Claude Mythosが暗号アルゴリズムの新攻撃法を発見｜耐量子署名HAWKの鍵強度が実質半減・AES縮小版へのMöbius Bridge攻撃と実運用への影響【2026年7月速報】

Anthropicは2026年7月28日、未公開のフロンティアモデル「Claude Mythos Preview」が、NISTポスト量子署名の第3ラウンド候補「HAWK」への新しい鍵回復攻撃と、ラウンド数を7に削減したAES-128に対する新攻撃「Möbius Bridge」を発見したと発表しました。ただし、現在稼働しているシステムへの実用上の影響はありません。Anthropic公式も「今日のコンピュータシステムに実用的な影響はない」と明言しており、ソフトウェアの更新も不要です。

一方で、無視できない後続事象が起きています。発表翌日の2026年7月29日、HAWKの開発チーム自身がNISTの追加デジタル署名標準化プロセスから撤退しました。人間の暗号学者による2年近い審査を通過していた方式が、AIが約60時間で見つけた欠陥をきっかけに、事実上退場したことになります。

この記事でわかること

• 何が発見されたのか（HAWKへの鍵回復攻撃 / AES 7ラウンド縮小版へのMöbius Bridge攻撃）
• 自社が使っている暗号が影響を受けるかどうかの判定表
• 「実運用に影響がない」と言い切れる構造的な理由
• HAWKがNIST標準化から撤退した経緯と、その意味
• AIが暗号解析に入り込んだ時代に、企業が今から準備しておくべきこと

情報システム部門・セキュリティ担当者・暗号を扱うプロダクト開発者、そして「ポスト量子暗号が破られたのか？」というニュース見出しを見て不安になった方に向けた記事です。

なお、今回の主役である Claude Mythos というモデル自体については、Claude Mythosとは？性能・申請方法・使えるのかを解説 で詳しく整理しています。

あなたのシステムは影響を受けるか（技術別の判定表）

一般的な企業システム・Webサービス・社内ネットワークで使われている暗号は、今回の発見の影響を受けません。影響範囲は、まだ標準化の途中だった候補方式1つと、研究用に弱められた縮小版の暗号に限られます。

現時点で公開されている情報をもとに、技術別の影響有無を整理すると次のとおりです。

ポイントは2つあります。

第一に、HAWKはどこにもデプロイされていません。NISTの標準化コンペで第3ラウンドに進んだ候補の1つであり、製品やプロトコルに組み込まれた実績はありません。つまり「破られたから移行が必要」という話にはならないのです。

第二に、AESへの攻撃対象は7ラウンド版です。実運用のAES-128は10ラウンドで構成されており、7ラウンド版は暗号研究者が安全性の余裕を測るために意図的に弱めた研究用モデルです。フル10ラウンドのAES-128は今回も無傷でした。

誤解しやすいポイント：今回の件を「ポスト量子暗号が破られた」と読むのは誤りです。正しくは「追加署名の候補の1つに弱点が見つかり、その候補が自ら撤退した」です。2024年8月に発効した3つのNIST標準（ML-KEM / ML-DSA / SLH-DSA）はいずれも無関係です。

何が起きたのか：3日間の時系列

今回の一連の出来事は、実質3日間で動いています。事実関係を時系列で押さえておくと、報道の差分がわかりやすくなります。

国内の速報記事の多くは7月28日の発表内容までを扱っており、翌29日のHAWK撤退までは反映されていないものが目立ちます。今回の件で最も構造的な変化は、この撤退のほうです。

発見①：耐量子署名HAWKへの鍵回復攻撃

出典：Anthropic「Discovering cryptographic weaknesses with Claude」

Claude Mythos Previewが見つけたのは、HAWKが使っている格子構造の中に潜んでいた「非自明な自己同型（nontrivial automorphism）」という、これまで誰も利用していなかった対称性です。先行研究で「理論上ありうる」と示唆されてはいましたが、実際に構成できることを示したのは今回が初めてとされています。

HAWKとは何だったのか

HAWKは、格子同型問題（Lattice Isomorphism Problem, LIP）に基づくハッシュ・アンド・サイン型のポスト量子署名方式です。公式サイトは hawk-sign.info で公開されています。

この方式が注目されていた理由は、実装上の使いやすさにありました。

• 整数演算のみで実装できる — Falconのように浮動小数点演算を必要としない。組込み機器やハードウェア実装で有利
• 署名サイズが小さい — セキュリティカテゴリ1で555バイト。FalconやML-DSAより小さい
• 第3ラウンド進出9方式のうち、唯一の格子ベース方式だった（他はFAEST, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign, UOV）

一方でNISTは、HAWKが依拠する困難性仮定（smLIP、omSVP）が新しく、さらなる分析が必要だと第3ラウンドの重点課題に挙げていました。今回の発見は、まさにその指摘された部分を突いた形になります。

攻撃の効果：実効鍵長が半減する

この自己同型を使うと、HAWKの鍵回復問題が次元 n/2 + 1 のSVP（最短ベクトル問題）に帰着します。つまり、攻撃者が解くべき問題の次元が半分になり、結果として実効的な鍵強度が半減します。

Anthropicが公開した計算量の見積もりは次のとおりです。

実証されたのはHAWK-256のみです。96コアサーバで期待実行時間約3時間42分、エンドツーエンドで592バイトのデコード済み鍵を実際に回復しています（元の96バイトの秘密鍵シードそのものではありません）。HAWK-512 / 1024については理論上のゲート数見積もりであり、実際に鍵は回復されていません。

なお、この攻撃は指数時間のままです。多項式時間で解ける「解読」ではなく、必要な計算量が大幅に下がったという性質の結果である点は正確に理解しておく必要があります。

開発体制：約60時間・専門家1名の助言のみ

暗号コミュニティで最も反響が大きかったのが、この開発体制です。Anthropicによれば、この攻撃はマルチエージェント環境で約60時間（実時間で1週間程度）の作業で構築されました。関与した人間は、理論計算機科学のバックグラウンドはあるものの格子暗号の専門家ではない研究者1名で、その役割はプロジェクトマネジメント的な助言に留まったとされています。

かかったAPIコストは約10万ドル（日本円で1,500万円規模）です。人間の暗号学者チームが2年近くかけて審査した方式に対して、これだけのリソースで新規の構造的欠陥が見つかったという事実が、暗号コミュニティで大きく受け止められています。

他の格子暗号には波及しない

重要な補足として、Anthropicはこの攻撃はFalconやML-DSAなど他の格子ベース方式や、他のNIST署名候補には拡張しないと明言しています。HAWKが依拠する格子同型問題（LIP）という特有の構造に紐づいた攻撃であり、格子暗号一般の安全性を揺るがすものではありません。

HAWKがNIST標準化から撤退した理由

2026年7月29日、HAWKの提出チームはNISTの追加デジタル署名標準化プロセスから自主的に撤退しました。NISTの第3ラウンド候補ページには「The submission team has withdrawn HAWK from the additional digital signatures standardization process.」と明記されています。

撤退の背景にあるのは、緩和策とHAWKの存在意義が両立しないという構造です。

鍵強度が半減するのであれば、素直な対処法は2つあります。パラメータを2倍にするか、より高いランクのモジュールへ移行するかです。しかしどちらを選んでも、HAWKの最大の売りだった「署名サイズが小さい」「整数演算のみで実装できる」という競争力が失われます。安全性を取り戻した瞬間に、既存のML-DSAやFalconに対する優位性がなくなってしまうわけです。

この撤退により、追加署名の第3ラウンド候補から格子ベース方式が消滅しました。もともとこの公募は、確定済み標準を置き換えるためのものではなく、「格子以外の数学的仮定に基づく多様性を確保する」ことが主眼のオンランプです。その意味では、格子方式が1つ抜けたこと自体は当初の目的から大きく外れるものではありませんが、選択肢の幅は狭まりました。

責任ある開示は機能していた

今回の一連の流れは、脆弱性開示のプロセスとしては教科書的に進んでいます。

• 2026年6月の時点で、HAWK開発チームへ非公開で結果を共有
• 公開と同時にNISTのpqc-forumメーリングリストへ調整の上で開示（投稿タイトル「HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1」、投稿者 Steve Weis、7月29日）
• 米政府および産業界パートナーに事前に写しを共有
• 学術関係者に相談して結果の妥当性を確認

Anthropicは公式に、HAWKチームが結果の検証に協力しフィードバックを返したことへの謝辞を述べています。Keyfactorの上級副社長 Ellen Boehm 氏は米メディアCyberScoopに対し、「Anthropicのような研究は、NISTのPQC評価プロセスが機能していることの証明だ」とコメントしています。標準化される前に欠陥が見つかったという点で、これは失敗ではなく想定どおりの結果と見ることもできます。

発見②：AES 7ラウンド縮小版への「Möbius Bridge」攻撃

出典：GitHub「anthropics/cryptography-research-demo」

もう1つの発見は、AES-128の7ラウンド縮小版に対する新しい攻撃手法です。Claude自身が「Möbius Bridge」と命名したフィンガープリンティングアルゴリズムで、既存の中間一致攻撃（meet-in-the-middle attack）を改良するものです。

論文タイトルは「Cryptanalysis of 7-Round AES via the Algebraic Structure of its S-box」で、AESのS-box（換字表）が持つ代数的構造を利用しています。

何がどう速くなったのか

従来の中間一致攻撃では、途中の段階で256通りの値を列挙し、事前計算テーブルを引く必要がありました。Möbius Bridgeで計算するフィンガープリントは、この256通りの推測に対して不変です。そのため、列挙工程がまるごと不要になります。

結果として、従来最強とされていた中間一致攻撃と比べて200〜800倍高速になったと報告されています（計測方法によって幅があります）。

なぜ実運用に影響がないのか

一方で、この攻撃は実行できません。理由は3つあります。

1. 対象が7ラウンド版 — 実運用のAES-128は10ラウンド。7ラウンド版は安全性マージンを測るための研究用モデルであり、製品では使われていない
2. 約 2^105 個の選択平文が必要 — 攻撃者が同じ鍵のもとで自由に選んだ平文を暗号化させ、その結果を約4×10^29個（400オクティリオン超）集める必要がある。現実の通信量では到底届かない
3. 完全な鍵回復は実行されていない — 報告されている数値は構成要素の実測からの推定であり、エンドツーエンドでAES-128の鍵が回復されたわけではない

Anthropic自身も、この攻撃を実際に走らせるには「数億ドル規模のコストがかかる」としています。AESの探索に費やしたAPIコストは約10万ドル、出力トークン量は洗練まで含めて累計約10億出力トークンでした。

つまりAESは破られていません。研究上の「安全性マージンがどれだけあるか」という指標が少し削られた、というのが正確な理解です。

「実運用に影響がない」と言い切れる3つの理由

ニュースの見出しだけを見ると不安になりますが、影響がないと判断できる根拠は明確です。

理由1：HAWKは製品に入っていない
HAWKはNIST標準化コンペの候補段階にあり、TLS、VPN、電子署名基盤、ブロックチェーンなど、どの実運用環境にも組み込まれていません。「移行が必要なシステム」がそもそも存在しないため、対応作業は発生しません。

理由2：AES攻撃はフル版に届かない
攻撃対象は10ラウンド中7ラウンドまで削った縮小版です。暗号研究では、フル版をいきなり攻撃するのではなく、ラウンド数を減らした版から段階的に攻略していく手法が標準的です。7ラウンドが破られたからといって10ラウンドが危ういわけではなく、まだ3ラウンド分の余裕が残っています。

理由3：攻撃条件が現実離れしている
仮に7ラウンドAESが使われていたとしても、約2^105個の選択平文という前提を満たせる攻撃者は存在しません。これは物理的なデータ量の限界を超えています。

加えて、確定済みのNIST PQC標準は今回の件と技術的に無関係です。

現時点で、ポスト量子暗号への移行計画を変更する必要はありません。 むしろSLH-DSAのようなハッシュベース署名が標準に含まれている理由（格子暗号に想定外の進展があった場合のヘッジ）が、今回の件で改めて意味を持ったと言えます。

副次的に見つかった弱点：LEA・Serpent・CryptanalysisBench

出典：arXiv「CryptanalysisBench: Can LLMs do Cryptanalysis?（arXiv:2607.18538）」

主要な2件以外にも、予備的な成果としていくつかの発見が公表されています。実務的にはLEAの結果が最もインパクトがあります。

LEAは韓国の標準ブロック暗号で、フルラウンドは128ビット鍵で24ラウンド、192ビットで28ラウンド、256ビットで32ラウンドです。今回攻撃されたのは13ラウンド版であり、フルラウンド版への波及は現時点で未確認です。ただし「デスクトップPCで1時間未満」という数字は、縮小版に対するものとはいえ従来の見積もりから桁違いに改善されており、LEAを採用しているプロダクトは今後の分析動向を追う価値があります。

CryptanalysisBench：LLMの暗号解析能力を測るベンチマーク

同時に、暗号解析能力を測定するベンチマーク「CryptanalysisBench: Can LLMs do Cryptanalysis?」（arXiv: 2607.18538）も公開されました。ETH Zurich、Anthropic、University of Haifa、Technische Universität Berlin、Tel Aviv University の共同研究です。

• NIST標準化コンペ由来の191タスク、6つの暗号プリミティブファミリ、3段階のティア構成
• フロンティアモデル5種がTier 1の65〜86%を突破
• Tier 2のフルスペック方式を6〜12件、縮小版を24〜61件突破
• 副産物として、SpoC AEADの設計欠陥を突く鍵回復攻撃と、KINDIの公開済み安全性証明の誤りを発見

「公開済みの安全性証明に誤りがあった」という結果は、査読プロセスそのものへの示唆を含んでいます。

Claudeが最初は「無理だ」と断った話

今回の発表で見落とされがちですが、AES攻撃の経緯には興味深いエピソードがあります。

Mythosは当初、この課題に対して改善は不可能だと結論を出しています。公式に記録された発言は次のとおりです。

On AES-128 r5/r6/r7 it found nothing because there's nothing easy to find; this is the most-studied block cipher in existence.
（AES-128の5/6/7ラウンドでは何も見つからなかった。簡単に見つかるものが存在しないからだ。これは世界で最も研究されてきたブロック暗号である）

ここで研究者が行ったのは、「安易な成果ではなく、本当に新規なアイデアを探せ」という3回程度の短い指示だけでした。方針を転換したMythosは、その後3日間でMöbius Bridgeに到達しています。

この経緯には、実務にも通じる示唆があります。フロンティアモデルは、探索空間を素直に評価すると「解なし」と結論しがちですが、探索の方向性そのものを人間が指定し直すと結果が変わるケースがあるということです。AIに難問を投げる立場からすると、モデルが「できない」と答えたときにそれをそのまま受け取るか、探索の枠組みを変えて再投入するかで、得られる成果が大きく変わり得ます。

人間の検証がボトルネックになるという新しい課題

Anthropicが繰り返し強調しているのは、発見のスピードではなく検証のコストです。

• Claudeが1週間で発見した結果を、人間の研究者が正しさを確認するのに数百時間を要した
• AESの結果については、2名の研究者が確信を得るまで約1か月かかった

Anthropic公式のコメントを引用します。

過去数か月、我々の時間の大部分はClaudeの結果の正しさを検証することに費やされた。人間の研究者が、技術的妥当性・新規性・有用性を検証する部分でボトルネックになる可能性がある。

言語モデルが非常に多くのバグを発見できるため、標準的な人間のプロセスが追いつくのに苦労しているという事実に、サイバーセキュリティコミュニティは今まさに直面している。

これは暗号研究に限った話ではありません。脆弱性報告、コードレビュー、セキュリティ監査など、「AIが大量に出力し、人間が検証する」構造を持つあらゆる業務で同じボトルネックが発生します。AIによる脆弱性検出を業務に組み込む場合、検出能力ではなく検証体制のほうが先に限界を迎える可能性を織り込んで設計する必要があります。

この論点は、AIエージェントのセキュリティ対策 や 生成AIのセキュリティリスクと対策 でも扱っている、AI導入時の運用設計の問題と地続きです。

Claude Mythosは使えるのか

出典：Anthropic 公式サイト

現時点で、Claude Mythos Previewは一般提供されていません。 2026年4月7日にAnthropicが発表したフロンティアモデルで、限定的な形での提供に留まるとされています。APIやコンシューマ向けプランから利用することはできず、料金体系も公開されていません。

さらに、2026年6〜7月にかけては米政府の輸出管理命令に絡む提供停止の報道もあり、本記事執筆時点での提供形態は未確認として扱うのが妥当です。この経緯は Claude Fable 5・Mythos 5が米政府の輸出管理命令で世界停止 にまとめています。

参考として、Anthropicが公開しているベンチマーク上では、Claude MythosはCyberGymで83.1%（Claude Opus 4.6は66.6%）とされています。モデルの位置づけや申請可能性については Claude Mythosとは を参照してください。

一般に利用できる現行モデルで同等の作業を行うことは、現時点では想定されていません。実務でAnthropicのモデルを使う場合は Claude Opus 5 など一般提供モデルが選択肢になります。また、セキュリティ用途で高い能力のモデルへのアクセスを求める組織向けには Claude Cyber Verification Program（CVP） という枠組みも用意されています。

一方で、論文とデモコードは無償公開されています。検証したい場合はこちらを参照できます。

• Anthropic公式研究記事: Discovering cryptographic weaknesses with Claude
• HAWK鍵回復論文: hawk_key_recovery.pdf
• AES Möbius Bridge論文: aes_mobius_bridge.pdf
• AESの思考過程を記録した文書: aes_mobius_bridge_cot.pdf
• CryptanalysisBench論文: arXiv:2607.18538
• デモコード（Apache-2.0）: anthropics/cryptography-research-demo
• NIST第3ラウンド追加署名候補ページ: csrc.nist.gov
• pqc-forum投稿: HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1

デモコードは AES/ HAWK/ LEA/ の3ディレクトリ構成で、C・Python・Rustの実装により構成要素の主張を検証できます。ただしREADMEには「Research artifact. Not maintained and not accepting contributions.（研究成果物であり、保守も貢献の受付も行わない）」と明記されているため、プロダクション利用を前提としたものではありません。

AIが暗号・脆弱性を見つける時代の全体像

今回の件は単発の事件ではなく、2025年から2026年にかけて進んできた「AIによる攻撃的セキュリティ研究」の流れの中にあります。Anthropicは「わずか1年で、言語モデルは最も基本的な暗号の解読すらできない状態から、人間の専門家による長年のレビューを逃れてきた暗号設計の欠陥を発見できる状態にまで到達した」と述べています。

主要なプレイヤーを整理すると次のようになります。

注目すべきは、Anthropicが「Claudeは実装のバグではなく、アルゴリズムそのものに数学的な欠陥を見つけられる」と位置づけている点です。従来のAIセキュリティツールの多くはコードの実装ミスを探すものでしたが、今回の成果は抽象度が一段上がっています。

同時に、Anthropicはデュアルユース（両刃の剣）のリスクにも言及しています。

実世界に即座の影響を及ぼす攻撃が可能な暗号システムに対して、言語モデルが脆弱性を発見した場合、研究者はどう反応すべきかを慎重に検討することが賢明だろう。

今回は「まだ標準化されていない候補」だったため公開できましたが、稼働中の暗号に同種の欠陥が見つかった場合、開示の判断ははるかに難しくなります。AI×セキュリティの全体像は サイバーセキュリティ業界のAI活用 でまとめています。

企業が今から準備しておくべき3つのこと

今回の件で緊急対応は不要ですが、「AIが暗号設計の欠陥を見つける」という前提が現実になった以上、中期的な準備の優先度は上がります。実務として着手すべきは次の3点です。

1. 暗号インベントリの可視化

どのシステムで、どの暗号アルゴリズムを、どのパラメータで使っているかを棚卸しできていない組織が大半です。今回のように「特定のアルゴリズムに問題が出た」というニュースが流れたとき、影響有無を即座に判断できるかどうかは、このインベントリの有無で決まります。

対象は自社開発プロダクトだけでなく、利用しているSaaS、ライブラリ、証明書、ハードウェアセキュリティモジュール、IoT機器のファームウェアまで含みます。

2. クリプトアジリティ（暗号の差し替え可能性）の確保

アルゴリズムをコードに直接埋め込まず、設定や抽象化レイヤ経由で差し替えられる設計にしておくことです。今回のHAWKのように、標準化前の候補が突然退場するケースは今後も起こり得ます。特定のアルゴリズムに強く依存した実装は、移行コストが跳ね上がります。

3. ポスト量子暗号への移行計画（Harvest Now, Decrypt Later 対策）

「今は解読できなくても、暗号化された通信を収集しておき、将来の量子コンピュータで復号する」というHarvest Now, Decrypt Later（HNDL）の脅威モデルは、長期の機密性が必要なデータを扱う組織では既に現実的なリスクです。

米連邦政府では、2026年6月の大統領令により、民生系の高価値システムについて鍵共有は2030年、電子署名は2031年が移行期限とされていると報じられています（※二次情報のため、対応を検討する場合は原文の確認を推奨します）。日本企業でも、金融・医療・防衛関連のサプライチェーンに関わる場合は、取引先から移行状況を問われる可能性があります。

移行先はML-KEM（FIPS 203）とML-DSA（FIPS 204）が既定路線です。今回のHAWK撤退はこの路線に影響しません。数学的サプライズへのヘッジが必要な最重要用途では、SLH-DSA（FIPS 205）の併用が選択肢になります。

追加で検討すべき運用課題

技術面の3点に加えて、AIが生成した脆弱性報告を誰がどう検証するかという体制の問題があります。Anthropic自身が数百時間の検証コストに直面した以上、社内でAIベースのセキュリティ検査を導入する場合は、検出数ではなく検証スループットがボトルネックになる前提で設計する必要があります。

今すぐ確認すべき人 / 急いで動く必要がない人

今回のニュースへの対応温度は、立場によって大きく異なります。

今すぐ確認したほうがよい

• HAWKの採用を検討していた組織・研究プロジェクト — 標準化から撤退したため、検討を中止しML-DSAやSLH-DSAへ切り替える判断が必要
• LEAを製品に組み込んでいる組織 — 縮小版への攻撃結果が実用的なため、フルラウンド版への波及に関する続報を追う価値がある
• ポスト量子暗号の移行計画を経営に説明する立場の人 — 「PQCが破られた」という誤解が社内外で広がりやすい局面。確定済み標準は無関係である点を整理して伝える必要がある
• 暗号ライブラリ・セキュリティ製品のベンダー — 顧客からの問い合わせが増える可能性が高い

急いで動く必要はない

• 一般的なWebサービス・社内システムの運用者 — AES、TLS、VPN、ディスク暗号化に影響はなく、パッチや設定変更は不要
• 既にML-KEM / ML-DSAへの移行を進めている組織 — 計画変更は不要。むしろ方針の正しさが裏付けられた
• Claude Mythosを業務で使いたいと考えていた人 — 一般提供されておらず、現時点で試す手段がない

用語の整理

専門用語が多いテーマのため、本文で出てきた主要な用語を整理します。

よくある質問

Q. ポスト量子暗号は結局、信用できないということでしょうか？

いいえ、逆の見方が妥当です。今回欠陥が見つかったのは標準化コンペの候補段階の方式であり、正式標準になる前に発見・排除されました。これは評価プロセスが設計どおりに機能した事例です。むしろ懸念すべきは、審査が甘いまま標準化されてしまうケースのほうです。

Q. 自社のTLS証明書や暗号化設定を見直す必要はありますか？

今回の件を理由とした見直しは不要です。ただし、これとは別に、期限切れの古いアルゴリズム（SHA-1、RSA-1024、TLS 1.0/1.1など）を使い続けている場合は、今回の件と無関係に対応すべきです。

Q. AIが今後、実運用中のAESやRSAを破る可能性はありますか？

現時点で断定はできません。ただし今回の結果を見る限り、AIが得意としたのは「まだ十分に検証されていない新しい方式」と「意図的に弱められた縮小版」です。AESのように数十年にわたって世界中の研究者が攻撃を試みてきた方式に対しては、Mythos自身が当初「簡単に見つかるものは存在しない」と結論しており、7ラウンド版でも実行不可能な条件付きの改善に留まりました。急激な崩壊よりも、安全性マージンが少しずつ削られていく変化を想定するのが現実的です。

Q. 「60時間で発見」というのは、AIが自律的に暗号を破れるという意味ですか？

厳密には違います。開発に要したのは約60時間の作業時間ですが、その前後に人間による方針の指示があり、さらに結果の検証に数百時間かかっています。AES側では研究者2名が約1か月かけて確信を得ました。発見から実際に使える知見になるまでのプロセス全体では、人間の関与が依然として大きい状態です。

Q. Claude Mythosを自社のセキュリティ検査に使えますか？

現時点では使えません。Claude Mythos Previewは一般提供されておらず、APIからも利用できません。セキュリティ用途でAIを活用したい場合は、一般提供されているモデルや、各社のセキュリティ特化サービスを検討することになります。

Q. HAWKは今後復活する可能性はありますか？

提出チームが自主的に撤退したため、現行の追加署名プロセスでの復帰は想定されていません。技術的にはパラメータを2倍にすれば安全性を回復できるとされていますが、それではHAWKの利点である署名サイズの小ささが失われ、既存標準に対する優位性がなくなります。第3ラウンドの更新提出パッケージ締切は2026年8月14日、次回のPQC標準化カンファレンスは2027年上半期に予定されています。

Q. 国内の報道と海外の報道で内容に差はありますか？

情報の新しさに差があります。国内の主要報道の多くは7月28日の発表内容までを扱っており、7月29日のHAWK撤退やNIST候補ページの更新までは反映されていないものが目立ちます。技術的な詳細（96コアサーバで3時間42分、2^105選択平文の前提、CryptanalysisBenchの内訳など）は海外テック系メディアのほうが厚く報じています。

まとめ

Claude Mythos Previewによる今回の発見は、技術的には重大だが、実務的には即時対応不要という性質のものです。耐量子署名HAWKの鍵強度は実質半減し、開発チームはNIST標準化プロセスから撤退しました。AES-128については7ラウンド縮小版に対する新攻撃「Möbius Bridge」が見つかりましたが、フル10ラウンドのAESは無傷であり、攻撃条件も現実には満たせません。確定済みのNIST PQC標準（ML-KEM / ML-DSA / SLH-DSA）も無関係です。

一方で、この出来事が示した構造変化は無視できません。人間の暗号学者が2年近く審査した方式の欠陥を、格子暗号の専門家ではない研究者1名の助言とAPIコスト約10万ドルで見つけられたという事実は、暗号標準化のあり方そのものに影響します。同時に、AIが出した結果を人間が検証するコストが新しいボトルネックとして顕在化しました。

企業として今すべきことは、慌てて暗号を入れ替えることではなく、どこで何の暗号を使っているかを把握し、必要になったときに差し替えられる状態を作っておくことです。今回のような発表は今後も繰り返されると考えるほうが自然であり、そのたびに影響有無を素早く判断できる体制が実質的な備えになります。