LLMは対称暗号を破れない

LLMは対称暗号を破れない そしてAnthropicの暗号解読研究は素晴らしい 2026年7月31日 共有 7月28日、AnthropicはLLM Claudeを用いた新たな暗号解読攻撃を発見したと発表しました。これは、NISTの「追加デジタル署名」標準化プロジェクトの候補であるポスト量子署名方式HAWKに対する鍵回復攻撃です。64ビットセキュリティのトイバージョンHAWK-256は実質的に解読可能ですが、今回の新しい攻撃は実用的ではありません。しかし、HAWK-512の推定セキュリティレベルを目標の128ビットから最大108ビット、推測では81ビットまで低下させるものであり、HAWKのセキュリティに対する意味のあるブレークです（論文の付録Cを参照）。 AES-128の7ラウンドに対する鍵回復攻撃の改良版ですが、完全版は10ラウンドです。この攻撃は予想通りであり、AESに対する脅威とはなりません。しかし、AESに関する新たな暗号解読結果は稀であるため、発見方法に関わらずこの結果は注目に値します。むしろ、Mythosが完全ラウンドAESに対するものよりも強力な攻撃を発見できなかったというネガティブな結果の方が重要かもしれません。 AES攻撃の論文で、Anthropicは「LLM支援暗号研究の方向性をさらに探求することは興味深いと考えています。特に、開発された攻撃が計算上実装不可能であり、言語モデルが複数のアプローチの組み合わせを通じてその正当性を示す必要がある場合です。特に重要だと考える方向性の1つは、暗号コミュニティで使用されている攻撃手法を形式化することです」と述べています。 私はそれに同意します。特に最後の声明は重要です。対称暗号解読には、より統一された記述フレームワークと抽象化が必要です。多くの論文が、根本的に他の論文と同じことを行っているにもかかわらず、場当たり的な形式化やカスタム表記、専門用語を使用しています。また、LLMが暗号解読攻撃の計算量推定やセキュリティ証明におけるエラーを発見することも期待しています。今年初め、私はLLMにEUROCRYPT 2026の論文のセキュリティ証明のバグを見つけるように依頼したところ、ほとんどの証明に問題が見つかりました（証明は間違っている可能性が高いが、結果自体は間違っていないことを示しました）。Anthropicは、AES、ChaCha、NISTコンペティションに提出されたBLAKEなどのアルゴリズム（ポスト量子方式を含む）のフルラウンドおよび削減ラウンドバージョンに対する暗号解読タスクからなるLLMベンチマークであるCryptanalysisBenchの作成にも協力しました。 暗号解読に馴染みがない場合、LLMがAES、ChaCha、SHA-3、および現在使用されている他の対称アルゴリズムを破ることができるのではないかと疑問に思うのは無理もありません。友人が私に「MythosがBLAKE3を破る可能性があることを心配していないのか？」と尋ねました。私は心配していません。 より広範には、LLMがいかなる確立された暗号方式も破ることはなく、Too Much Cryptoの推測を反証することもないと確信しています。 Matthew Greenの優れた投稿で、彼は「私たちの対称暗号（ブロック/ストリーム暗号だけでなく、ハッシュ関数やMACも）は非常に複雑（再び、「統一理論」はない）であり、堅牢（経験的にそうであり、これについては後述）です。農夫がトラクターを流砂地帯に運び込み、セメントで埋める様子を想像してみてください。対称暗号設計とはそのようなものです。それは、適用が迅速かつ容易な構造（通常はラウンドの操作）を意図的に生み出すように設計されていますが、解きほぐすのは非常に複雑で困難です（ラウンドを繰り返すにつれて）。多くの新しい生の知能時間（intelligence-hours）の追加が、これを魔法のように改善する可能性は低いでしょう」と述べています。 マットが複雑さと構造と呼ぶもの、そしてこれらがLLMがSHA-3やBLAKE3に対する実用的な衝突攻撃を発見できない主な理由について、詳しく説明したいと思います。 では、なぜLLMは対称暗号を破れないのでしょうか？ ほぼ（完全にではない）任意順で以下に示します。 それらの高レベル構造は安全です。ここでは、ブロック暗号のGCMやCTRモード、ハッシュ関数のスポンジ構成などの構成を指します。また、ほとんどの対称方式の中核となる鍵付きまたは鍵なし置換のラウンドベース構成も含まれます（ただし、Poly1305のようにラウンドベースではないものもあります）。 それらは数学的構造を持っていません。実際の数学の問題やほとんどの公開鍵方式とは異なり、対称暗号は一般的に、還元ベースのセキュリティ証明を可能にする数学的構造内のクリーンな変換として記述することはできません。しかし、それは暗号解読に悪用される可能性もあります（例外は、算術化指向プリミティブ、特にZK証明システムやFHEで使用されるPoseidonのような代数ハッシュ関数です。もう1つの例外は、RSAライクな操作に基づいたハッシュ関数であるVSHで、衝突耐性は証明されましたが、原像耐性がないことが判明し、構造の二重の側面を示しています）。ハッシュ関数またはブロック暗号を設計する際の目標は、攻撃者が計算を、それが実行する無意味な初等操作のシーケンスよりも単純なものとして記述できるような、あらゆる構造、対称性、またはパターンを排除することです。例えば、BLAKE3は基本的にXOR、モジュラ加算、ビットローテーションの長いシーケンスです。それを記述する他の方法はありません。ナビゲートすべき明白な空間や推論すべき高レベル構造はありません。XORはモジュラ加算に対する線形性を破壊し、モジュラ加算はXORに対する線形性を破壊します。スポンジ構成のnビット置換をGF(2)ⁿ上の双射として考えると、GF(2)上の多変数方程式系としてのその表現は、顕著な構造を持たないと予想されます。最大次数、高密度の単項式などです。他の体上の表現についても同様であるはずです。これがマットの言う複雑さの考え方です。 それは主に差分暗号解読です。線形暗号解読、長方形攻撃、ブーメラン攻撃、積分攻撃、キューブ攻撃、スライド攻撃、およびほとんどの暗号解読トリックであっても、それらはすべて差分暗号解読の一形態です。「入力にこの差分（ある演算子、通常はXORに関して）を適用すると、出力（暗号のコンポーネントの）が統計的に理想/期待されるケースから逸脱する」という形式の入出力パターンを利用します。例えば、SHA-1の衝突攻撃は、一部の差分が例外的に高い確率を持つことを利用しましたが、不可能な差分技術は確率ゼロの差分を利用します。対称プリミティブのモードが（証明済みで）安全である場合、差分暗号解読以外にできることはほとんどありません。この領域はすでに広範囲に調査されており、LLMが全く新しいクラスの攻撃を発見する可能性は低いです。 差分暗号解読は、少なくとも部分的には経験的です。多くの場合、暗号解読者は、それらのバイアスの正確な理由を理解せずに実験を実行して統計的バイアスを発見します。比較的大規模なバイアス（2⁻¹⁰など）を観察した後、信頼性のある測定にはサンプルが多すぎるが攻撃に悪用される可能性のある、より小さなバイアスの存在を推測する可能性があります。LLMがそのような実験を実行できないとは主張しませんが、それらを設計、実行、解釈する必要があるため、タスクはより困難になります。 それらは時間と実戦で試されています。これらの設計は何千時間もの暗号解読による精査を受けており、そのほとんどは成功せず、したがって公表されていません。研究者は人間の創意工夫、創造性、そして膨大な計算量を用いて、バイアス統計を検索し、自動分析や場合によっては形式検証を実行してきました。そして彼らは何を発見したのでしょうか？ ほとんどの場合、削減ラウンドのバリアントは破りやすいが、アルゴリズムの強度はラウンドが追加されるにつれて劇的に増加するという予測可能な結果です。 友人がコメントしたように、「安全でない対称暗号が存在したのは歴史的な偶然のようなものです」。対称暗号は私たちのセキュリティシステムの最も強力な部分であるため、LLMトークンは、分析が不十分なポスト量子標準化候補を含む、他の場所のバグを見つけるために費やされた方がはるかに良いでしょう。 注目の画像：Peter Bruebel, The Fall of the Rebel Angels (detail) 共有 前へ 次へ