アンスロピック（Anthropic）のエンジニアであるスティーブン・A・ワイス（Stephen A. Weis）氏は2026年9月19日、AIモデル「Claude」と最大2,048基のGPUを活用し、270桁の公開鍵暗号数「RSA-896」の素因数分解に成功しました。現行標準のRSA-2048に対する直接の脅威ではないものの、日本国内の金融機関や基幹インフラに残存するRSA-1024鍵に対して、2030年を待たずに現実的な解読リスクを突きつける結果となっています。
16日間で2度更新された公開鍵暗号の因数分解記録
公開鍵暗号の安全性を検証するベンチマークにおいて、解読記録の更新間隔が劇的に短縮しています。1991年にRSAセキュリティ（RSA Security LLC）が開始した「RSAファクタリング・チャレンジ」以来、解読の進展は数年単位の時間を要してきました。しかし2026年9月、わずか16日間のうちに2つの記録が相次いで塗り替えられました。
発端となったのは、コグニション（Cognition AI）のリサーチャーであるエリック・ルー（Eric Lu）氏による発表です。同氏は2026年9月3日、自律型AIコーディングエージェント「Devin」を活用し、RSA-260（862ビット、260桁）の素因数分解を完了したと報告しました。この処理には、エヌビディア（NVIDIA）のGB200、GB300、B200ノードからなる混成GPUクラスタが投入され、約4,900 GPU日（約13.5 GPU年）の計算資源が費やされました。GPU時間単価に基づく市場価格換算推計では、約40万ドル規模の演算量に相当します。
それからわずか16日後の2026年9月19日、AnthropicのエンジニアであるStephen A. Weis氏がRSA-896（896ビット、270桁）の素因数分解達成を発表しました。翌9月20日にはX（旧Twitter）上で得られた135桁の素因数が公開され、暗号技術者コミュニティへ急速に拡散しました。
| 対象鍵 | 鍵長（ビット / 桁） | 達成時期 | 投入リソース（推定計算量） | 実施主体・手法 |
|---|---|---|---|---|
| RSA-250 | 829ビット / 250桁 | 2020年2月 | 約2,700 CPU年 | 学術研究チーム（CADO-NFS） |
| RSA-260 | 862ビット / 260桁 | 2026年9月3日 | 約13.5 GPU年（約40万ドル相当） | Cognition（Devin + 混成GPU） |
| RSA-896 | 896ビット / 270桁 | 2026年9月19日 | 約30 GPU年（低優先度実行） | Stephen A. Weis氏（Claude + 最大2,048基GPU） |
特筆すべき点は、Weis氏が投じた計算資源の運用形態です。固定クラスタを専有したわけではなく、社内の通常業務ジョブの合間に生じるアイドル時間を活用し、低優先度ジョブとして最大2,048基のGPUを10日間にわたり束ねて実行しました。総計算量は約30 GPU年に達します。2020年にRSA-250が解読された際は約2,700 CPU年を要していましたが、GPUクラスタとAIの連携によって、より巨大な数が極めて短期間で分解されました。
参考記事: GPUクラスタの仕組みと構築戦略｜CTOが押さえるべき最前線と2030年の未来
CADO-NFSのGPU最適化とAIによるクラスタ並列化の構造
今回の成果において、Claudeが新たな数学的アルゴリズムを発明したわけではありません。解読に用いられた基礎理論は、1990年代から素因数分解の標準手法として確立されている一般数体篩法（GNFS: General Number Field Sieve）です。
素因数分解の計算は、主に多項式選定、関係式を探索する「篩（ふるい）処理」、巨大な疎行列を解く「線形代数ステップ」、そして平方根を求めて因数を抽出する「平方根ステップ」に分かれます。この中で計算負荷の大半を占めるのが篩処理です。オープンソースの数体篩法実装である「CADO-NFS」は長年CPU向けに高度化されてきましたが、GPU向けの実装は断片的な状態にとどまっていました。
Weis氏の研究および先行したCognitionの事例では、AIがこのレガシーなC言語コードベースを徹底的に解析しました。数万行に及ぶアルゴリズムのコア部分をGPUアーキテクチャに適合させ、超並列実行が可能なGPU格子篩（Lattice Sieve）コードへと書き換えた点がブレイクスルーの起点です。
AIエージェントが担った役割は、単なるコード変換に留まりません。数千基規模のGPU環境におけるメモリ帯域幅の飽和を防ぎ、計算コアへ効率的にデータを供給するメモリアクセスパターンの最適化を自律的に試行しました。さらに、2,048基のGPUフリート全体へジョブを動的に分散し、空きノードを監視してフォールトトレラントに結合するオーケストレーションのスクリプト群もClaudeによって構築されました。
従来であれば、数論とGPU並列コンピューティングの双方に精通した専門家チームが数カ月以上かけて手動で行っていた低レイヤーの最適化作業を、AIが数日から数週間で完遂させた事実が今回の核心です。高度なアルゴリズム自体の刷新を待たずとも、ハードウェアの潜在能力を極限まで引き出す実装力の獲得が、解読速度を飛躍させました。
参考記事: Bitcoinの耐量子移行にAIも新たな論点｜Anthropic研究が突きつける「AI-Day」リスクと暗号アジリ…
RSA-1024が晒される現実的脅威とRSA-2048の防壁
今回の記録更新を受け、インターネット全体の暗号基盤が即座に崩壊するわけではありません。現在、Web通信の保護（TLS/SSL）や電子署名で主流となっているRSA-2048の安全性は、数学的な難度の観点から依然として保たれています。
一般数体篩法の計算量は準指数関数的（Sub-exponential）に増大します。RSA-896からRSA-1024への拡張、さらにRSA-2048への拡張では、必要な計算ステップ数が幾何級数的に跳ね上がります。
| 鍵長 | 安全性評価 | 解読に必要な推定計算コスト | 実務上の脅威レベル |
|---|---|---|---|
| RSA-896 | 因数分解成功 | 約30 GPU年（約10日間） | 実証実験レベルで突破済み |
| RSA-1024 | 危険水準 | 約3,000万ドル規模のGPU演算（RSA-260の約78倍） | 国家機関・ハイパースケーラーの攻撃射程圏内 |
| RSA-2048 | 現行標準として安全 | RSA-1024の約10億倍の計算難度 | 古典的コンピュータでは解読不可能 |
Eric Lu氏の試算によると、RSA-1024の解読に必要な計算量はRSA-260の約78倍です。現在の商用GPUクラスタの市場価格で試算した場合、1鍵あたり約3,000万ドルの演算リソースを投じることで因数分解が可能とされています。コードの最適化がさらに進めば、この金額は数百万ドル単位まで圧縮される余地があります。
数千万ドルというコストは、一般的なサイバー犯罪者にとっては依然として高い障壁です。しかし、国家情報機関や大規模なデータセンターを自前で運用するハイパースケーラーにとっては、極めて戦略的価値の高い対象であれば十分に支払える範囲に入っています。Weis氏自身も公式ブログにおいて、「RSA-2048の安全性に影響はないが、RSA-1024はデータセンター規模のGPUフリートを持つ組織に対して脆弱である」と明確に警鐘を鳴らしています。
一方で、RSA-2048はRSA-1024と比較して約10億倍の計算量を要求します。仮に数万基の最新GPUを並列稼働させたとしても、現行のアルゴリズム実装の延長線上で解読することは物理的に不可能です。
国内システムに残存するレガシー暗号と2030年規制への直面
この成果が日本国内のITインフラに突きつける課題は、レガシー暗号の運用実態と安全保障上のタイムラインの乖離です。
米国国立標準技術研究所（NIST）は2024年11月に発表した「NIST IR 8547」ドラフトにおいて、RSA-2048を含む112ビットセキュリティ鍵について、2030年以降に「非推奨（deprecated）」、2035年以降に標準規格から「禁止（disallowed）」とする移行計画を提示しました。さらに2026年6月の大統領令14412および行政管理予算局（OMB）のM-26-15覚書により、米連邦政府機関では2035年までの耐量子暗号（PQC）完全移行が義務化されています。なお、RSA-1024などの112ビット未満の公開鍵暗号は、すでに2013年末の「NIST SP 800-131A Rev.2」によって連邦政府での新規使用が禁止されています。
日本国内においても、暗号技術検討会（CRYPTREC）による電子政府推奨暗号リストにおいて、RSA-1024は運用監視暗号（互換性維持のみを目的とし新規利用は禁止）に位置付けられて久しい状況です。しかし、国内のエンタープライズや社会インフラの現場では、以下の領域にRSA-1024がサイレントに残存しているケースが少なくありません。
- 金融機関や公共機関の閉域網内で稼働し続ける基幹系メインフレームの通信暗号
- 工場・プラント内で長期稼働する産業用制御システム（ICS/SCADA）の認証機能
- 機器のファームウェア署名検証にハードコードされた古い公開鍵証明書
- 過去に暗号化されたまま長期保管されている医療データや機密バックアップデータ
従来、これらのレガシーシステムは「閉域網に接続されているため攻撃が困難」「解読には天文学的なコストがかかる」という前提のもとで改修が先送りされてきました。しかし、GPU資源の集約とAIによる実装自動化が進んだことで、過去の暗号化トラフィックを収集・蓄積しておき、後から解読する「SNDL（Store Now, Decrypt Later）」攻撃の成立閾値は急激に低下しています。
参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ
暗号アジリティ確立に向けた技術責任者の具体的手順
AIによる既存計算タスクの高速化という現実を踏まえ、企業のCTO（最高技術責任者）やCISO（最高情報セキュリティ責任者）は、将来の量子脅威のみならず、目前の計算力増強に対する防御体制を再編しなければなりません。今すぐ着手すべき実務手順は以下の3点です。
- 暗号資産インベントリの完全自動スキャン
社内ネットワーク、外部公開サーバー、CI/CDパイプライン、ソースコードリポジトリを網羅的に監査し、RSA-1024鍵および非推奨ハッシュ関数（SHA-1等）の使用箇所を洗い出します。パブリッククラウド環境だけでなく、オンプレミスのレガシーサーバーやIoTエッジ機器に組み込まれた自己署名証明書まで調査範囲を広げる必要があります。 - RSA-2048への暫定移行と楕円曲線暗号（ECC）への切り替え
残存するRSA-1024鍵が発見された場合、即座に最低でもRSA-2048、可能な限りEd25519やECDSA（楕円曲線デジタル署名アルゴリズム）への切り替えを実施します。鍵長の伸長に伴うネットワーク帯域やCPUオーバーヘッドの検証を速やかに行い、署名・検証処理のボトルネックを特定します。 - 暗号アジリティ（Crypto-Agility）を備えたシステム設計の標準化
暗号化アルゴリズムをアプリケーションロジックから分離し、設定ファイルの変更やライブラリの更新のみで次世代アルゴリズムへ移行できる疎結合アーキテクチャを導入します。ML-KEM（Kyber）やML-DSA（Dilithium）といったNIST標準のPQCアルゴリズムを組み込む「ハイブリッド暗号方式」の検証を開始し、2030年以降の全面改修コストを最小化する設計規約を策定します。
数学的ブレイクスルーが存在しない状況下でも、AIによるコード最適化とGPUクラスタの力業の結合は、計算複雑性の安全マージンを確実に削り取っています。自組織の通信と保存データが依存している暗号強度を数値で再確認し、段階的な刷新を進めることが求められます。
出典: Stephen A. Weis氏ブログ（saweis.net）
出典: Cognition公式ブログ
出典: 米国立標準技術研究所（NIST IR 8547ドラフト）
出典: Shiritomo（Hashout）
