ヴィタリック氏「慌てて資金を移すのは勧めない」　AIの暗号解読リスクで

AI数学で格子暗号に新たなリスク

イーサリアム（ETH）共同創設者のヴィタリック・ブテリン氏は8日、X（旧ツイッター）への投稿で、AIによる数学研究の加速が暗号技術の安全性を脅かす可能性に言及した。量子コンピュータへの耐性を持つとされる格子暗号についても、向こう2年間のAI数学によって実効的な安全性が大きく損なわれる可能性は十分にあるという。

同氏は、現時点で新しいウォレットへ慌てて資金を移すことは勧めないとした。そのうえで、量子コンピュータに脆弱な暗号だけでなく、AIに脆弱となりうる暗号への露出も最小化すべきだと主張している。業界ではこれまで、楕円曲線は破られてもハッシュと格子は安全だとする見方が主流だった。同氏が挙げた新たなリスク領域は「ML-DSA、FHE、格子」だ。

格子暗号は、多次元の格子上で最短ベクトルを探す問題などの計算の難しさを安全性の根拠とする暗号方式。量子コンピュータでも効率的に解けないと考えられており、米国立標準技術研究所（NIST）が標準化した署名方式ML-DSAも格子暗号に基づく。FHE（完全準同型暗号）は、データを暗号化したまま計算できる技術を指す。

素因数分解の前例と鍵サイズ10倍論

ブテリン氏が示した脅威モデルは、RSA暗号の歴史に基づく。素因数分解に必要な計算量は、数十年にわたる研究で数体ふるい法が見いだされ、改良されたことで大幅に引き下げられた。RSAの鍵や署名が64バイトではなく約400バイト必要なのはこのためだ。楕円曲線や格子にも人間がまだ発見できていない同様の弱点が潜んでいて、AIが近いうちに見つけるかもしれないと問題提起した。

署名や証明はハッシュ関数だけで構成できる。課題は公開鍵暗号で、ハッシュのみでは実現できないことを示す数学的定理が以前から存在するという。群論（同種写像を含む）や格子、符号ベースなど何らかの「構造」を持つ仕組みが必要になり、構造がある以上はAIによる解読の進展を想定すべきだとした。長期的な安全性を求めるなら「鍵サイズを10倍に」するのが妥当な推論の1つだと述べている。

AIが2年で50年分の数学をもたらすなら、そこに格子暗号の解読を素因数分解における数体ふるい法並みに改善する成果が含まれてもおかしくない、と同氏は指摘する。鍵サイズが大きくなった格子暗号に対しては、ハッシュ型が使える用途であれば効率面ですべて上回るという。ハッシュ関数も理論上は破られうる（P＝NPであればそうなる）が、P＝NPの可能性は非常に低いとして、現時点でバイト長を増やす必要はないとした。懸念が強まった場合も、まずラウンド数を増やすとしている。

リーン・イーサリアムはハッシュ型に

同氏によれば、こうした懸念は、イーサリアムの「リーン」ロードマップが過去1年にわたりハッシュのみの方向へ進んできた大きな理由でもある。格子やML-DSA、Falconは採用しない方針で、ZK証明内での格子ベースのコミットメントも使わない。リーン・イーサリアムの署名はすべて、ハッシュ型のWOTSかSPHINCS-のいずれかだという。

ウォレット・マルチシグへの助言

個人的な見解として示した推奨事項では、格子系を使う場合はパラメータの大きさにより慎重になるべきだとした。これはブロックチェーンに限らず、ウェブサイトへのアクセスやメッセージアプリ、Tor・VPNにも当てはまるという。プライバシープロトコルについては、暗号化したノートをオンチェーンに置かず、第三者の仕組みを通じてオフチェーンで送ることを強く勧めた。

資産の保管では、送金にまだ使っていないアドレスに資金を置くことを、手間がかからなければ勧めている。こうしたアドレスは公開鍵がチェーン上に露出しておらず、楕円曲線署名（ECDSA）が想定より早く破られた場合のリスクを抑えられる。一方で「移行には注意を」と呼びかけた。同氏自身、これまでのハッキング被害の合計よりも、移行作業の失敗で失った資金の方が多いと明かしている。

マルチシグウォレットについては、承認をオンチェーンではなくオフチェーンで行う方が望ましいとした。署名者の署名が公開されないため、ECDSAがAIで想定より早く破られても、マルチシグは署名を取りまとめる1人だけが資金を動かせる「1-of-1」の状態に劣化するにとどまる。同氏はこれを、誰でも資金を奪える状態よりはるかに良い状態だと説明した。