レポート

候補者の失墜：クロードがHAWKで発見したこと

by Simon McCorkindale

7月28日、Anthropicはそのモデル Claude Mythos Preview を用いて得た2件の暗号解析結果を公開した。一つはAESの縮小ラウンド変形に対する攻撃を改良したもので、理論的には興味深いが実用上は無関係であり、本稿の主題ではない。もう一つは、NISTがわずか10週前に第3ラウンドの評価へ進めた耐量子署名方式HAWKに対する真の問題である。この重大性を理解するには、NISTのプロセスとは何か、そしてHAWKがその中でどの位置にいるかを知ることが助けになる。

一つではなく、二つのプロセス

NISTは2016年以来、RSAおよび楕円曲線暗号を置き換えるための公開コンペティションを実施してきた。これまでに3つの完成した標準を生み出した。また、2022年に開設された「オンランプ」と呼ばれる第2の独立したコンペティションを純粋にデジタル署名を対象として実施しているが、これが絶えざる混乱の元となっている。第3ラウンド候補に関する見出しを読んだ人々が、それが自分たちが使用しているものに関係すると思い込んでしまうからだ。実際にはそうではない。

主要なプロセス [1][6]：

日付マイルストーン
2016年12月提案募集
2017年12月82件の応募受付；69件が第1ラウンドへ採択
2019年1月26件が第2ラウンドへ進出
2020年7月7件のファイナリストと8件の補欠が第3ラウンドへ進出
2022年7月Kyber、Dilithium、FALCONおよびSPHINCS+が選定；鍵交換のみを対象とした第4ラウンドが開設
2024年8月FIPS 203、204および205が公開
2025年3月HQCが第2の非格子型鍵交換アルゴリズムとして選定

これまでに生み出された成果：

標準名原案用途数学的基盤状況
ML-KEMKyber鍵交換構造格子最終 — FIPS 203
ML-DSADilithium署名構造格子最終 — FIPS 204
SLH-DSASPHINCS+署名ハッシュ関数最終 — FIPS 205
FN-DSAFALCON署名NTRU格子草案 — FIPS 206、最終版は2026〜27年予定
HQCHQC鍵交換誤り訂正符号選定のみ；最終標準は2027年予定
LMS / XMSS—署名（ステートフル）ハッシュ関数最終 — SP 800-208、専門的用途

ここで区別しておくべき用語が二つある。鍵交換アルゴリズム——正式にはKEM（鍵カプセル化メカニズム）——とは、二者が公開チャネル上で共有秘密に合意する方法であり、あらゆるTLS接続の最初の一手である。これが問題の緊急性の高い半分であり、なぜなら今日傍受されたトラフィックは、鍵交換が破られた暁に数年後に復号できてしまうからだ。デジタル署名アルゴリズムは、何かを誰が書いたか、そして改ざんされていないことを証明する：証明書、コード署名、ファームウェアがその対象だ。事後に署名を偽造することは通常攻撃者にとって無価値であるため、署名は問題のゆっくりと燃える半分——ルート証明書やファームウェアのトラストアンカーのように有効期間が数十年に及ぶものを除いて——である。

オンランプが存在するのは、ML-KEMとML-DSAの両方が構造格子の上に構築されているからだ。格子数学がいつか破られれば、両者は一緒に崩壊する。NISTは異なる基盤に立つ署名方式を求めた [2][3]：

日付マイルストーン
2022年9月追加署名方式の募集
2023年6月40件が第1ラウンドへ採択
2024年10月14件が第2ラウンドへ進出
2026年5月14日9件が第3ラウンドへ進出；CROSS、LESS、Mirath、PERKおよびRYDEが脱落
2026年8月14日第3ラウンド仕様変更の締め切り
〜2028年第3ラウンド終了

9件の生き残り [4][5]：

候補系統基盤
HAWK格子格子同型問題、整数のみの演算を使用
SQIsign同種写像超特異楕円曲線間の写像；非常に小さな署名
FAESTMPC-in-the-HeadAESに関する命題の証明
MQOMMPC-in-the-Head多変数二次問題
SDitHMPC-in-the-Headランダム線形符号のシンドローム復号
UOV多変数古典的なアンバランスド・オイルアンドビネガー構成
MAYO多変数より小さな公開鍵のために再構成されたUOV
QR-UOV多変数商環上のUOV、奇数標数
SNOVA多変数積極的な鍵圧縮を施したUOV

その9件のうち一つが格子ベースである。それがHAWKだ。

HAWKとは何か、そして何が問題だったか

HAWKのセールスポイントはエレガンスにあった。FIPS 206となる方式FALCONは、その署名ステップが定数時間化することが非常に難しい浮動小数点演算を必要とするため、安全な実装が悪名高いほど難しい。HAWKは整数のみを使って同じ処理を行い、数倍高速に署名し、FALCONより約15%小さな署名を生成する [7]。制約のあるハードウェア——スマートカード、IoT、セキュアエレメント——にとって、その組み合わせは真に魅力的である。

その安全性は格子同型問題に依拠している。HAWKの秘密鍵は次元2nの格子に対する「綺麗な」基底であり、nは方式の次数パラメータ：実際のパラメータセットでは512または1024である。公開鍵は同じ格子の醜く乱雑な記述である。秘密鍵を復元するということは、醜い記述から綺麗な記述へと辿り着くことを意味し、そのコストはnとともに指数関数的に増大する。

Mythos Previewを使いながら約60時間にわたり、Anthropicの研究者はHAWKの格子が誰も利用していなかった対称性——非自明な自己同型——を含むことを発見した。以前の研究では、そのような対称性がより速い攻撃を可能にすることが示されていたが、それがHAWKの特定の格子に存在するかどうかは未解決のままであった。それは存在する。この対称性により、攻撃者は探索空間を自身の内側に折り畳み、おおよそ半分の作業をスキップできる——具体的には、次数nのHAWK格子への攻撃が、以前の次数n/2の格子への攻撃と同程度のコストになったという意味において。

数字を正直に読む

Anthropicの要約では攻撃が「実効鍵長を半減させる」と述べており、報道もそれを繰り返した。この表現が混乱を引き起こしているので、解きほぐす価値がある。

何ものの長さも半減してはいない。暗号学者は強度をセキュリティのビット数で表すが、これはサイズの測定ではない。ある方式が150ビットのセキュリティを提供するとは、それに対する最良の既知攻撃がおよそ2^150回の基本演算を必要とすることを意味する。鍵が何バイト占有するかについては何も言っていない——HAWKの公開鍵はいずれにせよおよそ1キロバイトである。

つまり、その数値は演算回数である。 AnthropicはHAWK-256に対する攻撃をエンドツーエンドで実証したが、完全な鍵復元の期待コストは約2^64回の演算から約2^38回へと低下する [8]。これはおおよそ1800京から約2750億への低下——「誰もやらない」から「まともなデスクトップで数時間」へ——である。ただしHAWK-256は、まさにこの目的のためにHAWKチームが公開した意図的な練習用ターゲットであり、実際の展開オプションではなかった。実際のパラメータセットははるかに良好な結果を示す。論文の技術的な報道によれば、HAWK-512は2^150から2^108へ、HAWK-1024は2^288から2^182へ低下するとされている [9]。どちらも、現存するまたは存在し得るものの手の届かないところに依然として留まる。攻撃は速くなったが、依然として指数関数的であり——これは突破口ではない。

ダメージは商業的なものであり、壊滅的なものではない。設計者が意図したセキュリティマージンを回復するには、HAWKはnを倍増させなければならない。鍵と署名のサイズはnに比例して拡大するため、鍵と署名も倍増する——そして、FALCONよりHAWKを選ぶ論拠の全てがコンパクトさにあった。nを倍増させたHAWKは送信が遅くなり、証明書チェーンが大きくなり、競合する方式に敗れてしまう。実装の簡潔さは保たれており、それは真の美徳であるが、NISTへの論拠としてははるかに薄いものになる。第3ラウンドの仕様変更の締め切りは2026年8月14日である。

ここから読み取れること

ここにあるものはあなたが運用するシステムには何ら影響しない。HAWKはどこにも展開されていない；パッチも、ベンダーとの協議も不要だ。ML-KEM、ML-DSAおよびSLH-DSAは影響を受けず、Anthropicはその技術が格子暗号一般ではなくHAWKに特有のものであると明示している。

これはまた、率直に言って、設計通りにプロセスが機能していることでもある。NISTは候補仕様を公開する——まさに、誰かが展開する前に人々がそれらを攻撃するために；SIKEは前回のコンペティション中にラップトップで1時間以内に破られ、システムはそれを吸収した。HAWKは2ラウンドと2年間の専門家による精査を生き延びたが、これはその精査の質というよりも、飽きることのないレビュアーを追加することの価値を示している。

じっくりと考える価値があるのは経済性だ。発見には60時間と約10万米ドルの計算コストがかかり、格子の専門家ではない研究者が指揮した。検証には発見よりもかなり長い時間がかかった。モデルが改善されるにつれてその比率が保たれるなら、暗号解析の制約は専門的な攻撃者の供給から専門的なレビュアーの供給へと移行する——そして、「まだ誰も何も見つけていない」という強みで生き延びてきたすべての方式が、予期しなかった再考を迫られる。

最後まで残ることに賞はない。

KaysecはニュージーランドのQuantumテクノロジー企業Spinsphereのポスト量子セキュリティ部門です。暗号資産のインベントリ管理、HNDLリスク評価、TLS設定監査、PQC移行計画など、組織の支援を行っています。お問い合わせはこちら。

参考文献

  1. NIST CSRC、Post-Quantum Cryptography Standardization Process、2026年6月16日更新。https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization
  2. Alagic, G. ほか、Status Report on the First Round of the Additional Digital Signature Schemes for the NIST Post-Quantum Cryptography Standardization Process、NIST IR 8528、2024年10月。https://csrc.nist.gov/pubs/ir/8528/final
  3. NIST CSRC、Nine Candidates Advance to the Third Round of the Additional Digital Signatures for the PQC Standardization Process、2026年5月14日。https://csrc.nist.gov/News/2026/nist-advances-9-candidates-to-the-3rd-round-of-pqc
  4. Moody, D. ほか、Status Report on the Second Round of the Additional Digital Signature Schemes for the NIST Post-Quantum Cryptography Standardization Process、NIST IR 8610、2026年5月14日。https://doi.org/10.6028/NIST.IR.8610
  5. Abdel-Kareem, M.、「NIST、ポスト量子デジタル署名候補9件を第3評価ラウンドへ進める」、Quantum Computing Report、2026年5月18日。https://quantumcomputingreport.com/nist-advances-nine-post-quantum-digital-signature-candidates-to-third-evaluation-round/
  6. NIST、「NISTがポスト量子暗号化の第5アルゴリズムとしてHQCを選定」、2025年3月11日。https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption
  7. Ducas, L. ほか、「Hawk: Module LIP Makes Lattice Signatures Fast, Compact and Simple」、ASIACRYPT 2022。
  8. Anthropic Frontier Red Team、「Claudeによる暗号の脆弱性発見」、2026年7月28日。https://www.anthropic.com/research/discovering-cryptographic-weaknesses
  9. The Hacker News、「Claude AIがポスト量子テストスキームを解読し、より高速な7ラウンドAES攻撃を発見」、2026年7月29日。https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html