Claudeの暗号解析でHAWKがNIST候補から撤回、7ラウンドAES攻撃も高速化

Anthropicは、AIモデル「Claude Mythos Preview」が、耐量子デジタル署名方式の候補だったHAWKと、処理回数を減らしたAES-128に対する既存の攻撃を改善したと発表しました。完全なAESや現在稼働しているシステムが破られたわけではありませんが、HAWKは発表翌日の2026年7月29日にNISTの標準化プロセスから撤回されています。

The Hacker News：Claude AI Just Cracked a Post-Quantum Test Scheme and Found a Faster 7-Round AES Attack

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

NISTの耐量子デジタル署名方式の標準化候補だった「HAWK」が研究対象です。HAWKは2026年7月29日に候補から撤回されています。
実証された鍵回復攻撃は、暗号解析用に用意された小規模なチャレンジパラメータ「HAWK-256」を対象としています。
HAWKの実際のセキュリティレベル向けパラメータであるHAWK-512とHAWK-1024は、今回の手法でも現実的な攻撃対象にはなっていないと報告されています。
AESに関する研究は、10ラウンドで構成される通常のAES-128ではなく、7ラウンドに縮小した研究用の構成を対象としています。
今回の研究成果にCVE番号やCVSSスコアは付与されていません。一般的なソフトウェア製品の実装脆弱性ではなく、暗号方式に対する研究成果であるためです。

推奨される対策

今回の発表だけを理由に、AESを利用する製品やシステムの緊急変更を行う必要はないとされています。
「AES-128全体が解読された」という誤った情報として社内外へ伝達しないよう、対象が7ラウンドの縮小版であることを明確にしてください。
HAWKを研究、評価、試験導入している組織は、NIST標準化プロセスから撤回された事実を踏まえ、採用計画や設計資料を見直してください。
耐量子暗号への移行計画では、NISTが正式に標準化した方式と、評価中または撤回された候補方式を区別して管理してください。
AIが生成した暗号解析結果を利用する場合は、実装コード、前提条件、計算量、再現性について人間の専門家による検証を行ってください。

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

HAWK：格子暗号を基盤とする耐量子デジタル署名方式です。NISTの追加デジタル署名方式の標準化プロセスに参加していましたが、2026年7月29日に撤回されました。
耐量子暗号：将来、高性能な量子コンピューターが実用化された場合でも、安全性を維持できるよう設計された暗号技術です。
格子暗号：多次元空間における格子問題の計算困難性を安全性の根拠とする暗号技術です。
鍵回復攻撃：公開情報や暗号文などを分析し、署名や暗号化に使用される秘密情報と同等の鍵を取得しようとする攻撃です。
AES-128：128ビットの鍵を使用する共通鍵暗号方式です。通常のAES-128では、暗号化処理が10ラウンド実行されます。
縮小ラウンド暗号：暗号方式の安全余裕を研究するため、本来より処理回数を減らした実験用の構成です。
選択平文攻撃：攻撃者が任意の平文を選び、その暗号化結果を取得できると仮定して暗号方式を分析する研究上の攻撃モデルです。
Meet-in-the-Middle攻撃：暗号化処理を両方向から計算し、中間結果を照合することで、総当たりより計算量を減らそうとする暗号解析手法です。

HAWKの鍵回復攻撃が標準化候補の判断を変えた

HAWKは、量子コンピューターによる攻撃にも耐えられるデジタル署名方式を目指して設計され、2026年5月にはNISTの追加デジタル署名方式の第3ラウンド候補に選ばれていました。HAWKの安全性は、格子同士の隠れた対応関係を発見することが難しいという数学的性質に基づいています。Anthropicによると、Claude Mythos Previewは、この格子に存在する従来利用されていなかった対称性を見つけ、鍵回復に必要な探索範囲を大きく削減しました。小規模な検証用パラメータであるHAWK-256では、想定されていた攻撃コストが2⁶⁴程度から2³⁸程度まで低下し、公開された実装では96コアのサーバーを用いて平均約3時間42分で同等の署名鍵を回復できると報告されています。ただし、これは元の秘密鍵シードそのものではなく、同じ公開鍵に対して有効な署名を生成できる機能的に同等の鍵です。HAWK-512とHAWK-1024への攻撃は依然として現実的ではありませんが、HAWKチームは攻撃によって必要な格子削減処理の規模がほぼ半分になることを確認しました。パラメータの単純な倍増などでは競争力を維持できないとして、2026年7月29日にNISTの標準化プロセスからHAWKを撤回しています。

高速化されたのは通常のAESではなく7ラウンドの研究用構成

AESに関する成果は、現在広く利用されている完全なAES-128を解読したものではありません。AES-128は通常、データ変換を10ラウンド繰り返しますが、今回の研究対象はその処理を7ラウンドに減らした構成です。暗号研究では、処理回数を減らした方式を分析することで、完全な方式にどの程度の安全余裕が残されているかを調べます。従来の7ラウンドAES-128に対するMeet-in-the-Middle攻撃では、暗号化処理の途中の状態を大量に保存し、反対方向から計算した結果と照合します。その一部では、256通りの値を順番に試す処理が必要でした。Claude Mythos Previewは、推測する値が変わっても同じ性質を保つ「Möbius Bridge」と呼ばれる指紋情報を考案し、この256通りの列挙を取り除いたとされています。追加処理の負荷を含めた最終的な改善幅は、測定方法によって従来比200倍から800倍と推定されています。一方、攻撃には同一の未知鍵で暗号化された約2¹⁰⁵個の選択平文が必要であり、この条件だけでも現実の攻撃には適しません。Anthropicも、今回の結果によって稼働中のソフトウェアを変更する必要はなく、完全なAES-128の安全性が破られたものではないと説明しています。

国内組織が確認すべきなのは緊急パッチではなく暗号技術の管理体制

今回の発表を受けて、一般企業がAESを利用するVPN、データベース、クラウドサービスなどを直ちに停止したり、暗号方式を変更したりする必要はありません。研究対象は7ラウンドに縮小したAES-128であり、通常の10ラウンドAES-128に対する実用的な鍵回復攻撃は示されていないためです。また、HAWKも製品で広く利用されていた標準方式ではなく、標準化前の候補でした。ただし、耐量子暗号を評価している研究機関、製品開発会社、金融機関などでは、使用中または採用予定の方式が「正式な標準」「標準化候補」「撤回済み候補」のどれに該当するかを整理する必要があります。特にHAWKを実験環境や設計資料に含めている場合は、NISTの候補から撤回された事実を反映し、採用計画を再評価することが重要です。今回の研究は、AIが専門家による長期間の検討を経た暗号方式から、新しい解析経路を発見できる可能性を示しました。一方で、AESの研究結果については、モデルが手法を発見するまでよりも、人間の研究者が正しさを検証する作業に長い時間を要したと報告されています。AIによる暗号解析が増加しても、結果をそのまま脆弱性情報として扱うのではなく、攻撃条件、対象パラメータ、再現コード、計算量、独立検証の有無を確認する体制が不可欠です。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）