AIは暗号解読の夢を見るか？Claudeを使った脆弱性発見の最前線

本記事では、大規模言語モデルであるClaudeを活用して、暗号技術における脆弱性や実装ミスを特定する手法について掘り下げます。AIをセキュリティ診断のパートナーとして活用し、コードの安全性を見極めるための実践的なアプローチを探求します。

マルチエージェントのワークフローが興味深い力学を生み出してるね。例えば、今回の攻撃手法の鍵となるアイデアは、2人のワーカーが協力したことで発見されたらしい。両者がアイデアの調査を始めたけど、最初のワーカーは実現不可能だと早々に判断した。でも、もう一人がそれを完全に突き詰める方法を見つけ出したんだ。2人はメッセージをやり取りし続けて、最終的に効果的な攻撃手法を見つけたと確信するに至ったとのこと。

これかなり面白いよね。書きぶりからすると、協力のおかげで発見に至ったというよりは、探索の各スレッドが持つ確率論的な性質によるもののように見える。どのくらいの頻度で既知の有効なパスを見つけたり逃したりしているのかを知るために、探索を再現して繰り返してみる（その際、事前知識やコンテキストに少し揺らぎを与えつつ）と興味深い結果が得られそうだ。

彼らがまだ「Mythos 5」ではなく「Mythos Preview」を使っているのは興味深いね。両方にアクセスできた人たちから読んだ話だと、Mythos 5の方が性能が低いって話だったから。

世界中の国家安全保障担当者の顔が目に浮かぶよ。

「これら2つの論文で説明された攻撃は、我々がこれまでに発見した中で最強のものです。米国政府や業界のリーダーたちと協議した上で共有しています。しかし、暗号解読の成果が強力になるにつれ、言語モデルが現実世界に即座の影響を及ぼす暗号システムの脆弱性を発見してしまった場合、研究者がどう対応すべきかを検討しておくのが賢明でしょう。この問いに答えるには、学界、政府、業界からの意見が必要だと考えています。我々のここでの成果が、そうした対話を始めるきっかけになればと願っています。」

そして、本物の暗号解読研究者への遠回しな売り込みがこれだ：
「Anthropicの研究者たちは、モデルの主張を検証するために、暗号学の研究を理解するのに数百時間を費やした」

要約：彼らは7ラウンドのAES-128（通常は10ラウンドを使用。AESが破られたと心配する必要はないよ）に対する、既知の最良の学術的な攻撃をわずかに改善しただけだ。

HAWKへの攻撃の方がまだ興味深いかもね。実質的な鍵長を半分にできたらしいから。HAWKはNIST標準化の候補で、学術的に研究されてはいるけど、まだ標準化されていないから実際にどこかでデプロイされているわけじゃないしね。

「しかし、我々が暗号解読の成果をどんどん強力にしていく中で、もし言語モデルが現実世界に即座の影響を及ぼす暗号システムの脆弱性を発見した場合、研究者がどう反応すべきかを検討しておくのが賢明でしょう。」

じゃあ、もし人間が暗号システムの脆弱性を発見したら彼らはどう反応するつもりなんだ？

「それぞれの成果を得るのに、開発コストとしてAPI費用が約10万ドルかかった。」

そして

「1週間にわたり、Anthropicの研究者が一人、Claudeと協力してHAWKの攻撃手法を開発した。もう一人の研究者は、ClaudeがAES攻撃を完全に自律的に発見できるようにするための足場を構築した。」

1週間で10万ドル分ものトークンを消費するって、大規模な並列処理をしたとしてもすごい離れ業だよね。彼らの内部スタッフがアクセスしているTPSは、一般公開されているエンドポイントよりも遥かに高いんだろうな。

私たちの社会には急速に「技術的な貴族階級」が生まれていて、それが社会を分断することになるんだろうね。

友人の何人かがプロンプトのスタイルや「プロンプトエンジニアリング」、どんなスキルを学ぶべきか、「コンテキストエンジニアリング」、その他諸々の「AIにうまく動いてもらうためにどうスマートに書くか」といったことに取り憑かれてるのを目にするんだ。

友よ、Anthropicの自社スタッフがマシンに入力しているプロンプトを見てごらんよ：

最初のメッセージから数時間後、Claudeがまだ単純な攻撃を探していることに気づき、メッセージを送った：「いや、そうじゃない。目標は我々がトップレベルの研究者と同じくらい非常にインテリジェントなモデルを持つことだ、新しい攻撃を探してほしい」

翌朝、Claudeがターゲットを別の暗号に変更しようとした。我々はモデルにリマインドした：「いや、ターゲットは変更したくない[...]もう一度言うが、出版する価値のあるものを見つける必要がある」

その夜、最後のメッセージとして励ましの言葉を送った：「繰り返しになるが、簡単に手に入る成果を求めているわけではない。本当に困難な発見をするためのまともな研究をしてほしい」

結局、そのRLHFとかファインチューニングの努力のすべてが、こんなプロンプトを（あるいはもっとひどいものを）問題なく動作させるために費やされているわけだよ。

これは少し大げさじゃないかな：

「HAWKは2年間にわたって専門家によるレビューを2回も生き延びてきたにもかかわらず、Mythosはわずか60時間の作業で既知の最良の攻撃手法を改善し、実質的にその鍵の強度を半分にしてしまった。」

というのも、後段にはこうある：

「Mythosの攻撃手法は、HAWKが使用する格子構造の中に『自明ではない自己同型（nontrivial automorphism）』という、これまで利用されていなかった特定の対称性を見つけることで機能する。先行研究では、そのような自己同型を効率的に見つけることができれば攻撃が可能であることは証明されていたが、HAWKの格子構造においてその自己同型が実際にアクセス可能かどうかは答えが出ていなかった。Mythosが発見した自己同型によって、より高速な列挙攻撃が可能になった。依然として指数関数的な計算量は必要だが、同等のセキュリティレベルを確保するにはHAWKの鍵サイズを2倍にする必要があることを意味する。」

Mythosの貢献を過小評価するつもりはないけど[1]、最初の段落は（少なくとも自分には）「既知の脆弱性は一切なかった」と強くほのめかしているように聞こえる。「理論上の存在だった脆弱性を発見する」ことと、「未知の脆弱性を発見する」ことは大きく違う。重ねて言うけど、Mythosがこれを成し遂げたのはすごくクールだよ。ただ、これはまた「LLMは具体的な数学的（反）例を見つけるのが得意」という話の別の一例に過ぎない気がする。それもまたクールなんだけどね！でも、ここでのPRはシニカルだよ。

……それにしても、自己同型を探すために3日間で10万ドル使ったというのは信じがたい話だ。自己同型の「可能性」を探したんじゃなくて、それは既に知られていたことなのに。なんてこった。

[1] ……あるいは、数学的用語の奇妙な使い方にこだわりすぎているのかもしれないけど……

AESやLinuxカーネルのようなツールに高品質な労力が注ぎ込まれると、私たちはそれがツールを「硬化（hardens）」させると直感する。つまり、より正確に、より堅牢に、攻撃されにくくするということだ。

同様に、リーマン予想やP対NP問題のような未解決問題に対して、進展のないまま労力が注ぎ込まれると、その問題は「硬化」する。次に挑戦しようとする人にとって、問題がより恐ろしく感じられるようになるんだ。

今日トップページにインタビューが載っていたアンドリュー・ワイルズも（https://news.ycombinator.com/item?id=49075264 ）、フェルマーの最終定理に真っ向から取り組むことはできなかった。別の現代的な問題がそれへと帰着するのを待たなければならなかったんだ。なぜなら、フェルマーの最終定理は300年もの間、難攻不落という神秘性を帯びてしまっていたからね。

心配なのは、AIがトークンを「労力」へと変換していくことで、世界が二分されてしまうことだ。ある種の問題はAIに屈して、人間の労力が完全に不要になる。一方で他の問題は「AIでさえ解けなかった」という理由で、人間が取り組む価値がますます低く感じられ、硬化してしまう。これは好きじゃないな。AIの能力は偏っているから、今後も大きな死角を持ち続けるだろう。それなのに、単にAIが存在するというだけで、本来なら有意義だったはずの人間の努力に萎縮効果をもたらしてしまうんじゃないかと思う。

冒頭はこうある：
「最も広く使われている共通鍵暗号であるラウンド削減版AESへの新しい攻撃手法を特定」

後の段落に隠されているのはこれ：
「明確にしておくと、これらの成果は今日のコンピュータシステムに実用的な影響を与えるものではない。結果として変更が必要になるプロダクションソフトウェアはない」