Mythosが挑む初のポスト量子暗号解読

Anthropicは、ClaudeのMythosプレビューモデルの活用により、広く研究されている2つの暗号アルゴリズムに対する攻撃を高速化する手法を研究者が発見したと発表しました。

標的の1つは、NISTが現在評価を進めているポスト量子デジタル署名アルゴリズムの候補「Hawk」です。もう1つは、広く使われているAdvanced Encryption Standard(AES)の強度を弱めたバージョンに対する、これまでで最良とされていた攻撃をさらに改良したものです。

いずれの発見も実運用環境を危険にさらすものではなく、現実世界のシステムのセキュリティを弱めるものでもありません。Anthropicによれば、これらの発見はむしろ最新の暗号設計が持つセキュリティマージンへの理解を深めるものだといいます。

縮小したセキュリティマージン

Hawkは、米国立標準技術研究所(NIST)が量子コンピューターによる攻撃への耐性を目指して評価を進めている追加のアルゴリズム群の一つであり、ポスト量子暗号(PQC)方式の候補です。これまでに評価された一部の提出方式と同様、格子ベース暗号に依拠しています。

Anthropicは自社の研究に関するブログ記事で、「Hawkは2年間にわたる専門家による2度の審査を経てきたにもかかわらず、Mythosはわずか60時間の作業で、これまでで最良とされていた攻撃手法を改良することに成功した」と述べています。

Anthropicが研究対象としたのは256ビット版のHawkのみであり、NISTが評価を進めている提出版は512ビットおよび1024ビット版を対象としています。しかしAnthropicは、それでも今回の発見には意義があるとしています。

Anthropicはブログ記事の中で、「HAWKの提出仕様で提案されている鍵サイズは、当初想定されていたよりも著しく脆弱である」と述べる一方、より大きな鍵サイズについては、Hawkは「依然として攻撃するのが非現実的な水準にある」としています。

一方で、同ブログ記事によれば、Anthropicが発見した攻撃手法は、Hawkのセキュリティレベルを実質的に半減させてしまうため、Hawkの実用性を低下させることになります。つまり、本来意図されたセキュリティ水準を維持するには、大幅に大きな鍵サイズが必要になるということです。Anthropicは、こうした鍵サイズの増大は、Hawkをポスト量子署名方式の有力候補たらしめていた効率面での利点の多くを損なうことになると記しています。

Anthropicは、今回の新たな発見について「Hawkに固有のものであり、他のNISTポスト量子署名候補や格子ベース暗号全般には影響しない」としています。

2つ目の攻撃は、「Mobius Bridge」と名付けられた新たな暗号解読手法に基づくもので、フルバージョンの10ラウンドではなく7ラウンドのみを用いた、強度を弱めたバージョンのAES-128に対する攻撃を改良するものです。ラウンドとは、AESなどの暗号アルゴリズムがデータを保護するために繰り返し適用する一連の数学的変換processのことを指します。セキュリティ研究者は、AESのようなブロック暗号のセキュリティマージンを評価するため、ラウンド数を減らした変種を対象とする研究を一般的に行っています。

Anthropicによれば、この新たな手法により、ラウンド数を減らした構成に対するこれまでで最良とされていた攻撃の速度が、従来の攻撃と比べて200倍から800倍改善されたとのことです。ただし、それでも実運用で使われるフルバージョンのAESを脅かす水準には遠く及ばないとしています。

実用上の影響はなし

Anthropicは、今回の研究が実運用中のAES実装のセキュリティに実用上の影響を及ぼすことはないと明言しています。それには相応の理由があります。

「この攻撃は選択平文攻撃(chosen plaintext)という脅威モデルの下で成り立つものであり、これはAESのような暗号を研究する際に最も一般的に用いられる前提条件です」と、同社はブログ記事の中で説明しています。このモデルでは、攻撃者が任意の入力を、固定された未知の鍵で暗号化するよう防御側に要求でき、それに対応する出力を確認できると仮定します。今回のケースでは、攻撃者が2^105個(約40垓、すなわち40×10^18)の選択平文の暗号化を要求できると仮定しています。「したがって、この攻撃は完全に非現実的なものですが、これらの前提条件の下でAESに対する攻撃コストを定量化するものです」と同社は述べています。

Claude Mythosプレビューモデルは、ほぼ完全に自律的にこの攻撃手法を発見したとAnthropicは述べ、さらに次のように付け加えています。「Anthropicの研究者が、Claudeが仮説を立て、実験によってその仮説を検証または反証し、その上でAESに対する最良の暗号解読手法を改良する攻撃を設計するよう指示できる、そうした足場(スキャフォールド)を構築しました」。

研究の一部工程がAIによって高速化された一方で、結果の正しさを検証する作業にはより多くの時間が費やされています。AESに対する改良版攻撃の発見自体には約1週間しかかからなかったものの、その検証には2人の研究者が1カ月近くを要したとAnthropicは述べています。