米アンドリーセン・ホロウィッツ（a16z）の暗号資産部門a16z cryptoは2026年9月9日、ラティス（格子）暗号を基盤としたオープンソースのゼロ知識仮想マシン（zkVM）「Lattice Jolt」を発表しました。米国立標準技術研究所（NIST）の暗号標準に準拠した基盤へ移行したことで、日本国内の金融機関やインフラ企業が策定を進める耐量子計算機暗号（PQC）移行計画において、ゼロ知識証明を用いた計算検証基盤の選定に直接的な選択肢を与えます。
楕円曲線から格子構造へ刷新した「Lattice Jolt」の概要
a16z cryptoが公開したLattice Joltは、RISC-V命令セットアーキテクチャ（ISA）の実行を検証するzkVMです。2024年4月に初公開された旧版Joltは、楕円曲線暗号に基づく多項式コミットメントスキーム「Dory」に依存していました。しかし今回の刷新により、暗号学的な基盤を格子暗号へ全面的に移行させています。
相互運用性プロトコルを開発するレイヤーゼロ（LayerZero）が、カーネギーメロン大学（CMU）、サザンカリフォルニア大学（USC）、およびa16z cryptoの研究チームと共同開発した多項式コミットメントスキーム「Akita」を採用しました。このアーキテクチャ刷新によって、量子計算機による解読耐性を確保しながら、証明生成速度の高速化と証明サイズの縮小を両立させています。
既存の耐量子zkVMの多くは、ハッシュ関数ベースの証明系（STARKs等）を採用してきました。しかしハッシュベースの構成では、証明サイズが200KBから600KB以上に肥大化し、ネットワーク帯域やストレージを圧迫する問題がありました。Lattice JoltはAkitaの統合により、証明サイズを65KBから80KB（100KB未満）に抑制しています。
| 評価項目 | 旧Jolt（楕円曲線 / Dory） | ハッシュ型耐量子zkVM | Lattice Jolt（格子 / Akita） |
|---|---|---|---|
| 安全性の数学的基盤 | 楕円曲線離散対数問題 | 代数的ハッシュ関数等 | Module-SIS（MSIS） |
| 耐量子耐性（PQC） | なし | あり | あり（128ビット安全性） |
| CPU証明速度 | 約100万サイクル/秒 | プロジェクト依存 | 200万サイクル/秒超 |
| GPU証明速度 | 約400万サイクル/秒 | プロジェクト依存 | 1,000万サイクル/秒超 |
| 証明サイズ | 数十KB程度 | 200KB〜600KB以上 | 65KB〜80KB（100KB未満） |
| メモリフットプリント | 約300バイト/サイクル | 比較的高負荷 | 約200バイト/サイクル |
この性能向上により、MacBookのGPUアクセラレーション（Apple Metal）環境下で毎秒1,000万サイクル超の証明生成速度を記録しました。CPU単独の実行でも毎秒200万RV64IMACサイクルを超え、旧版比で2倍から2.5倍の処理能力向上を実証しています。
LayerZeroはこの成果を基に、自社が主導するブロックチェーン「Zero」の基盤検証レイヤーへLattice Joltを組み込み、実環境での運用試験を開始しています。Ethereumのコア開発陣が2029年12月までに実行・合意・データ層の耐量子化完了をロードマップに掲げる中、実用的な検証スタックの投入は基盤移行のスケジュールに影響を与える要素となります。
参考記事: 耐量子計算機暗号（PQC）移行のロードマップと技術的課題｜G7声明が迫る暗号アジリティへの変革
AkitaスキームとModule-SIS仮定がもたらした技術的ブレークスルー
Lattice Joltが既存の課題を克服できた要因は、数学的安全性の根拠を「Module-SIS（Short Integer Solution）」問題に求めた点にあります。
従来の高速なハッシュ型SNARKsは、Poseidonなどの代数的ハッシュ関数を採用する例が多く見られました。しかし、これらは計算コストを抑えられる反面、十分な暗号解読研究の歴史を経ておらず、暗号学的な安全余裕度において議論が残されていました。
対してLattice Joltが採用したModule-SISは、NISTが2024年8月13日に正式発行した連邦情報処理規格「FIPS 204（ML-DSA）」の根拠理論と共通の数学体系に属します。標準化された格子問題へ還元できるため、128ビットのセキュリティ強度を客観的な理論値として提示可能です。
技術的な実装要件として特筆すべきは、メモリフットプリントの大幅な抑制です。Lattice Joltでは1サイクルあたりのメモリ消費量を従来の約300バイトから約200バイトへと約33%削減しました。この最適化により、従来はサーバーファームでの分散処理が前提だった100万サイクル規模のRISC-V命令証明が、スマートフォンのエッジ端末内でも完結可能となりました。
ただし、現行バージョンの実装には前提条件が存在します。公開されたコードベースは「計算の正当性検証（Verifiable Computation）」に特化しており、入力を秘匿する「完全なゼロ知識性（Zero-Knowledge Property）」は未実装です。プライバシー保護を伴う秘匿証明を実行するための拡張手法については、今後公開される追加論文とパッチによる補完が必須要件となっています。
参考記事: ゼロ知識証明（ZKP）とは？基礎から実装の落とし穴、2030年を見据えた産業インパクト
日本の暗号インフラ戦略および組込開発への影響
Lattice Joltの登場は、日本国内でプライベートチェーンや検証基盤を構築する企業に対して、技術選定の前提変更を迫る材料となります。
これまで国内の金融コンソーシアムやサプライチェーン追跡基盤では、BN254やBLS12-381といったペアリング暗号に基づく楕円曲線SNARKsが多く採用されてきました。しかし、これらはショアのアルゴリズムを走らせる量子計算機によって多項式時間で破られる脆弱性を抱えています。
Lattice Joltによって「PQC対応のzkVMは証明サイズが巨大化し、実用に耐えない」という通説が覆されたため、耐量子対応ゼロ知識証明の実装検討を前倒しできる環境が整いました。
加えて、RISC-V命令セットの採用と省メモリ化は、日本の強みである車載組込機器やIoTエッジ領域に直結します。通信帯域が限られる産業現場において、証明サイズが100KB以下に収まる特性は、OTA（Over-The-Air）アップデートの完全性検証や、工場内PLCの実行ログ検証基盤としての導入ハードルを大きく引き下げます。
一方で構造的な課題も存在します。格子暗号ベースの証明アルゴリズムを監査・デバッグできる暗号エンジニアは国内で極めて不足しています。また、現行の暗号モジュール認証制度（JCMVP）において、格子ベースの多項式コミットメントスキームを包含する評価基準は確立されておらず、エンタープライズ本番環境への導入には独自のリスク検証期間を要します。
参考記事: 耐量子暗号（PQC）のハードウェア実装ロードマップ｜主要半導体ベンダーの対応と移行の技術的課題
今後求められる技術対応
Lattice Joltのコードがオープンソースとして公開されたことを受け、暗号基盤に関わる技術責任者や事業企画者が進めるべき具体的なアクションは次の通りです。
- 既存ゼロ知識証明スタックの暗号依存性棚卸し
自社のシステムで利用している多項式コミットメント（KZG、IPA、Dory等）およびハッシュ関数（Poseidon、Rescue等）を分類し、量子耐性の有無を特定します。特にペアリング暗号に依存した検証契約が存在する場合、代替可能な署名サイズおよびガスコストの試算に着手します。
- クライアントサイドRISC-V検証のプロトタイピング
Lattice Joltのリポジトリを活用し、社内のエッジ端末やモバイル環境上でRISC-Vバイナリの証明生成ベンチマークを実施します。1サイクルあたり200バイトというフットプリントが自社ハードウェアのメモリ制約に適合するかを実機ベースで検証します。
- NIST標準（FIPS 204）との整合性確認
今後公開予定のプライバシー拡張論文を追跡し、自社のコンプライアンス要件と整合するかを精査します。Module-SISに基づく設計が社内のセキュリティポリシーを満たすか、外部監査機関と事前協議を進める体制を整えることが推奨されます。
参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ
出典: TechFlow
出典: a16z crypto
出典: KuCoin
出典: NIST
出典: daily.dev
