だった」と書かれています。
4時間48分後、NISTの元評価担当が独立に確認した
次の動きは早かったです。
投稿から4時間48分後、Daniel Apon氏が2行だけ返信しました。「いいね。私の側でも独立に確認が取れた」。
同氏の経歴が効いてきます。NISTのポスト量子暗号プロジェクトで、ML-KEMとML-DSAの選定時に格子暗号の主題専門家を務めた人物です。現在はAnduril Industriesで暗号部門のディレクターを務めています。
撤回より前に、この経歴を持つ人物による確認が公開の場で表明されていたことになります。査読は経ていませんが、検証がゼロだったわけでもありません。
同じ日には、GPT-5.6による並行成果の報告も投稿されました。投稿したのはOpenAIではなく、中国科学院の博士課程で格子同型問題を研究している外部の研究者です。
次元3n/4の最短ベクトル問題を解くことでHAWKを攻撃するもので、上記より弱いがアプローチが異なるとされ、Codexで実装してHAWKチームに共有したと述べられています。ただし原文はその直後に「HAWKチームは現在それ自身の検証を進めている」と続いており、撤回の時点でこちらの検証は完了していません。
Anthropic社内のClaudeによる成果と、外部の研究者がGPT-5.6を使って出した成果が、同じ日に同じスレッドへ届いていたことになります。
約17時間後に撤回、その約5時間後にNISTが報告
撤回の表明は、最初の投稿から16時間56分後の7月29日19時02分でした。投稿者はLeo Ducas氏（NISTの提出者一覧での表記はLéo Ducas）で、署名は「– the HAWK team」とチーム名義になっています。
その約5時間後、7月30日0時09分にNISTのDustin Moody氏が同じスレッドに投稿しました。「NISTはHAWKチームが提出方式についてプロセス全体を通じて行ってきたすべての仕事に感謝したい。HAWKが撤回されたことを示すため、オンランプの第3ラウンドのページを更新した」。
AIの利用の是非やプロセスへの言及は、この投稿に一切ありません。標準化機関はまだ何も言っていない、というのがこの日の状態です。
なおNISTのページは、撤回の注記を載せた後も見出しが「第3ラウンドに進む9候補は次のとおり」のままで、HAWKの行も注記付きで残っています。NISTが「8候補になった」と述べた一次情報は確認できませんでした。
撤回投稿の全文を読む。書かれていたのは競争力の話だった
ここが記事の中心です。
HAWKチームは攻撃の効果を自分の指標で追認した
撤回投稿は11行の短い文章です。順序は謝辞、攻撃の確認、回避策の否定、撤回、他候補への激励となっています。
技術的な確認の部分が正確です。Anthropic側は「実効鍵長が半分になる」と説明していましたが、HAWKチームは「格子縮約で必要となるブロックサイズがおよそ半分になる」という別の指標で追認しました。
復元されるのは「（等価な）秘密鍵」という限定も付いています。元の秘密鍵そのものではなく、同じ働きをする鍵という意味です。
回避策は2つ検討され、どちらも競争力を失うとされた
そして撤回の直接の論拠がここです。チーム自身が検討して否定した回避策は2つでした。
- パラメータの倍増
- より高いランクのモジュールへの移行
いずれも「HAWKを競争力のないものにする」と断じられています。
なぜそうなるのかは、HAWKの売りを見ると分かります。公式サイトの数字では、HAWK-512は秘密鍵184バイト、公開鍵1024バイト、署名555バイトという小ささが特徴でした。
鍵の大きさを倍にすれば、この小ささという長所が消えます。安全性は回復しても、標準化候補として選ばれる理由がなくなる。だから直すのではなく降りるという判断になりました。
Anthropicのブログも、撤回の約17時間前にこの帰結を先取りしていました。「HAWKの鍵サイズを倍にすることは、この方式を魅力的なPQC署名候補にしている理由の多くを消してしまう」と書かれています。
撤回の36分前、攻撃と無関係な弱点が指摘されていた
見落とせない投稿がもう1つあります。
撤回の36分前、別の参加者が攻撃とは無関係な理由でHAWKの見通しの悪さを列挙していました。指摘は3点です。
- 中間のセキュリティレベルが欠けている
- HAWK-1024は公開鍵と署名の合計サイズがML-DSA-44とほぼ同じ（署名単体では半分だが）
- それはHAWK-1024が128ビットに対して良好な余裕を持つ前提だが、それは「ありそうにない」
1つ目は公式のパラメータ表で裏付けられます。HAWKが用意していたのはLevel 1とLevel 5の2種類だけで、その中間のLevel 3が存在しません。
つまりAnthropicの攻撃は、すでに薄かったHAWKのマージンを競争力の閾値の下へ押し出した最後の一押しだった可能性があります。提出チームはこの論点に一切応答していないので、断定はできません。
HAWKとは何だったのか。NISTが格子ベースに課した高いハードル
HAWKがなぜ注目されていたのかを押さえると、撤回の意味が変わります。
署名候補がゼロになった空白を埋める公募だった
NISTのポスト量子暗号の標準化では、2024年8月13日に3つの規格が公表されています。FIPS 203（ML-KEM、鍵カプセル化）、FIPS 204（ML-DSA、署名）、FIPS 205（SLH-DSA、署名）です。NISTはこれらについて「今すぐ使えるし、使うべきである」と書いています。
ただし問題が残りました。公募文書の背景説明にこうあります。「SPHINCS+を除き、これらの方式はすべて構造化格子に関わる問題の計算量的な困難性に基づいている」。
さらに第4ラウンドには鍵カプセル化の候補が残った一方、署名の候補は1件も残らなかったとされています。この空白を埋めるために、追加署名の公募が行われました。
格子ベースはDilithiumとFalconの両方を上回る必要があった
ここが重要です。公募文書は格子ベースの提案に対して、明示的に高いハードルを課していました。
原文はこうです。「NISTは構造化格子ベースの追加提出も受け付けるが、ポスト量子署名標準を多様化させる意図を固めている。したがって、構造化格子ベースの署名提案は、標準化対象として検討されるためには、関連用途においてCRYSTALS-DilithiumおよびFALCONを大幅に上回る性能を示すか、実質的な追加のセキュリティ特性を保証する必要がある」。
評価基準はさらに非対称です。格子ベースはDilithiumとFalconの両方に対して少なくとも1つの大きな性能上の優位を示すべきとされ、非格子ベースはSPHINCS+に対して1つでよいとされています。
ただしHAWKが「唯一」だったのは第2ラウンド以降です。第1ラウンドで受理された40候補のうち格子ベースの署名は7件あり、HAWKはそのうち第2ラウンドへ進んだ1件でした。以降、NISTの第2ラウンドと第3ラウンドのページで、格子ベース署名の表はHAWKの1行だけになっています。
HAWKの売りは小ささと速さだった
では何が「大幅に上回る性能」だったのか。
HAWKが依拠していたのは格子同型問題という数学的な問題で、ML-DSAやFalconとは別系統です。公式が挙げていた長所は、署名の小ささと、浮動小数点演算を必要としない実装のしやすさでした。
2023年の提出から2026年7月の撤回まで、約3年の評価期間でした。その間に第1ラウンドの40候補から第2ラウンドの14候補へ絞られ、第3ラウンドまで残っていた方式です。
攻撃の中身。効いたのは複素共役ではない対称性だった
技術的な話ですが、噛み砕けば筋は追えます。
見つかったのは円分体のガロア対称性だった
Claudeが見つけたのは、HAWKが使う数学的な構造に隠れていた対称性です。
論文の説明を平たく言うと、こうなります。HAWKは円分体という数の世界の上に鍵の格子を作ります。この世界には対称性を表す変換がいくつかあり、これまでの解析はそのうち「複素共役」という1つだけを使ってきました。
Claudeが使ったのは別の対称性です。論文はその対称性が固定する部分の世界を、HAWKの半分のサイズのパラメータが土台にしている世界だと明記しています。
ただしコストが半分になる理由はそこではありません。論文が原因として挙げているのは、この対称性から作られる格子の「ランク」が、複素共役を使った場合の3n/2ではなくnで済むことです。論文は3つ目の対称性でも同じランクになると述べており、そちらが固定する世界は半分のパラメータの世界ではありません。
つまり効いているのは複素共役以外の対称性であることで、その結果、鍵回復に必要な最短ベクトル問題の次元がn+1からn/2+1へ半減します。これが公式のいう「実効鍵長が半分」の中身です。
実運用パラメータの数字は2の150乗から2の108乗へ
数字の扱いには注意が必要です。
報道でよく見る「2の64乗から2の38乗へ」という数字は、HAWK-256についてのものです。そしてHAWK-256は、論文自身が「挑戦用のパラメータセットであり、仕様書はゲート数を示していない」と書いています。実運用が想定されたパラメータではありません。
さらに両端の出所と意味が違います。2の64乗はHAWKの仕様書がHAWK-256に与えていた全体のビット安全性で、公式ブログもこれを鍵回復攻撃全体の期待コストとして引いています。一方の2の38乗は論文の表の値で、その表の題名は「最短ベクトル問題のオラクル1回呼び出しのコスト」です。
つまり全体のコストと1回あたりのコストを並べた比較になっています。なお論文の同じ表でHAWK-256の行は、Core-SVPというモデルで2の62乗から2の38乗へ、AGPS20のゲート数モデルで2の74乗から2の52乗へと記されています。
実運用を想定したパラメータの数字はこちらです。AGPS’20のゲート数モデルで、HAWK-512は2の150乗から「高々」2の108乗へ、HAWK-1024は2の288乗から「高々」2の182乗へ。
これは証明できる範囲の上界です。論文は同じ節で、仕様書自身の手法に沿った発見的な見積もりとして、HAWK-512で約2の80.8乗、HAWK-1024で約2の146.5乗という、さらに低い値も挙げています。
攻撃は多項式時間ではなく、指数時間の高速化にとどまる
もう一つの限定も押さえておきます。
公式は「この攻撃はHAWKに対して従来知られていたものより速い指数時間の攻撃であり、多項式時間では動かない」と明記しています。
暗号が実質的に破れるのは、攻撃が多項式時間で走るときです。指数時間の攻撃が速くなっても、鍵を大きくすれば追いつけます。HAWKが撤回されたのは、追いつくコストが売りを消してしまうからでした。
AIはどこまで自律だったのか。Claudeは最初、取り組みを拒んだ
「AIが自律的に暗号を破った」という要約が、どこまで正確かを見ます。
HAWK側は半自律で、人間の誘導があった
公式の記述は正確です。「Claude Mythos Previewは、エージェント的なハーネスの中で半自律的に、時折の人間の誘導と非技術的な指示を伴って働いた」。
人間の入力の内容も書かれています。アイデアの管理方法や、検証に使うライブラリの助言といったプロジェクト管理に限られたとされ、人間のオペレーターは理論計算機科学の素養はあるが格子暗号の専門家ではないと説明されています。
「完全自律」と書くのは正確ではありません。
なおこのモデルは一般公開されているClaudeではありません。Anthropicが2026年4月7日に公表した、高いサイバー能力を持つ限定提供のモデルです。手元のClaudeが暗号を破れるという話ではありません。
AES側でClaudeは「改善は不可能だ」と主張した
もう一つの成果であるAES側は、公式が「ほぼ完全に自律的」と書いています。ただし人間が送った誘導のメッセージが原文で掲載されています。
そこに面白い記述があります。「当初、ClaudeはAESの暗号解析を改善するのは不可能だと主張して、この問題に取り組もうとしなかった」。
人間が送った1通で方針が変わりました。やる気にさせるところが人間の仕事だったという記録が残っていることになります。
AIが数十時間、人間の検証が数百時間
工程にかかった時間の対比が、この一件のいちばん実務的な情報かもしれません。
HAWK側は「攻撃の発見、開発、検証に合計で約60時間」とされています。検証まで含めた合計です。
AES側は違います。自律稼働でおおむね1週間かけて着想に到達し、その過程で累計10億の出力トークンを費やしたと記述されています。1週間の内訳として、3日間で数億トークンを生成した後にMöbius Bridgeという中核のアイデアに到達し、その数日後に攻撃を精緻化したという経過が書かれています。
費用も「それぞれの成果の開発に約10万ドルのAPI費用」で、2件で各10万ドルです。合計10万ドルではありません。
そして人間側の時間です。AES論文にはこう書かれています。「言語モデルが本論文の中核となるアイデアを出すのに要した数十時間に対し、本論文の著者が確信を持てる程度に結果を検証するには数百時間を要した」。
AIが数十時間、人間の検証が数百時間。ただしこれはAES側の数字です。公式ブログは「HAWKの攻撃は端から端まで実装でき、したがって検証がはるかに容易だった」とHAWK側を対比し、AES側については研究者2名が正しさを確信するまでにほぼ1か月かかったと書いています。
この非対称が、後述する「裁定の作法」の議論に直結します。
HAWK論文にClaudeの名前はない。査読も通っていない
成果の格付けも正確に押さえる必要があります。
著者は2名で、AIの貢献は開示欄に書かれた
HAWK論文の著者はZygimantas Straznickas氏とStephen A. Weis氏の2名で、所属はAnthropicです。
ClaudeもMythosも著者として記載されていません。HAWK論文の本文には「Claude」という文字列が一度も出てきません。
ただしもう1本のAES論文は違います。謝辞に「本論文の技術的成果はClaude Mythos Previewによって行われた」と明記され、Claudeが着想に至った思考の過程も別文書として公開されています。著者欄にClaudeもMythosも入っていない点は、両論文に共通です。
AIの貢献は、末尾の開示欄に書かれています。数学的発見の大半がAI支援であり、人間の著者の貢献は主に指示・整理・検証だったと明記されています。そして「AI支援の仕事は正当な帰属をより難しくする」という一文も添えられています。
初期草稿にRSAのShamir氏らがコメントしていた
2本の主要な論文はいずれもAnthropicのサイトに自社掲載されたPDFで、査読誌や国際会議の掲載表記はなく、arXivやIACR ePrintの登録番号もありません。「査読を通った」と書くことはできません。
ただし専門家のレビューがなかったわけではありません。AES論文の謝辞には、改善の対象となった2013年の先行研究の著者を含む6名が初期草稿へのコメント提供者として挙がっています。その中にはRSA暗号の「S」であるAdi Shamir氏の名前もあります。
さらにpqc-forumでは第三者が独立に確認したと表明し、HAWKチーム自身も攻撃の効果を確認しました。査読は経ていないが、公開の場で確認が行われたという位置づけが正確です。
コードはGitHubで公開されている
再現のための材料も出ています。GitHubにAES、HAWK、LEAの3構成でコードが公開されており、ライセンスはApache 2.0です。
説明書きには「研究成果物。メンテナンスせず、コントリビューションも受け付けない」と明記されています。
AESは破られていない。7ラウンド版が対象で完全に非実用的
ここは誤読が最も起きやすい部分なので、公式の限定をそのまま並べます。
攻撃の前提は2の105乗個の選択平文だった
公式は「我々の2つ目の攻撃はAESの縮約版に対するものであり、完全な暗号を破るものではない」と書いています。
対象は通常10ラウンドの処理を行うAES-128を、7ラウンドに削減した研究用の版です。
そして前提が現実的ではありません。攻撃者が固定された未知の鍵で2の105乗個の選択平文を暗号化させられる、という条件が必要です。公式はこの前提を示した直後に「したがってこの攻撃は完全に非実用的である」と書いています。
改善の中身も正確に書くと、先行研究の2の99乗という実行時間を、データ量は同じまま2の89.3乗から2の91.4乗へ下げたというものです。報道で見る「200倍から800倍」は、この差を倍率で言い直したものです。
実行して検証する見込みはないと論文が書いている
HAWK側との決定的な違いがここです。
AES論文自身がこう書いています。「最終的な成果物は2の89乗以上の時間がかかる攻撃なので、実際に端から端まで走らせて検証する見込みはない」。
ただしAES側にも走る実装はあります。論文は縮小版の暗号に対して鍵回復を端から端まで実装・実行し、7ラウンドAES-128の攻撃についても1単位あたりのコストを実測しています。コードはGitHubで公開されています。
実運用サイズの攻撃を端から端まで走らせられるのはHAWK側だけで、AES側の攻撃そのものは2の89乗以上かかるため走らせられません。この意味で、AES側を「実証された攻撃」と書くことはできません。
外部の評価も限定的です。ジョンズ・ホプキンス大学の暗号研究者で准教授のMatthew Green氏は、AES側の結果を「2013年の先行研究に対する控えめな定数倍の改善」と表現し、速度向上がどれだけ本物かも明らかでないと留保しています。
フルAESの安全余裕は動いていない
最後に、実運用への影響です。
AES論文はフルAESの現況について、最良の単一鍵攻撃が総当たりより約2ビットしか有利でないと記述しています。今回の成果はこの数字を動かしていません。
日常的に使われているAESの安全余裕は、この発表の前後で変わっていないということです。
議論はすでに「AI生成の解析主張をどう裁定するか」へ移った
スレッドを読んで最も印象的だったのが、この論点の移り方です。
触れる証拠を示せ、という作法の提案
攻撃の公表から約7時間後、ある参加者が作法の提案を投稿しました。
「AI支援の暗号解析の実践者には、機械検証可能な証明や、縮小版のターゲットに対する攻撃の実演といった、触れられる証拠を常に示すよう促したい。独立した検証を容易にするものは何でも」。
そしてAnthropicの手法をその範例として名指ししています。HAWK-256を実際に破る実装を付けたことが、評価された点でした。
AI生成の主張を裁く「十戒」が必要だという提起
そしてより制度的な提起をしたのは、独立確認を投稿したのと同じDaniel Apon氏でした。AI生成の暗号解析の主張をどう裁定するかについて、コミュニティ主導の「十戒」が必要だという内容です。
今回の事例が満たしている要件として3点が挙げられています。明快に書かれた論文であること、重大な突破を主張する前に複数の専門家と対話して人間のレビューを経る公開プロセスがあること、そして監査・実行・改変が可能な再現性のあるオープンソースのコードがあることです。
同時に警告も書かれています。作法を明文化しなければ、AI由来の数学的な主張の量に人間の側が押し流され、どの話題でも合意に到達できなくなる。そしてあらゆる主張に自分でAI検証器を回すトークン代は、どこも払えないという検証コストの問題にも踏み込んでいます。
同じスレッドの別の参加者は、機械検証済みの証明は助けになるが、その下の信頼計算基盤、証明が置く仮定、主張の実際の意味論は、結局のところ人間が検証可能でなければならないと補足しました。
NISTはAIについて何も言っていない
一方で、標準化機関の反応は静かでした。
撤回の約5時間後にNISTが投稿した文面には、HAWKチームへの謝意とページを更新した事実だけが書かれています。AIの利用の是非にも、プロセスの見直しにも触れていません。
2026年7月30日の時点で、AIによる暗号解析をどう扱うかについて、標準化機関の公式な方針は示されていないということになります。
日本は署名欄が空欄のまま2035年に向かっている
ここが日本の読者にいちばん効く部分です。
CRYPTRECのPQCリストに署名は載っていない
日本にも動きがあります。2026年3月30日、CRYPTREC暗号リスト（電子政府における調達のために参照すべき暗号のリスト）に「耐量子計算機暗号（PQC）リスト」が新設されました。策定主体はデジタル庁・総務省・経済産業省です。
政府調達の推奨暗号にPQCが載ったのは、これが初めてです。
ただし中身を見ると穴があります。公開鍵暗号の【署名】欄は「－」で空欄のままです。載っているのは鍵共有のML-KEM-768とML-KEM-1024、共通鍵暗号のAES-192とAES-256、そしてハッシュ関数のSHA-384、SHA-512、SHA3-384、SHA3-512だけです。
つまり日本の政府調達で「量子計算機への耐性が確認された」と公式に認められた署名方式は、現時点でゼロです。
理由も文書に書かれています。FIPS 204（ML-DSA）とFIPS 205（SLH-DSA）の安全性評価が2026年度中に終了予定で、そのために「耐量子計算機暗号（PQC）リスト検討タスクフォース」が新設され、2026年度末までを目途に検討が進められています。
今回の一件は、日本がまさに埋めようとしている穴が署名であり、唯一PQC耐性ありと明記した対称暗号がAESだという状況を、正面から突いた形になります。
移行期限は2035年、工程表は2027年3月
期限も定まっています。2025年12月23日に閣議決定されたサイバーセキュリティ戦略が、政府機関等のPQC移行を「原則として、2035年までに行うことを目指し」と定めました。閣議決定文書としては初めての明記です。
ただし文言の初出ではありません。約1か月前の2025年11月の中間とりまとめに、ほぼ同一の文が既に書かれていました。11月に示された方針が、12月の閣議決定で政府全体の方針として確定したという順序になります。
ただし工程表はまだありません。同戦略は2026年度に工程表を策定するとしており、2026年3月の幹事会に提出されたスケジュール案では、令和8年度中の幹事会で工程表の案を複数回検討し、令和9年（2027年）3月の連絡会議に上げる日程になっています。
2027年3月は2026年度の内側なので、戦略の約束どおりの日程です。遅れているわけではありません。
しかも移行のルールブック自体が、まだ書き換わっていません。政府機関等のサイバーセキュリティ対策のための統一基準と、対策基準策定のためのガイドラインを検索した限り、「量子」「PQC」「ML-KEM」「2035」という文字列がいずれも一度も現れません。
2035年を選んだ理由も、日本独自のリスク分析ではありませんでした。政府の中間とりまとめは諸外国に比べて移行が遅れれば安全保障上の支障が想定されるという国際協調の論理で説明しています。
政府文書は8か月前にこう警告していた
そして最も印象的なのが、この記述です。
2025年11月の中間とりまとめに、こう書かれています。「現在主流の暗号技術とは違い、耐量子計算機暗号（PQC）に特化した暗号解読手法や安全性評価の蓄積、実装脆弱性を回避するための耐量子計算機暗号（PQC）を実装する際のセキュリティ対策（例えば、サイドチャネル攻撃対策）の蓄積といったものが十分に進んでいるとはいえない状況である点にも留意する必要がある」。
今回のHAWK撤回の約8か月前の文章です。
ただし両者を直接つなげるのは慎重にすべきです。HAWKはCRYPTREC暗号リストにもFIPSにも一度も載っていない候補で、この懸念が想定していた移行対象ではありません。公表したAnthropic自身も、2件の成果を「想定された結果」であり「標準化プロセスが意図どおり働いた」ものと位置づけています。
実装の進み方も分かっています。情報通信研究機構が2026年3月の幹事会に提出した実測調査では、同機構内ネットワークでPQCの提案率が42.5%、実際に選択された率が11.8%でした。クライアントが先行してサーバーが追いついていない状態で、使われている方式は99.7%がML-KEM-768のハイブリッドです。
ドメイン別では政府・教育系が596、金融系が412にとどまり、報告は「金融、政府のドメインは少ない」と明記しています。
この一件が残した問い：検証する側のコストは誰が払うのか
撤回スレッドを読み終えて、残ったのは1つの問いでした。
AIが数十時間で出した主張を、人間が数百時間かけて検証する。AES側ではそうなりました。研究者2名が正しさを確信するまでにほぼ1か月かかっています。
HAWK側は事情が違います。端から端まで走る実装があったため、公式が言うとおり検証はずっと容易でした。だからHAWKチームも第三者も、公開の場で1日のうちに確認できました。
しかしこの比率のままAI由来の主張が増えれば、検証する側が先に尽きます。スレッドで提起された「あらゆる主張に自分でAI検証器を回すトークン代は、どこも払えない」という指摘は、そこを突いています。
暗号は「何年も専門家に叩かれて生き残った」という履歴を安全性の根拠にしてきました。HAWKは約3年その過程にいて、3週間前には人間の多項式時間攻撃の主張を生き延びていました。その履歴の意味が、検証の速度差によって変わりつつあります。
日本の日程も、この問いと無関係ではありません。署名方式の政府調達の推奨が定まるのは2026年度末、工程表は2026年度内、移行期限は2035年です。期限までには約8年あります。
ただし移行期限の2035年は、署名方式の推奨が定まる前に閣議決定されました。政府自身が8か月前に、PQCに特化した解読手法や安全性評価の蓄積が十分でないと留意を求めています。今回の撤回は標準化前の候補に対するもので、公表元も「意図どおり」と位置づけていますが、評価の蓄積がこれから積み上がる領域で期限だけが先に決まっているという構図は残ります。
まとめ：HAWK撤回とClaudeの暗号解析の要点
最後に、この記事の要点を整理します。
- 2026年7月28日にAnthropicがClaudeによる暗号解析の成果を公表し、翌29日にNISTのポスト量子署名候補HAWKが標準化プロセスから撤回された
- 撤回の理由は「破られたから」ではない。提出チームはpqc-forumで「パラメータの倍増やより高いランクのモジュールへの移行といった素朴な回避策は、HAWKを競争力のないものにする。よって撤回する」と述べた
- HAWKチームは攻撃の効果を「（等価な）秘密鍵を復元するために格子縮約で必要となるブロックサイズをおよそ半分にする」と自分の指標で追認した
- 撤回投稿は「HAWKの暗号解析へのAnthropicの貢献と、全期間にわたって連絡を取り合ってくれたことに感謝したい」という謝辞から始まり、非難の語彙は使われていない
- 時系列は22時間。7月29日2時06分に攻撃が公表され、6時54分にNISTのPQCプロジェクトでML-KEM/ML-DSA選定時の格子暗号の主題専門家を務めたDaniel Apon氏が独立確認、19時02分に撤回、7月30日0時09分にNISTが報告（いずれも日本時間）
- 撤回の約36分前に、攻撃とは無関係な競争力の問題が指摘されていた。中間セキュリティレベルの欠落と、HAWK-1024の公開鍵＋署名の合計がML-DSA-44とほぼ同じである点
- 同じ日にGPT-5.6による並行成果も報告された。次元3n/4の最短ベクトル問題を解く別アプローチで、Codexで実装された
- NISTの公募文書は格子ベース提案に高いハードルを課していた。「DilithiumおよびFALCONを大幅に上回る性能」または「実質的な追加のセキュリティ特性」が必要。第1ラウンドでは格子ベースの署名が7件受理され、第2ラウンド以降に残った格子ベースはHAWKだけだった
- 攻撃が突いたのは円分体の対称性。論文はその対称性が固定する世界をHAWKの半分のサイズのパラメータの世界だとしているが、コストが半減する原因として挙げているのは格子のランクが3n/2ではなくnで済むことで、3つ目の対称性でも同じランクになるとしている
- 「2の64乗から2の38乗」はHAWK-256の数字で、論文自身が「挑戦用のパラメータセット」と明記している。しかも2の64乗は仕様書が与えた全体のビット安全性、2の38乗は最短ベクトル問題のオラクル1回分のコストで、出所と意味が違う
- 実運用想定パラメータでは、HAWK-512が2の150乗から「高々」2の108乗へ、HAWK-1024が2の288乗から「高々」2の182乗へ。証明できる範囲の上界で、論文は発見的な見積もりとして約2の80.8乗と約2の146.5乗も挙げている
- 攻撃は多項式時間ではなく指数時間の高速化にとどまる
- HAWK側は半自律で人間の誘導があり、AES側は「ほぼ完全に自律的」だがClaudeは当初「AESの暗号解析の改善は不可能だ」と主張して取り組みを拒んだ
- 工程はHAWK側が発見から検証まで合計約60時間、AES側が自律稼働おおむね1週間で累計10億の出力トークン。費用は各成果あたり約10万ドル
- 発見したのは一般公開されていない限定提供のモデルで、2026年4月7日に公表されたもの
- 論文の著者は2名で、ClaudeもMythosも著者欄に記載されていない。HAWK論文の本文には「Claude」が一度も出てこない一方、AES論文の謝辞には「本論文の技術的成果はClaude Mythos Previewによって行われた」と明記されている。AIの貢献は開示欄に書かれ、「AI支援の仕事は正当な帰属をより難しくする」と述べられている
- 2本の主要論文は査読を経ていない自社掲載PDF。ただしAES論文の謝辞にはRSAのAdi Shamir氏を含む6名が初期草稿へのコメント提供者として挙がり、コードはApache 2.0でGitHubに公開されている
- AESは破られていない。対象は通常10ラウンドのAES-128を7ラウンドに削減した研究用の版で、公式が「完全に非実用的」と明記。前提は2の105乗個の選択平文で、論文自身が「実際に走らせて検証する見込みはない」と書いている
- フルAESについて、最良の単一鍵攻撃が総当たりより約2ビットしか有利でないという現況は動いていない
- 議論は22時間で「AI生成の解析主張をどう裁定するか」へ移った。触れる証拠を求める提案と、コミュニティ主導の「十戒」の提起が出た一方、NISTはAIについて何も述べていない
- 日本は2026年3月30日にCRYPTREC暗号リストへPQCリストを新設したが、署名欄は「－」で空欄。理由はFIPS 204/205の安全性評価が2026年度中に終了予定のため
- 移行期限は2025年12月23日閣議決定のサイバーセキュリティ戦略で「原則として2035年まで」（約1か月前の中間とりまとめに同一の文言が先行）。工程表の案は令和8年度中の幹事会で検討され2027年3月の連絡会議に上がる予定で、これは2026年度内＝戦略の約束どおり。ただし統一基準とガイドラインには「量子」「PQC」「2035」の文字列が一度も現れない
- 政府の中間とりまとめは8か月前に「PQCに特化した暗号解読手法や安全性評価の蓄積が十分に進んでいるとはいえない」と留意を求めていた。ただしHAWKはCRYPTREC暗号リストにもFIPSにも載っていない候補で、Anthropic自身は今回の成果を「想定された結果」「標準化プロセスが意図どおり働いた」と位置づけている
破られたのではなく、直すコストが見合わなくなって消えた。あなたの組織が使う暗号は、どちらの理由で入れ替わるでしょうか。
よくある質問（FAQ）
Q1. いま使っている暗号は危ないのですか？
A. 危なくありません。撤回されたHAWKは標準化の候補にすぎず、実運用のシステムには配備されていません（参照実装はNISTへの提出パッケージに含まれています）。もう一つの成果であるAESについては、対象が通常10ラウンドのAES-128を7ラウンドに削減した研究用の版であり、公式が「完全な暗号を破るものではない」「完全に非実用的である」と明記しています。攻撃の前提も、固定された未知の鍵で2の105乗個の選択平文を暗号化させられるという現実的でない条件です。フルAESについては、最良の単一鍵攻撃が総当たりより約2ビットしか有利でないという現況が動いていません。日常的に使われている暗号の安全余裕は、この発表の前後で変わっていません。すでに標準化されたML-KEMやML-DSAへの影響も、発見者自身が明示的に否定しています。
Q2. AIが自律的に暗号を破ったということですか？
A. 正確ではありません。HAWK側について公式は「エージェント的なハーネスの中で半自律的に、時折の人間の誘導と非技術的な指示を伴って働いた」と記述しています。AES側は「ほぼ完全に自律的」とされますが、人間が送った誘導のメッセージが原文で掲載されており、当初Claudeは「AESの暗号解析を改善するのは不可能だ」と主張して問題に取り組もうとしなかったことも書かれています。さらに検証の工程が非対称です。言語モデルが中核のアイデアを出すのに要したのは数十時間ですが、著者が確信を持てる程度に結果を検証するには数百時間を要したと論文に書かれています。なお発見したのは一般公開されているClaudeではなく、2026年4月に公表された限定提供のモデルです。
Q3. 日本の組織は何をすればいいのですか？
A. まず前提として、2025年12月23日に閣議決定されたサイバーセキュリティ戦略が、政府機関等のポスト量子暗号への移行を「原則として2035年まで」と定めています。工程表の案は令和8年度中の幹事会で検討され、2027年3月の連絡会議に上がる予定です。これは2026年度内なので戦略の約束どおりですが、政府機関等の統一基準やガイドラインにはまだ「量子」「PQC」という文字列が現れていません。CRYPTREC暗号リストのPQCリストも、鍵共有のML-KEMは載っている一方で署名欄は空欄のままです。したがって現時点で確実に言えるのは、署名についての政府調達の推奨がまだ定まっていないということです。実務としては、自組織が使っている暗号の棚卸しと、保護期間が長い情報の洗い出しから始めるのが順序になります。同戦略の脚注も、特に機微な情報や保護期間が非常に長期になる情報については、より早期の移行を含めてシステムごとに検討するよう求めています。
筆者より
この記事を書くために、pqc-forumのスレッド12通を1つずつ読みました。技術的な内容は正直かなり難しく、円分体やガロア対称性のあたりは何度も読み返しました。
それでも印象に残ったのは、数式ではなく撤回投稿の書き方でした。自分たちの方式を終わらせる文章が、攻撃した側への謝辞から始まっていたことです。非難の言葉が一つもなく、技術的な確認を自分の指標で述べ、延命策を計算して降りると書いてある。3年かけた仕事を畳む文章としては、驚くほど静かでした。
もう一つ考えたのは、検証の非対称です。AES側では、AIが数十時間で出した主張に人間が数百時間かけて追いつきました。HAWK側は走る実装があったので検証は容易でしたが、同じ比率で主張が増えたらどうなるのか。スレッドで「トークン代を誰も払えない」と書かれていたのが、いちばん現実的な警告に思えました。事実関係の誤りや新しい情報にお気づきの点があれば、コメント欄で教えてください。
参考資料
- Anthropic公式リサーチ「Discovering cryptographic weaknesses with Claude」（2026年7月28日）
- Anthropic公開論文「HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1」（Zygimantas Straznickas氏・Stephen A. Weis氏／自社掲載PDF・査読なし）
- Anthropic公開論文（AES／Möbius Bridge・自社掲載PDF・査読なし）およびその思考過程の付属文書
- Anthropic公式（2026年4月7日のモデル公表および同年6月2日のアクセス拡大の発表）
- NIST運営メーリングリスト pqc-forum スレッド「HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1」（全12通／2026年7月28日〜29日）
- NIST CSRC「Round 3 Additional Signatures」（2026年7月29日更新）／「Post-Quantum Cryptography: Additional Digital Signature Schemes」プロジェクトページ／Standardization ページ
- NIST「Call for Additional Digital Signature Schemes for the Post-Quantum Cryptography Standardization Process」（2022年9月）
- NIST IR 8610（追加署名 第2ラウンド報告／2026年5月）
- NIST FIPS 203（ML-KEM）／FIPS 204（ML-DSA）／FIPS 205（SLH-DSA）（いずれも2024年8月13日公表）／NIST「Post-Quantum Cryptography」プロジェクトページ
- HAWK公式サイト（提出チーム一覧・パラメータ表・タイムライン。2026年7月30日時点で撤回は未反映）
- HAWK公式仕様書（NIST追加署名 第1ラウンド提出版）
- eprint 2026/1318「Cryptanalysis of HAWK: a Guessing Game」（多項式時間攻撃を主張した先行プレプリント）
- Matthew Green氏（ジョンズ・ホプキンス大学准教授）ブログ「Some thoughts about Anthropic’s new cryptanalysis results」（2026年7月29日）
- GitHub「anthropics/cryptography-research-demo」（Apache 2.0）
- CRYPTREC「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」LS-0001-2022R2（最終更新 令和8年3月30日／デジタル庁・総務省・経済産業省）
- CRYPTREC「CRYPTREC暗号リストのPQC対応に関する検討課題」MT-1501-2026
- CRYPTREC「暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準」LS-0003-2022R1
- 内閣官房 国家サイバー統括室「サイバーセキュリティ戦略」（令和7年12月23日閣議決定）
- 内閣官房「政府機関等における耐量子計算機暗号（PQC）利用に関する関係府省庁連絡会議」中間とりまとめ（令和7年11月）／第5回幹事会 資料（今後のスケジュール案／情報通信研究機構によるPQC実装・活用状況調査）
- 内閣官房「政府機関等のサイバーセキュリティ対策のための統一基準」および「政府機関等の対策基準策定のためのガイドライン」（いずれも令和7年度版）
この記事が気に入ったら
フォローしてね！
お気軽にコメントどうぞ