🔬 Deep Dive｜Anthropic、NIST 曲線の種の解明と量子回路の研究を同日公開

Anthropic は10月16日 (日本時間17日未明)、暗号と量子計算にかかわる研究を 2 本、同じ日に公開した。1 本は、米国立標準技術研究所 (NIST) の楕円曲線暗号の「種」が、1990 年代の古い乱数生成器と 1997 年の時刻から作られていたことを、社内の研究用モデルの Claude が 30 分足らずで突き止めたもの。もう 1 本は、Claude Mythos 5 が、楕円曲線の計算を行う量子回路を、既存の設計より大幅に少ないゲートで組んだものだ。

Anthropic: Claude reveals ECDSA curve origins (10月16日／lrand48 と Unix 時刻・P-256 は1997年8月16日の時刻で 1,842 番目・34 通りの走査と LLL・B-163 と多くの基点は未解明・暗号の破れではない・懸賞は ISRG へ寄付)anthropic.com

前者は 25 年来の疑問を解き、標準の曲線に裏口が仕込まれているという説を弱めた。後者は、将来の量子計算機で楕円曲線暗号を破るための部品を、AI が設計できることを示した。AI は暗号の過去の謎を解く側にも、将来の攻撃の設計図を描く側にも回った。

暗号資産の鍵は楕円曲線の上に乗っている。だが 2 本は、ビットコインの鍵との関わり方がまったく違う。LiveMakers は2本をそれぞれ 10月17日の Signal と 10月18日の Signal で伝えた。本稿は 2 本を 1 つの流れで読み、まだ分かっていない点、ビットコインの鍵との関係、そして鍵を守る時間軸を何が決めるのかを見ていく。

25 年の疑問 — NIST 曲線の種はどこから来たか、なぜ裏口が疑われてきたか

NIST は2000年、楕円曲線を使う電子署名 ECDSA を連邦の標準 FIPS 186-2 に採り入れた。このとき素体とバイナリ体の曲線について、「種」と呼ぶ数を公表した。種をハッシュ関数に通した値が、曲線の係数を決める。種から係数がどう出たかは誰でも確かめられるので、作り手が都合のよい曲線を選べないことを示す仕組みのはずだった。

穴は、種そのものの出所にあった。種は米国家安全保障局 (NSA) が提供したもので、どう作ったかの説明はなかった。種を自由に選び直せるなら、ハッシュを何度も試して、作り手だけが知る弱点を持つ曲線を選ぶ余地が残る。この疑いが、NIST 曲線に裏口があるという説の根になってきた。

種を作ったのは NSA の Jerry Solinas 氏で、英語の冗談めいた一文をハッシュにかけたという話が伝わっていた。だが本人は正確な文を思い出せず、2023年に亡くなった。暗号技術者の Filippo Valsorda 氏は2023年10月、P-192 から P-521 までの 5 つの曲線について、種の元になった入力を見つけた人に懸賞を出すと発表した。愛好家の調査も続いたが、答えは出ていなかった。

答えは 1997 年の時刻と古い乱数 — 何が分かり、何がまだ分からないか (B-163 の種・多くの曲線の基点)

Anthropic の Frontier Red Team の発表によると、社員が手がかりを示さずに社内の研究用モデルに尋ね、モデルは 30 分足らずで答えを出した。種はハッシュの出力ではなかった。C 言語の標準ライブラリにある乱数生成器 lrand48 を、Unix 時刻 (1970 年からの秒数) で初期化して取り出した値だった。

たどり方はこうだ。モデルはまず、当時のソフトが 90 年代の弱い乱数生成器を使ったと見当をつけ、生成器と出力の切り出し方の組み合わせ 34 通りを種に当てた。一部の種で上の桁がすべて 0 になっていることに気づき、48 ビットの内部状態の上位 31 ビットだけを返す lrand48 の特徴と合うと見た。出力の桁が少ない素体の曲線については、格子簡約 (LLL) という数学の手法で隠れた内部状態を復元し、状態を逆にたどって初期化の時刻に行き着いた。

P-256 の例では、初期化の時刻は1997年8月16日 1 時 52 分 34 秒 (協定世界時) で、種は生成した候補の 1,842 番目だった。解けた種は次のとおりだ。

素体の曲線: NIST の P-192、P-224、P-256、P-384、P-521 と、ANSI X9.62 の 5 本。初期化の時刻は 10 本すべて1997年5月から1998年4月の間
バイナリ体の曲線: B-233、B-283、B-409、B-571 の 4 本。時刻をそのまま読むと1984年2月になるが、値を 2 倍すると1998年4月17日、P-224 の作業の 2 週間後になる。プログラムが時刻を半分にしていた可能性があると、発表は条件付きで書いている

分かっていないことも、発表ははっきり書いている。バイナリ体の 5 本目、B-163 の種は、試したどの方法にも合わない。曲線のもう 1 つの要素である基点は種からは決まらず、生成の方法が分かったのは P-192 と ANSI の 5 本の計 6 本だけだ。P-224、P-256、P-384、P-521 とバイナリ体の曲線の基点は、まだ説明がつかない。P-256 では、同じ実行の 876 番目の候補も同じ条件を満たす曲線になったが、なぜ 1,842 番目を選んだのかも分からない。

それでも、裏口説への効き目ははっきりしている。種は、誰でも再現できる時刻ベースの単純な乱数から出ていた。条件を満たす候補を飛ばした数も少なく、発表は、弱い曲線が選ばれたとは考えにくいとしている。発表自身が、これは暗号の破れでも新しい攻撃でも ECDSA の曲線の弱点でもないと明記している。懸賞の 36,864 ドル (寄付に回す場合の 3 倍の額) は、ウェブの暗号化を担う非営利団体 ISRG に寄付する。

同じ日のもう 1 本 — 量子回路の設計を AI が担う (演算の削減と、その条件)

もう 1 本は、Anthropic の STEM Fellows Program の Andi Gu 氏が主導し、ハーバード大学の Susanne Yelin 氏と Mikhail Lukin 氏が協力した研究だ。使ったモデルは Claude Mythos 5 と明記されている。論文は10月15日に arXiv に出た。

Claude には、化学、最適化、物理のシミュレーション、整数論の 8 つの量子回路の仕様を平易な言葉で渡した。自動の評価器が設計の正しさを確かめ、量子ビットの数とゲートの数の積で採点する。人は各回の間に手を入れない。論文の要旨によると、8 つのうち 7 つで、Toffoli ゲート (量子計算で費用の大きい基本演算) と量子ビットの両方を、これまでの最良の設計より大きく減らした。

暗号にかかわるのは、楕円曲線の点の足し算だ。楕円曲線の離散対数問題を量子計算機で解くアルゴリズムの中核の部品で、ここが軽くなるほど、暗号を破るのに要る量子計算機は小さくて済む。Claude は 53 時間の 1 回の実行で、divsteps と呼ぶ古典の手法を可逆な形に作り直し、量子回路で実用になるモジュラ逆元 (割り算に当たる計算) を初めて組んだ。式の正しさは数値で確かめたうえで、定理証明系 Lean で形式的に検証している。

結果は「量子ビットは 12% 多いが、ゲートは 17 分の 1」だ。この 2 つは必ず組で読む必要がある。比べた相手は、量子ビットを最も少なく抑えた既存の設計で、量子ビットをやや増やす代わりにゲートを大幅に減らした、という取引の形をしている。ゲートだけが 17 分の 1 になったわけではない。

発表は、回路の設計が速くなれば、実用的な量子計算機の到来が予想より早まりうると書く。一方で、回路の設計は有用な量子計算機を作る一部にすぎず、誤り訂正やハードの制御も要るとも書いている。

ビットコインの鍵はどちらにどう関わるか — secp256k1 は NIST 曲線ではない／量子回路の研究は楕円曲線全般に効く

2 本は、ビットコインの鍵との距離が正反対だ。

種の件は、ビットコインに直接は関係しない。ビットコインやイーサリアムの署名が使う楕円曲線は secp256k1 で、民間の団体 SECG が定めた規格 SEC 2 で「Koblitz 曲線」に分類される。係数は a = 0、b = 7 という小さな定数で、種から作ったものではない。今回出所が分かった種は、同じ SEC 2 で secp256r1 と呼ばれる P-256 など、「検証可能な乱数で選んだ」側の曲線のものだ。P-256 はウェブの暗号化通信などで広く使われている。

量子回路の件は、逆に楕円曲線全般にかかわる。量子計算機で楕円曲線の秘密鍵を求める攻撃は、曲線の係数の出所を問わない。素体の上の点の足し算が軽くなれば、secp256k1 にも原理の上では同じように効く。比較の基準になった研究の 1 つ、André Schrottenloher 氏の2026年6月の論文は、まさに secp256k1 を例に必要な量子ビットとゲートを見積もっている。

整理すると、NIST 曲線の謎が解けても、ビットコインの鍵は強くも弱くもならない。量子回路の改良は、いま動く量子計算機でビットコインの鍵が破れることを意味しないが、将来それに要る機械の規模を小さくする方向に働く。SNS では「Claude がビットコインの鍵を解読した」という主張も出回ったが、2 本の発表のどちらもビットコインに触れておらず、種の発表は暗号の破れではないと明記している。

鍵を守る時間軸を決めるもの — 量子のハードと AI の研究速度。業界の耐量子の動き (提案・連合) との接続

これまで、楕円曲線暗号がいつ量子計算機に破られるかは、主にハードの進み具合で語られてきた。量子ビットを何個、どれだけ低い誤り率で動かせるか、という問いだ。今回の量子回路の研究は、そこにもう 1 つの変数を足した。同じハードで攻撃を走らせるために要る資源を、AI がどれだけ速く削れるかだ。

AI は人の研究者のように、何年もかけて 1 本ずつ改良を積む必要がない。53 時間の 1 回の実行でゲートを 17 分の 1 にする設計が出たなら、同じことは次のモデルでも、次の課題でも起こりうる。必要な量子計算機の規模の見積もりは、ハードの進歩と回路の改良の両側から縮んでいく。鍵を守るための猶予は、ハードの工程表だけでは読めなくなった。

暗号資産の業界は、この猶予を前提に動き始めている。LiveMakers は10月12日の Deep Dive で、耐量子の署名をイーサリアムはハッシュ型で、Tron は格子型で進める動きを整理した。10月16日には、ブロックチェーンの 9 つの組織が、耐量子の対応の基準を公開でつくる Quantum Alliance を立ち上げた (10月18日の Signal)。各チェーンの移行は、提案から実装、利用者の鍵の移し替えまで年単位の時間がかかる。猶予の見積もりが縮むほど、移行の着手を前に寄せる圧力は強まる。

一方、過去の側の謎解きは、標準への信頼を少し取り戻した。P-256 を使うウェブの通信や、NIST の標準に対する「裏口があるかもしれない」という疑いは、今回の発見で大きく後退した。AI は同じ週に、既存の暗号への信頼を補強し、同時に将来の暗号を急がせる材料も出したことになる。

次に見るもの

確認先は 3 つある。1 つ目は Anthropic の ECDSA の発表ページで、B-163 の種と、P-256 などの基点の出所に追記が出るか。2 つ目は Filippo Valsorda 氏の懸賞のページで、解決の追記が出るか。3 つ目は arXiv の量子回路の論文で、点の足し算の回路について、他の研究者による資源の見積もりの再検証や、secp256k1 の規模での数字が出るかどうかだ。量子計算機で楕円曲線を破るのに要る資源の見積もりは、この 1 年で何度も更新されている。次の更新の幅が、各チェーンの耐量子の移行計画の前提を左右する。

ことば

種 (シード) — 楕円曲線の係数を作るときに、ハッシュ関数に入れる元の数。種と手順を公開すれば、作り手が都合のよい曲線を選んでいないことを示せるはずだったが、種そのものの出所が説明されず、25 年の疑問になっていた。
secp256k1 — ビットコインやイーサリアムの署名に使われる楕円曲線。SECG の規格 SEC 2 で定められ、係数は a = 0、b = 7 の小さな定数で種を使わない。今回の種の件の対象外だが、量子計算機による攻撃の対象にはなりうる。
Toffoli ゲート — 量子計算の基本演算の 1 つで、誤り訂正をした量子計算機では特に費用が大きい。暗号を破る回路の重さは、この数でよく測られる。Claude の回路は既存の設計より大幅に減らした。

🔗 一次ソース