DeepMindのAIエージェントが2週間でRSA-1024を解析：署名偽造効率1600倍向上、真の警戒点はどこか

2026年11月7日 25 約8分 News Factory

谷歌DeepMind 密码学 RSA加密 AI安全网络安全

2026年11月6日、Google DeepMindは、AIエージェントが人間の暗号学専門家の指導のもと、わずか数週間で1024ビットRSA暗号システムの2つの弱点を発見したと発表した。この研究は、AIが暗号学研究の時間スケールを根本的に変えつつあることを示している。

2つの具体的な発見

本研究はDeepMindの研究員Dj DvijothamとAbhradeep Thakurtaが主導し、カリフォルニア大学サンディエゴ校およびInria研究所の暗号学者Nadia Heninger、Inria研究員Emmanuel Thoméとの共同研究として実施された。研究は1024ビットRSAシステムを対象とし、性質の異なる2種類の弱点を発見した。

第1の発見はデジタル署名の偽造に関するものだ。RSA署名機構では、メッセージへの署名前に構造化された「パディングデータ」が付加される。AIエージェントは、攻撃者が署名ブロック内の約半ブロック以上を制御できる場合、このパディング保護が実質的に無効化されること——署名偽造の難易度がパディングのない素のRSAとほぼ同等になること——を発見した。攻撃者がわずかなデータ（32バイトのハッシュ値など）しか制御できないシナリオでは、AIエージェントが生成した新アルゴリズムの理論的効率は従来の最良手法と比べ約1600倍向上している。チームはさらに、既存の解が存在するRSA-1024ベンチマーク鍵をサンドボックス内で検証し、従来の学術成果と比べCPU演算量を3.5分の1に削減した。

第2の発見はバッチ因数分解アルゴリズムに関するものだ。RSAの安全性は大整数の因数分解の計算困難性に基づいている。DeepMindのAIエージェントは、既知のすべての手法を漸近的複雑性において上回るバッチアルゴリズムを発見し、追加の1024ビット鍵1個あたりの平均分解コストを約30倍低減させた。

両発見はいずれも1024ビットRSAのみを対象としている。DeepMindは、2048ビット以上の鍵を使用する現代システムには影響がないと明示しており、これはオンラインバンキング、暗号化通信、ソフトウェア更新署名など現在のほぼすべての主流用途をカバーしている。

10年前に廃止された標準

1024ビットRSAは突然の被害者ではない。米国国立標準技術研究所（NIST）は2010年に発行したSP 800-131Aにおいてすでに「非推奨」と位置付け、2013年には新規の署名・暗号化への使用を正式に禁止した。NISTは1024ビットRSAのセキュリティ強度を80ビットと評価しており、これは同機関が要求する112ビットの最低基準を下回る。公的認証局は数年前から1024ビット証書の発行を停止している。

世界には依然として正確な数を把握しがたい数の組み込みデバイス、産業制御システム、老朽化したサーバーインフラ、レガシーソフトウェアが1024ビットRSAで稼働しており、これらのシステムの更新サイクルは数年から数十年単位に及ぶ。DeepMindの研究の枠組みは「AIはこれまで数年を要していた暗号解析作業を数週間に圧縮できる」と表現している。

時間的余裕が縮まっている

従来の暗号学研究には内在的な安全バッファがあった——理論的な弱点が発見されてから実際に利用可能な攻撃ツールが登場するまでに、往々にして数年を要した。DeepMindの今回の実験は新たなデータポイントを提示する：専門家の指導のもとで、AIエージェントは数学的仮説を高度に並列的な方法で検証でき、その速度は人間の数学者チームをはるかに超える。研究チームは以前なら数年を要したであろう探索作業を数週間で完了した。2026年の同時期には、後量子暗号候補であるHAWKに対する攻撃研究も公表されており、暗号学分野は同時に複数の圧力を受けている。

これは、暗号標準の移行計画をより積極的な脅威タイムラインのもとで再評価する必要があることを意味する。NISTが2026年10月27日に発表した最終版IR 8547は、すべてのRSAおよび楕円曲線暗号（ECC）の廃止期限を2030年、使用禁止期限を2035年に設定している。このスケジュールは人手による暗号解析の進行速度を前提として策定されたものだ。もしAIがその速度を一桁上げるとすれば、2030年というタイムラインがなお十分かどうかは再検討が必要だ。

暗号学研究におけるAIエージェントの真の役割

DeepMindの表現は「AIエージェントが人間の指導のもとで暗号解析研究を加速した」というものだ。Pushmeet Kohliは発表において「暗号システムへのストレステスト（stress-testing cryptographic systems）」という表現を用い、HeningerやThoméのようなトップ暗号学者が方向性の指針を担い、AIが大量の探索的計算を処理する役割分担となっている。

暗号解析には「仮説検証」に属する作業が大量に存在する——数学的アプローチを提示し、網羅的に検証するというものだ。この種の作業は人間にとっては時間と労力を要するが、まさに現在のAIエージェントが得意とするタイプである。理論的なボトルネックはAIの理解力ではなく、人間の専門家が正しい研究方向を提示できるかどうかにある。これは「レバレッジの増幅」だ——優秀な暗号学者チームがAIエージェントを活用することで、大規模研究機関の数年分の成果に匹敵するアウトプットを生み出せる可能性がある。

これはまた、暗号学の攻撃的研究と防御的研究が同じ速度で加速することも意味する。国家レベルと学術レベルの攻撃研究能力の差は、AIツールの普及によって縮まる可能性がある。

誰が直ちに行動すべきか

1024ビットRSAを運用し続けるシステム事業者にとって、この研究は実質的に新たな脅威を生み出してはいない——既存の理論的脅威をより定量化・具体化したに過ぎない。真の問題は、こうしたシステムの棚卸しと移行作業が優先事項として位置付けられているかどうかだ。

暗号標準策定機関にとっては、AIによる暗号解析加速能力の存在は、標準に受動的な弱点が生じてから対応するのではなく、継続的なAI支援ストレステスト機構を確立する必要があることを意味する。DeepMindは今回の研究の枠組みを「暗号学コミュニティへのストレステスト方法論の貢献」として位置付けている。

後量子暗号移行計画にとって、この発見は移行の緊急性を強化するものだ——RSA-2048が明日破られるからではなく、AIツールが「理論的弱点」と「実際の攻撃」の間の時間差を縮めており、既存の移行スケジュールが旧来の研究速度を前提として策定されているためだ。

独立した評価

今回の発見を「RSAの解読」と称するのは誇張であり、廃止済み標準を対象とした学術的演習に過ぎないと捉えるのは過小評価だ。DeepMindのこの研究で最も価値ある貢献は1600倍という数字そのものではなく、定量化可能なベンチマークを提供した点にある——専門家の指導のもとで、AIエージェントは暗号解析の時間スケールを年単位から週単位に圧縮できる。

この圧縮効果こそが、暗号セキュリティ計画に真に織り込むべき変数だ。「この種の攻撃はコストがかかりすぎて現実的ではない」という前提に基づくセキュリティ設計はすべて、その前提が今も成立しているかどうかを改めて検討すべきだ。