イーサリアム（Ethereum）共同創業者のヴィタリック・ブテリン（Vitalik Buterin）氏は2026年10月7日、AIによる数学研究の加速によって、ポスト量子暗号（PQC）の有力候補である格子ベース暗号の実用的な安全性が今後2年以内に大きく損なわれる可能性を公表しました。耐量子暗号の移行準備を進める日本のシステム設計においても、米国立標準技術研究所（NIST）標準方式の選定根拠そのものの再検証が求められます。
AIによる数学証明加速と格子暗号を巡る議論の激化
今回の議論の直接の契機となったのは、2026年10月6日にOpenAIが発表した、社内フロンティアモデルによる数学分野の研究成果です。約4,000件の研究課題から導出された372系統・722編の原稿が公開され、定理証明支援系「Lean」などによる形式検証済みの証明が含まれていたことで、機械学習が高度な数学構造の解明を劇的に加速させる実態が示されました。
これを受け、イーサリアム財団（Ethereum Foundation）の研究者であるジャスティン・ドレイク（Justin Drake）氏は翌10月7日、AI主導の数学的ブレイクスルーによって、量子計算機の成熟（Q-Day）よりも早くECDSA（楕円曲線暗号）が解読される恐れがあると指摘しました。ドレイク氏は、公開鍵がオンチェーン上に露出していない未使用アドレス（フレッシュアドレス）へ段階的に資産を退避させる「バンカーモード（bunker mode）」の準備を呼びかけました。
この投稿に対し、ヴィタリック・ブテリン氏は楕円曲線暗号にとどまらず、PQCの本命と目されてきた格子ベース暗号全般へのリスクを言及しました。ブテリン氏は、NISTが標準化した電子署名「ML-DSA」や、完全準同型暗号（FHE）、格子ベースのコミットメントが今後2年以内に実用的な安全性を損なうリスクを挙げ、暗号資産業界およびセキュリティ界隈に警鐘を鳴らしました。
米国立標準技術研究所（NIST）は2024年8月にPQC標準（FIPS 203、FIPS 204、FIPS 205）を正式発行し、多くのエンタープライズやブロックチェーンが格子ベース暗号への移行を前提にロードマップを組んでいます。しかし、ブテリン氏の指摘は「量子プロセッサの物理的な進展」を待つことなく、「AIによる純粋数学的アルゴリズムの突破」によって標準暗号の強度が瓦解する可能性を提起しています。
| 方式区分 | アルゴリズム名 | NIST標準化規格 | 署名/鍵サイズの特徴 | AIによる数学的リスク評価 |
|---|---|---|---|---|
| 格子ベース暗号 | ML-DSA（旧Dilithium） | FIPS 204 | 署名サイズ：約4,627バイト（ML-DSA-87） | AIが格子の数学的構造を解明し、最短ベクトル問題の計算量を削減する恐れ |
| 格子ベース暗号 | ML-KEM（旧Kyber） | FIPS 203 | 公開鍵サイズ：約1,568バイト（ML-KEM-1024） | 鍵カプセル化における格子問題の複雑性が想定より早期に低下する懸念 |
| ハッシュベース署名 | SLH-DSA（旧SPHINCS+） | FIPS 205 | 署名サイズ：約49KB（パラメータ依存で巨大） | 基礎がハッシュ関数の一方向性のみに依存し、代数構造を持たないためAI耐性が高い |
| 楕円曲線暗号（現行） | ECDSA（secp256k1） | 既存標準 | 署名サイズ：約64バイト | AIやShorアルゴリズムの発展により、最も早期に秘密鍵逆算のリスクに直面 |
業界関係者の間でも意見は分かれています。暗号資産カストディ大手のLedgerで最高技術責任者を務めるチャールズ・ギルメ（Charles Guillemet）氏は、アドレス再利用の回避は合理的としつつも、資産の拙速な大量移行は運用の人為的ミスによる損失を招くとして慎重な対応を呼びかけました。
また、Coinbaseの暗号技術責任者であるイェフダ・リンデル（Yehuda Lindell）教授は、AIが定理を証明したとしても本質的に困難な計算複雑性クラスが直ちに崩壊する実証にはならないと反論しました。同時にリンデル氏は、仮に楕円曲線や格子が数学的に突破されれば、暗号資産のみならずインターネット全体の公開鍵認証基盤（PKI）が麻痺すると指摘しています。
参考記事: Bitcoinの耐量子移行にAIも新たな論点｜Anthropic研究が突きつける「AI-Day」リスクと暗号アジリ…
素因数分解の歴史に学ぶ「構造的脆弱性」とハッシュ回帰の力学
なぜAIの発展が格子ベース暗号を脅かすのか、ブテリン氏はRSA暗号の歴史を引用して説明しています。
計算量削減の歴史的再来
RSA暗号の基礎である大きな整数の素因数分解は、当初2の(n/2)乗の計算量を要すると仮定されていました。しかし、1980年代から1990年代にかけて「数体篩法（Number Field Sieve）」が考案されたことで、計算量は約2のO(n^(1/3))乗へと大幅に削減されました。
この数学的ブレイクスルーの結果、RSA暗号は安全性を維持するために公開鍵サイズを64バイト程度から数千ビット（約400バイト以上）へと急激に大型化させる必要が生じました。ブテリン氏はこの歴史を踏まえ、楕円曲線や格子ベース暗号にも未解明の数学的ショートカット（クローゼットの中の骸骨）が潜んでいる可能性を指摘します。人間が数十年かけて見つけられなかった解法を、AIの形式推論が短期間で特定するシナリオです。
格子ベース暗号の成立要件と限界
格子暗号は、多次元格子空間における「最短ベクトル問題（SVP: Shortest Vector Problem）」や「最近ベクトル問題（CVP）」の計算困難性に依存しています。量子計算機であっても多項式時間で解くアルゴリズムが存在しないとされてきたため、NIST標準の中心に据えられました。
しかし、格子暗号の実装は代数的な対称性や特定の幾何学的トラップドアに依存しています。機械学習モデルが高次元幾何学の対称性を利用した近似アルゴリズムを自動生成した場合、想定されていた計算複雑性のオーダーが数体篩法のように切り下げられる理論的リスクを孕んでいます。
ハッシュベース署名と「リーン・イーサリアム」の設計思想
ブテリン氏は、代数構造を持たないハッシュ関数ベースの方式への回帰を提示しています。ハッシュ関数は「P=NP」問題が肯定的に解決されない限り構造的なショートカットが存在せず、AIによる数学的解析に対しても極めて強固です。
イーサリアムの最新設計構想である「リーン・イーサリアム（Lean Ethereum）」では、ML-DSAやFalcon、ゼロ知識証明内の格子ベース構成を意図的に排除しています。代わりに、WOTS（Winternitz One-Time Signature）やSLH-DSA（旧SPHINCS+）などのステートレス・ハッシュベース署名のみで署名・検証基盤を構築する方針を固めました。
公開鍵暗号（暗号化・復号）に関してはハッシュ関数単体では構成できないため、格子暗号や符号ベース暗号を引き続き使用せざるを得ないものの、ブテリン氏は安全マージンを確保するために鍵サイズを従来の「10倍」に引き上げることを推奨しています。
参考記事: イーサリアム最新ロードマップの全貌｜耐量子暗号とネイティブプライバシーがもたらす構造転換
国内の暗号移行計画とセキュリティ基盤への影響
この動向は、Web3や暗号資産業界単体の問題にとどまりません。国内エンタープライズ、金融機関、官公庁が策定を進めている耐量子暗号移行ロードマップに直接的な修正を迫る要素となります。
公開鍵露出リスクとオンチェーン資産
デロイト（Deloitte）の調査データによると、ビットコイン全供給量の約25%（約400万BTC）が、過去の送金トランザクション等によって公開鍵がブロックチェーン上に露出しているアドレスに存在しています。通常、アドレスは公開鍵のハッシュ値で隠蔽されていますが、一度でも送金を行うと公開鍵自体がオンチェーンに記録されます。
AIや量子計算によって楕円曲線暗号が解読可能になった場合、これらの露出アドレスは即座に秘密鍵を逆算される危険に晒されます。国内の暗号資産交換業者（暗号資産交換業者登録済み各社）にとっても、コールドウォレットにおけるアドレスの使い回し禁止運用の徹底や、未使用アドレスへの残高集約といった運用規程の見直しが急務となります。
NIST標準単一依存のリスク
日本の政府統一基準や金融情報システムセンター（FISC）の安全対策基準は、多くが米国のNISTガイドラインおよびCRYPTRECに準拠しています。多くの国内SIerやベンダーは、FIPS 203（ML-KEM）やFIPS 204（ML-DSA）の実装を進めてきました。
しかし、NISTのPQC第1弾が格子ベース暗号に過度に偏重していた事実は以前から一部で懸念されていました。仮にブテリン氏の予測通り、今後2年以内に格子問題に対するアルゴリズム的弱体化がAIによって証明された場合、国内企業が採用したPQCモジュールは再置換を余儀なくされます。
| 分野 | 現行計画（格子ベース依存） | AIリスク顕在化後の課題 | 回避策（暗号アジリティ） |
|---|---|---|---|
| 金融機関・送金システム | ML-DSAによるトランザクション署名 | 署名検証基盤の脆弱化、鍵更新コストの増大 | ハッシュベース署名（SLH-DSA）とのハイブリッド署名 |
| 通信・TLSインフラ | ML-KEMによる鍵交換 | AIによるトラップドア解読、秘匿通信の遡及解読 | 鍵サイズを10倍化したパラメータ拡張、または符号ベース暗号の併用 |
| ブロックチェーン・Web3 | 単一アドレスの反復利用、ECDSA署名 | 公開鍵露出アドレスからの不正引き出しリスク | アドレス使い回しの完全排除、未使用アドレスへの定期分散 |
| IoT・組み込み機器 | 署名サイズ数KBの格子暗号ハードウェア実装 | ハードウェア化後のアルゴリズム陳腐化 | ファームウェア側で複数方式を差し替え可能な暗号アジリティ設計 |
暗号アジリティ（Crypto-Agility）の実装障壁
特定のアルゴリズムに依存せず、暗号方式を柔軟に入れ替え可能にする「暗号アジリティ」の重要性が叫ばれていますが、日本国内の既存システムへの適用には物理的・構造的な障壁が存在します。
第1に、署名および鍵サイズの肥大化問題です。現行のECDSA（約64バイト）から格子暗号のML-DSA（約4.6KB）への移行だけでもパケット分割やメモリ逼迫が生じますが、AI耐性を重視してハッシュベースのSLH-DSA（数万バイト）や10倍化された格子パラメータを採用する場合、既存の通信プロトコルやデータベース設計の上限を大幅に超過します。
第2に、組み込み機器やICカードにおけるハードウェアアクセラレータの固定化です。自動車のECUや決済端末に特定の格子演算回路（多項式乗算器など）をASICとして焼き込んでしまった場合、AIによる数学的攻撃でアルゴリズムが破られた際に物理交換以外の対応手段が失われます。
参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ
暗号ライフサイクル短縮に備える技術選定
ヴィタリック・ブテリン氏の問題提起は、「量子コンピューティングが物理的に完成するまで暗号は安全である」という従来のタイムライン仮説を修正するものです。AIによる数学研究の加速という変数を前提とした場合、技術責任者やインフラ設計者は以下の3点を行動指針として組み込む必要があります。
- 格子暗号単一標準へのロックインを回避する
NIST標準（FIPS 203/204）に準拠したライブラリを採用する場合でも、モジュール全体を格子方式に固定せず、SLH-DSA（ハッシュベース）や古典暗号とのハイブリッド構成が選択可能なアーキテクチャを維持すること。通信帯域やストレージ容量のサイジングは、将来的な鍵サイズ10倍化やハッシュベース署名の数十KB単位のペイロードを許容できるよう余裕を持たせて設計します。
- オンチェーンおよび公開鍵管理の運用プロトコルを即時見直す
ブロックチェーンを扱う企業やカストディ事業者は、トランザクション発行に伴う公開鍵露出リスクを監査し、アドレスの再利用を厳格に禁止するウォレット運用へ移行すること。未使用アドレスへの計画的な資産分散を進めつつ、ブテリン氏が指摘した「性急な資産移行に伴うヒューマンエラー」を防ぐための自動化ツールを整備します。
- ハードウェアへの暗号アルゴリズム直載せを凍結する
ライフサイクルが10年以上に及ぶ産業機器やスマートメーター、車載機器において、格子暗号専用の固定ハードウェアアクセラレータの採用を避け、FPGAなどの再構成可能ロジック、あるいはファームウェア更新で暗号コアを差し替えられる設計を必須要件とすること。アルゴリズムの寿命が年単位で縮退するリスクを前提に、ハードウェアの調達・設計基準を改定します。
AIが解法を導き出すスピードが人間の研究サイクルの限界を超える中、特定の暗号方式に対する絶対的な信用を前提としたインフラ設計は成立しなくなっています。アルゴリズムが破られることを前提とした耐障害性の確保こそが、次世代システム選定の基準となります。
出典: finance.biggo.jp
出典: Cryptopolitan
出典: The Defiant
出典: National Institute of Standards and Technology (NIST)
出典: Bankless
