Vitalik Buterin氏が警告、AIは2年以内にEthereum(ETH)の鍵の安全性を損なう可能性

Vitalik氏の2年警告、格子暗号の実用安全性に懸念

Ethereum (ETH)の共同創設者であるVitalik Buterin氏は10月8日(木)、AIが数学研究を加速させることで、今後2年以内に格子暗号の実用上の安全性が深刻な打撃を受ける可能性があると警告した。格子暗号はML-DSAや完全準同型暗号(FHE)を含む暗号方式の一族であり、同氏の見立てでは、予定より早くECDSAが破られる事態にもつながりかねないという。ただし、投稿の内容は「格子暗号が今日すでに破られた」ことを主張するものではない。時間軸は研究成果ではなく研究速度の側に結び付けられている。10月8日のXへの投稿でButerin氏は、AIが数学の進歩に相当する50年分を2年に圧縮し得ると論じ、Ethereum Leanロードマップがすでにそれに応じて再編成済みであることを指摘した。懸念の中心は量子コンピュータそのものではなく、その基盤となる数学の側にある。

Buterin氏は格子暗号をRSAや楕円曲線の歴史と重ねて比較した。RSAの設計者たちはかつて、2^(n/2)の総当たり的因数分解が上限だと考えていた。だが人間の長年の研究は、より賢いアルゴリズムである一般数体ふるい(GNFS)を生み出し、計算量を約2^O(n^(1/3))まで引き下げ、RSA鍵のサイズを64バイトから約400バイトへと押し上げた。同氏の推論はこうだ。格子問題には、人間がまだ賢さの限界に達していないために見つかっていない構造的な弱点が残っている可能性があり、そこにより優れた数学的経路を見つけ出す道具として最有力なのがAIだという。同氏の読みでは、2年という期間は機械支援による発見が標準化のサイクルを追い越すのに十分な長さだ。この警告は、露出済みの鍵がなぜ問題になるのかの認識も改める。ウォレットが過去に生成した署名はすべてオンチェーン上で公開されているため、暗号が突然破れた場合、過去の露出は理論上の脅威ではなく現実の標的に変わる。プロトコルの安全性を巡る議論は、遠い量子ハードウェアから、より近いソフトウェア主導の変数へと移りつつあり、Ethereumの価格とプロトコルの安全を巡る議論もその文脈で語られることになった。

Leanロードマップはハッシュ署名への転換を継続

Buterin氏が示す回答はEthereum (ETH)のLeanロードマップだ。このロードマップは過去1年で格子暗号への依存を外してきた。ML-DSAを使わず、Falconも使わず、ゼロ知識証明における格子ベースのコミットメントも採用しない。署名はWOTSやSPHINCS-といった純粋なハッシュベース方式へ移る。ネットワークのproof-of-stake設計におけるバリデータのメッセージも、そのステーキング資格も、最終的にはこの方式の上に載ることになる。同氏の立場は、ハッシュ署名が使える場所では純粋なハッシュが格子に勝る、というものだ。P対NP問題が「P=NP」で証明されればハッシュ関数も破られるが、その確率は極めて低いと評価している。この構図でいえば、署名は解ける側の半分であり、本当のボトルネックは公開鍵暗号にある。長年の研究結果は、公開鍵暗号をハッシュだけでは構成できず、群論、格子、符号ベース暗号、あるいはまだ想像されていない何かしらの構造的なトラップドアを必要とすることを示している。長期的な安全性のため、同氏は鍵長を10倍に拡大することを勧める。格子方式は2年という前提の下でも生き残り得るが、はるかに大きなパラメータが必要となり、そこでは純粋なハッシュが効率で優位を取るという。

保有者への助言は意図的に地味なものだ。可能な限り、一度も取引に署名したことのないアドレスに資金を置くこと。ECDSAが速やかに破れた場合、露出済みの公開鍵はすべて標的になる一方、未使用のアドレスはオンチェーンに何も明かしていない。同氏は焦った移行に対して明確に警告し、自身はこれまでのハックの合計よりも、失敗した移行でより多くの資金を失ったと明かす。マルチシグウォレット、通常はスマートコントラクトとして展開されるものについては、オフチェーンでの署名確認を推奨する。ECDSAが急速に陥落した場合、そうしたウォレットは署名収集者が管理する1-of-1へと緩やかに退化し、資金への無制限なアクセスに比べればはるかにましだという。この警告は単独で出たものではない。約24時間前のEuropolの報告書も、暗号資産ウォレットを量子リスクの中心に挙げ、ブロックを連結するハッシュ関数は概ね耐量子性を持つと判断した上で、弱点は署名層だと指摘していた。Justin Drake氏はすでに、ECDSA鍵のAIによる破られに対する「バンカーモード」の姿勢を呼びかけており、Leanへの転換はEthereum 2.0アップグレード以来のロードマップの伝統を受け継ぐ動きだ。より近い時期の項目としてはGlamsterdamアップグレードが並ぶ。

前提条件:構造的ブレイクスルーの発生

2年という時間軸は、現実の数学的イベントの発生を条件としており、ハードウェアの予納通りの登場を前提にしたものではない。現時点で公表された成果はML-DSAもECDSAも破っていない。変わったのは、GNFS級の弱点を探す速度であり、Buterin氏自身の枠組みはそれを事実ではなく、保険をかけ対象の確率として扱っている。投稿の直近の実行可能な半分は運用面だ。新しいアドレスの使用、マルチシグのオフチェーン確認、そして移行の自制。移行は、実際の損失源として攻撃よりも上位に位置づけられている。このリスクが現実化するには、人間か機械かを問わず、誰かが格子問題の構造的な弱点をまず論文として公開しなければならない。その論文が存在しない限り、Leanロードマップのハッシュ転換は、不確かな期限に対する保険であり続ける。