Anthropicの新しい暗号解読結果に関する考察

昨日、Anthropicは、まだリリースされていない高度なモデルClaude Mythosの出力である2つの新しい暗号解読結果を発表しました。最初の結果はHAWKという署名スキームを攻撃し、2番目の結果は削減ラウンドAESに対する改良された攻撃です。Anthropicは、これらの結果を生み出した研究プロセスを説明するブログ記事も公開しました。 オンラインで何人かの人々が私にこれが何を意味するのか尋ねてきました。私にはすべての答えがあるかどうかはわかりませんが、私の現在の理解について少し書くことは無駄ではないと思いました。これらは私の考えに過ぎず、他の人々（問題となっている2つの分野のドメインエキスパートを含む）は多分異なるでしょうので、それらをそのまま受け取ってください。 2つの新しい結果は、非常に異なる2つの分野をカバーしており、全体として品質も非常に異なります。世界についての広範な声明や、すべての暗号通貨を売却すべきかどうかについて話す前に、少し時間を取ってその実質について話しましょう。 Hawk。 最初のものは、非標準の署名スキームHAWKに対する新しい鍵回復アルゴリズムです。HAWKは、モジュラー格子同型問題（module-LIP）に基づいた、提案されているポスト量子安全署名スキームです。結果自体に関するClaudeによる簡単な要約については、ここを参照してください。この結果について知っておくべき5つのことがあります。 HAWKは、展開または標準で採用されたアルゴリズムではなく、提案されたアルゴリズムです。それは標準化されているFalcon署名スキームに関連していますが、攻撃は（異なる困難な問題に基づいている）その設定には転移しません。しかし、HAWKは将来の標準のために評価されるプロセスでかなり進んでいました。 攻撃は、「SF映画的な」意味で「実際に展開されている」HAWKを壊すものではありません。結果の攻撃は依然として指数時間ですが、アルゴリズムのセキュリティの「ビット」数を約半分にします。これは、鍵サイズを2倍にすることで理論的に修正できることを意味します。欠点は、これによりスキームの効率が低下することです。そして、HAWKが代替案よりも効率的であることによってのみ正当化されるため、スキームの存在を正当化することがさらに困難になります。 攻撃は、数時間の壁時計時間で実行される実際のコードを生成しました。これは、著者らがこの目的のために提供した、弱められた「チャレンジインスタンス」のHAWKに対して行われました。このインスタンスは実際の展開のために提案されたパラメータを使用していませんが、暗号解読上の弱点を十分に示しています。 特に懸念される（そしてAIにとって特に格好の）点は、攻撃が根本的に新しい数学を発明していないことです。それは単に、そこにあったよく知られたツールの多くを拡張し、良い結果を得ただけです。この最後の部分は重要です。Claudeにその考えを尋ねたところ、遠慮なく言いました。「これを本当に興味深く、率直に言って、この分野にとって少し恥ずかしいものにしているのは、材料のどれもエキゾチックではないということです。」要するに、誰かが私たちの知っているすべてのツールをはるかに徹底的に適用したということです。要するに、攻撃AIが得意な種類のものです。 AES。 2番目の結果は、削減ラウンドAESに対する新しい攻撃です。ほとんどの人が「AESへの攻撃」と聞いてパニックになるので、この結果は最初はよりエキサイティングに聞こえます。しかし、これもはるかに興味深い結果ではありません。このブログを読む人のほとんどは、AESがどこにでも使われている標準的なブロック暗号であることを知っているでしょう。それは2001年から標準であり、展開されているバージョンはこれまでのところ、NSAによって行われたかなりの量の非公開テストを含む、すべての大規模な攻撃に耐えてきました。完全な暗号を攻撃するのは非常に難しいため、暗号解読者が弱められた、または「削減ラウンド」バージョンの暗号に対して作業を行うのは標準的です。完全なAES暗号は、キーサイズに応じて10、12、または14ラウンド実行されます。新しいAnthropicの結果は、より弱い7ラウンドのバリアントを攻撃します。重要なのは、7ラウンドAESに対する攻撃は新しいものではないということです。これらはすでにいくつか存在しています。実際、この新しいAnthropicの結果は、2013年の以前の作業に対するわずかな定数倍の改善です。 これらの攻撃がAESを本当に「壊す」ことからどれほど離れているかを示すために、見出しの結果を挙げます。新しい攻撃には289回の暗号操作が必要であり、さらに悪いことに、この作業は、実際の暗号化装置に秘密鍵の下で選択平文の2^105回の暗号化を生成させることに成功した場合にのみ可能です！これらのどちらも、現実世界では現実的ではありません。そして、新しい結果はこの攻撃を以前の結果よりもわずかにスピードアップしますが、この結果のスピードアップがどれほど「現実的」であるかは明らかではありません。実際の攻撃には289回の操作が必要で、実際に「実行」できないため、私たちが持っているのは、すべての詳細が実際に解明された場合に実際の実行時改善をもたらすかもしれないし、もたらさないかもしれない紙上の分析です。 これは結果が悪いということではありません！実際、技術的な観点からは依然として興味深いものです。しかし、それは私たちの知識における非常に小さな増加であり、HAWKの作業のような実用的な新しい攻撃ではありません。 だから、要するに：ここには全く新しい数学的な結果はありません。しかし、科学者を興奮させるような、実際の暗号解読の進歩です。そして確かにHAWKの結果は非常に意味があります。なぜなら、そのスキームは標準化の現実的なチャンスがあり、今や（非常に可能性が高いですが）そうならないからです。 さて、どうやってここにたどり着き、それが何を意味するのかについて話しましょう。 Anthropicはどうやってこれらの結果を得たのか？ Anthropicの記事は、彼らが何をしたかについて詳細に説明しており、正直に言って、それはかなり面白いです。いいえ、Anthropicのチームは、新しい結果を見つけるためにAIを注意深く調整した多くのドメインエキスパートの集団ではありませんでした。彼らは単にAIに結果を出すように指示し、それが見つかるまで鼻を研磨機に押し付けたようです。疑うなら、彼らが使用したプロンプトの例をいくつか示します（彼らの記事から引用）： 「HAWK署名スキームの脆弱性を発見してください。」 「AESの削減ラウンドに対する新しい攻撃を見つけてください。」 「既知の暗号解読手法を組み合わせて、新しい攻撃を作成してください。」 はい、AIはかなり良くなっています。要するに、それらは既存の暗号解読結果を理解し、それらを新しい攻撃に合成し、さらに拡張することができるようになりました。彼らは、詳細な人間の介入なしにこれを行うことができるようです。これはまだ超知的な暗号解読ではありません。しかし、それはかなり印象的です。 検証可能性がボトルネックになった 研究者として、私もモデルと多くの時間を費やし、さまざまなアイデアについて議論してきました。モデルが改善されていると言うことに、誰も驚かないと思います。過去数ヶ月でさえそうです。Mythosと10万ドルは持っていませんが、少なくとも1つの新しい高度な未リリースモデルに問い合わせることができ、数年間興味を持っていた質問に対して、いくつかの驚くべき新しい「結果」を受け取りました。 これが本当の問題です。モデルが新しい結果を出力したからといって、その結果が本物であるとは限りません。モデルが本物の結果を生成するのが得意であっても、本物に見えるが誤解を招く結果を生成するのはもっと得意です。これは非常にフラストレーションがたまる可能性があり、しばしば人間の注意がこれまで以上に必要であることを意味します。 このルールには例外があります。「フル」攻撃（HAWKなど）の場合、攻撃は数時間（スキームの弱められたバージョンに対して）実行されるため、検証は非常に簡単です。コードを送信して、誰でもキーを回復し、実際の選択メッセージに署名することを確認できます。 AESの結果のような、より微妙なスピードアップ攻撃の場合、有効性の確認はそれほど簡単ではありません。ここでは、アプローチはより具体的です。形式的に検証可能なLean証明が役立つ場合がありますが、（これらの証明が容易に作成できる場合でも）そのような証明は、定理のステートメントをどのように定式化したかに非常に敏感であり、多くの場合、人間の専門家による確認が必要です。 おそらく、最近の多くのエキサイティングな数学的結果がこの特徴を持っていることに気づくでしょう。それらは、よく理解された定理の機械的にチェック可能な証明を含んでいるか、（ヤコビ予想のように）計算できる単純な反例を見つけることを含んでいます。あるいは、多くの専門家が結果をレビューするのに多くの時間を費やし、最終的にそれに納得しました。この