A Scenario-Based Evaluation of CRQC+AI Vulnerability Spectrum for TLS 1.3 Cryptographic Dependencies

1. 序論

• 鍵確立とデジタル署名に関する連邦政府のPQC移行期限は、それぞれDecember 31, 2030とDecember 31, 2031とされている 。これらの期限は、国家安全保障システムを除く連邦政府の高価値資産と高影響度システムに適用される。本論文は、PQCの導入だけで十分とするのではなく、暗号アジリティを備えたハイブリッド構成の中で差し替え可能なPQCを採用することを推奨する。出典：§1 · pp. 2, 3, 5

1. はじめに

• HHLにはLWEの行列密度と条件数に由来する本質的な障壁がある。幾何学的単純化は依然として反証可能な仮説であり、PQCを解読する機構は実証されていない。HHLは、確立された解読手法ではなく、多項式的な高速化を目指す試みとして扱う。検討対象には、量子技術によるAIの高速化とAIによる量子手法の強化 、量子アニーリング、変分量子固有値ソルバー、サイドチャネル手法も含まれる。出典：§1 · pp. 3–4
• 主たる貢献は、攻撃実行時間と成功確率が50%に達する時点を推定し、パラメータの再較正規則を明示した、再現可能なシナリオ推定ツールである。明示的なパラメータ、擬似コード、感度分析、反証基準により、外部からの検証を可能にする。将来の観測がモデル曲線に沿うか、そこから逸脱するかに応じて、個々のパラメータを改訂する。出典：§1 · p. 4
• ShorのアルゴリズムによるRSA/ECCへの脅威には機構上の裏付けがある。格子暗号のリスクは未実証の構造的崩壊を前提とし、ハッシュベース暗号と対称鍵暗号のリスクは仮説の域を出ない。本論文は、現在の標準化済みPQCアルゴリズムに既知の解読があるとは主張しない。証拠階層を上げ下げする判断基準は、確信度を変更する条件を定めたものであり、その条件が実現すると予測するものではない。出典：§1 · pp. 4–5

1.1 対象範囲と除外事項

• 本ツールが測定するのはTLS 1.3の暗号プリミティブの安全性低下であり、情報システム全体の移行準備状況ではない。また、最良条件下での結論を他のプロトコルに直接適用することはできない。対象はRSA-2048、ML-KEM768/1024、ML-DSA-44、SLH-DSA、AES-256である。TLSは一時鍵、鍵の更新、アルゴリズムのネゴシエーション、短命証明書に対応するが、組織のシステム構成、資産台帳、鍵更新の権限、変更管理は対象外である。出典：§1.1 · pp. 5–6

1.2 手法とツールの関係

• 連携する3つのツールにより、ハードウェア資源量を導出し、実行時間と実現可能性の曲線を生成するとともに、格子暗号とハッシュに関する条件付きの仮定を明示的な暗号解析上の単位で表す。チャネルモデルは量子ビット数、ゲート忠実度、符号効率、復号遅延を追跡する。能力曲線には、ハードウェアの指数関数的成長と、AGIの実現を条件とするソフトウェアの指数関数的成長を用いる。各ツールは次元崩壊の仮定を共有するため、結果の一致は整合性を示すにとどまり、独立した裏付けにはならない。出典：§1.2 · p. 6

2.1 Harrow-Hassidim-Lloydの背景

• 未改変のHHLではLWEを解読できない。悪条件の密行列、ノイズを伴う復号、座標ごとの秘密情報の復元が、指数関数的高速化の前提を崩すためである。ハードウェアの改良では、これらの構造的障害を除去できない。HHLとLCHSによる高速化は、内部の線形代数処理における多項式程度の加速に限られる。2024年に提案された多項式時間の量子LWE解法は、誤りの発見後に撤回された 。出典：§2.1 · pp. 6–7

2.2 低次元幾何代数の背景

• 幾何学的量子最適化、量子学習、AI誘導型の表現探索は、攻撃に利用可能な格子構造を発見するための推測的な手段にとどまり、そのような構造が存在する証拠ではない。最適化手法は、構造のない問題におけるスケーリング上の優位性が実証されていないため、未知の埋め込みによって与えられる構造を必要とする。量子学習にはさらに学習可能性と古典シミュレーション上の制約があり、標準化済みPQCへの適用は実証されていない。出典：§2.2.1 · p. 7, §2.2.4 · p. 8, §2.2.5 · p. 8

2.2.5 攻撃経路としてのパラメータ化された幾何構造

• β → β(1 − ρ)、ρ ∈ [0, 1)は、格子問題の困難性について推測に基づく幾何学的低減をパラメータ化したものであり、実証済みの標準化済みPQCへの攻撃ではない。この仮説は、有用な構造を明らかにする、効率的に計算可能な低次元埋め込みを必要とする 。しかし、標準化済みのLWE格子に対して正のρを達成する構成法は存在しない。本論文は、モデル上で格子暗号のリスクが閾値を超える2032–2035年に必要となる次元崩壊の程度を定量化するものであり、その達成可能性を主張するものではない。出典：§2.2.2 · pp. 7–8, §2.2.5 · p. 8, §2.2.3 · p. 8

2.3.1 量子アニーリングの主要な特徴

• 量子アニーリングは低エネルギーのIsing/QUBO解を探索するが、スペクトルギャップが指数関数的に縮小すると、薄い障壁でのトンネル効果による利点があっても、指数関数的な実行時間が必要になりうる。断熱発展は、最小スペクトルギャップの二乗の逆数に応じて十分に遅く進める必要がある。D-Waveシステム を含む専用の超伝導アニーリング装置は、任意の量子アルゴリズムではなく最適化を対象とする。出典：§2.3.1 · p. 9, §2.3.2 · p. 10

2.3.3 量子アニーリングの応用

• アニーリングの最適化上の利点は問題の個別事例に依存する一方、機械学習での実証は小規模にとどまり、標準ベンチマークでは古典手法が優勢である。ハードウェアへの埋め込みは量子ビットを消費し、疎な接続性とアナログノイズが規模を制約する。学習では、アニーリング装置を最適化器、または実効温度が未知で問題の個別事例に依存する近似サンプラーとして用いる。暗号解読に寄与するとしても、単独の解読能力ではなく、処理工程の構成要素を支援する役割である。出典：§2.3.3 · p. 10, §2.3.3.2 · pp. 10–11

2.3 量子アニーリングの背景

• 量子アニーリングは、暗号で用いる値に近いパラメータ領域で、古典的な素因数分解や格子攻撃に対するスケーリング上の優位性が実証されておらず、単独での解読手法ではない。小規模な素因数分解の実証には多大な古典的前処理が必要であり 、格子問題の定式化も、スケーリングの証拠ではなく存在を示す結果にとどまる 。防御面での応用には、侵入検知の特徴選択、資源配置、脆弱性分析がある。出典：§2.3 · p. 8, §2.3.3.2 · p. 11

2.4.1 VQEの動作原理

• VQEはハイブリッド最適化によって基底状態エネルギーを推定するが、素因数分解、離散対数、格子問題からの帰着は確立されていない。量子回路がハミルトニアンの各項を測定し、古典的な最適化器が回路のパラメータを更新する。勾配の指数関数的な消失により、暗号規模での変分学習が実用困難になる可能性がある 。出典：§2.4.1 · pp. 11–12, §2.4 · p. 11

2.4.2 VQEの主な利点

• VQEの浅いハイブリッド回路、比較的高いノイズ耐性、柔軟なアンザッツは近い将来のハードウェアに適しているが 、暗号解読能力を裏付けるものではない。誤り緩和により、ノイズのあるデバイス上での適用範囲を広げられる 。一方、浅い回路、ヒューリスティックな最適化、学習可能性の限界は、暗号解読攻撃に必要な深く構造化された計算も制約する 。出典：§2.4.2 · p. 12

3.1 現時点の時期予測

• モデルが生成するリスク帯は、CRQC+AIの線形外挿から指数関数的外挿までを包含し、上限では2028年末までのAGI実現に無視できない確率を仮定する 。本節では、単一のQ-Dayではなく、アルゴリズム別のリスクの幅を重視する 。Moscaに基づく移行判断は、秘密保持期間と移行期間 にHNDLへの曝露 を組み合わせるものであり、量子計算による解読日が既知である必要はない。出典：§3.1 · pp. 12–13

3.1.1 PQC移行の歴史的類例：2008年の金融危機とY2K

• 米国上位五行のうち一行のFedwireアクセスに対する、量子技術を用いた一日の攻撃により、$2.0兆から$3.3兆のGDPがリスクにさらされるとモデル化されている 。直接費用の推計は約$730十億から$1.95兆である。これはシナリオ固有のエクスポージャー推計であり、経済的損失の総額ではない 。そのため著者らは、システム全体への危機波及の類例として2008年の金融危機を重視し、Y2Kは主に期限主導の対策から得られる教訓として位置づけている。出典：§3.1.1 · pp. 13, 14, 16

3.1.1 PQC移行の歴史的類例：2008年金融危機とY2K

• PQCの脅威に対する一般の認知率25～30% は、Y2Kに対する一般の懸念率>85% と対照的であり、侵害前の対策を促す主因は規制となる。Figure 4Aは実測時系列ではなく、検証可能な例示的再構成を用いる。期限が固定されていたY2Kと異なり、PQCの2031年という日付は規制上の期限を近似したもので、従来のRSA/ECCは2035年に使用不可となる。2032年に侵害が公表されるという予測でも、移行は2035年までに完了しない。国家主体による侵害は公表されにくく、秘密裏の侵害による対応の加速はモデル上生じない。出典：Figure 4A · p. 14, §3.1.1 · p. 15
• Moody’sによれば、PQC移行は企業のIT予算の2.5%を費やす可能性がある 。商用市場の予測は移行総費用を測るものではない。Y2K対策の世界全体の費用は$300B～$500B+と推定される 。一方、商用PQC市場は2025年の約$1.9Bから2035年には$12.4Bへ成長すると予測される 。両者は異なる量を測っており、移行にはさらに、資産の洗い出し、再開発、証明書の置換、試験、規制対応、ハードウェア更新、導入が伴う。出典：§3.1.1 · p. 16

3.1.2 RSA/ECCの脆弱性スペクトル

• May 2025にGoogleは、RSA-2048の解読に必要な量子ビット数について、2021年の推計値である20百万個から20X削減する案を提示し [82]、March 2026にはさらなる削減を公表した [20]。2023年時点では、RSA/ECCのQ-Dayは2030年代半ばから後半と予測されていた 。GoogleはMarch 2026に、PQC移行期限を2030年から2029年へ前倒しした 。推計にはRSA-2048に対する100,000個未満の物理量子ビット [84]、ECC-256に対する1,193個の論理量子ビット が含まれるが、物理量子ビット数には誤り訂正のオーバーヘッドが含まれるため、両者は直接比較できない。出典：§3.1.2 · pp. 17–18

3.1.3 格子ベースPQCの脆弱性スペクトル

• BKZブロックサイズβ ≈ 877では、Kyber-1024に必要な演算回数は古典計算で2^256、量子計算で2^232と推定される。より早期の解読を主張するには、cまたはβを低減する必要がある。core-SVPモデルは計算コスト ≈ 2^(c·β)を用い、古典ふるい法ではc = 0.292、量子ふるい法ではc = 0.265とする。NISTは格子ベースPQCの脅威到来時期を公式には予測しておらず、数十年の耐久性への期待は非公式なものとされる 。出典：§3.1.3 · p. 19
• 格子攻撃の推定は攻撃全体の追加負担を除外し、QRAMを理想化している。一方、既存の人間による暗号解析の進展を踏まえると、指数の追加低下をAGIに帰し得る範囲には限界がある。量子ふるい法の指数0.2563は、仮定された2028年のAGI出現より前に得られており（Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023）、早期解読をもたらす役割はモデルの崩壊パラメータが担うことになる。QRAM使用量を削減するアルゴリズムにより、メモリコストへの反論には留保が必要となるが、引用された下界は、その仮定の下ではQRAMなしの量子高速化を認めない（Cho, Hhan, Kim, Lee and Shen, IACR ePrint 2024/1700）。省略された格子基底簡約の呼び出しも、実際の計算量をcore-SVP推定より増大させる。出典：§3.1.3 · p. 20

3.2.1 CRQC+AIに向けたAIの進歩

• 最先端AIによるソフトウェア脆弱性の発見 は、基盤技術の進展を示すものであり、標準化済みPQCに対する暗号解析の進歩を実証したものではない。ほかに、AIによるAIモデルの改良支援 [94] や、平面単位距離問題に関する80年来のErdős予想を反証したというOpenAIの報告 が挙げられる。これらは潜在能力の議論を裏付ける事例であり、PQCの解読を立証するものではない。出典：§3.2.1 · pp. 20–21, §3.1.3 · p. 20

3.2.2 CRQC+AIに向けた量子計算の進歩

• Roseの法則が与えるのは進歩の大まかな範囲にすぎず、暗号解析に必要な資源量ではない。ハードウェア側の駆動要因には、代わりに方式に依存しない耐故障論理計算容量を用いる。Roseの法則はアニーラの量子ビット数に関するもので、Shor、Grover、格子ふるい法に必要な資源量を直接示すものではない。概観した基盤技術の進展は、実用的な暗号解析には主に間接的に影響し、初期段階にとどまるものもある。それでも本論文は、線形成長の仮定を根拠に移行義務や暗号アジリティを軽視することを退ける。出典：§3.2.2 · pp. 21–22

3.2.3 CRQC+AIに向けた量子アルゴリズムの進歩

• AI支援による量子アルゴリズムの発見は、研究を加速し得る手段として提示される一方、ここで引用する自律的なアルゴリズム改良の実証は、古典的なソートに関するものである 。概観した研究には、AIによる格子基底簡約の強化 や、decoded quantum interferometryなどの将来的な量子最適化手法 [130] が含まれる。これらは探索を動機付けるものであり、量子暗号解析の画期的進展を実証するものではない。出典：§3.2.3 · p. 22

3.2.4 サイドチャネル攻撃；3.2.5 鍵回復攻撃；3.2.6 ハイブリッド攻撃

• 2035年より前には、格子構造の解読よりも実装への侵害の方が起こりやすいと評価される。実装への侵害は量子コンピュータを必要とせず、モデルのコスト算定対象外である。概観した実装攻撃には、乱数生成の不具合 と、マスキング実装されたML-KEMへの選択暗号文攻撃 が含まれる。鍵回復とハイブリッド攻撃の研究には、Oracle MLWE近傍探索 、ML-KEMに対するhybrid-adaptive-LDPC攻撃 、疎なLWEに対する主ハイブリッド攻撃 がある。出典：§3.2.4 · p. 23, §3.2.5 · p. 23, §3.2.6 · p. 23

3.3 AIによる時期前倒しの加速係数モデル；3.3.1 加速係数が倍率を与える対象と対象外

• AIが加速するのは特定可能な工学的作業であり、Shorの計算量、耐故障性の閾値、コヒーレンス限界ではない。名称と根拠を明示したパラメータにより、この境界を検証可能にする。対象となる作業には、復号、ゲート較正、材料探索、符号探索、回路最適化がある。工学的係数A_iはハードウェアの準備状況を、Rは暗号解析研究を規定する。本モデルは耐故障Shorの実現を加速するものであり、量子アニーリングや変分法による単独の解読を生み出すものではない。出典：§3.3.1 · p. 23, §3.3 · p. 23, §3.3.4 · p. 26

3.3.2 4つのチャネルと基準値；3.3.3 加速係数の実証的根拠

• 独立に較正した4つの工学的チャネルは、公表済みの基準値と機械学習による実測の改善幅を用い、測定値がなければ加速なしを既定とする。RSA-2048の推計は、2019年の物理量子ビット約二千万個で約八時間 [79]から、2025年には量子ビット百万個未満で一週間未満 [82]へと変化しており、目標値は変動している。マジック状態蒸留は、独立したボトルネックであることが実証されない限り、符号効率および論理量子ビットのチャネル内で扱う。出典：§3.3.2 · pp. 24–25, §3.3.3 · p. 25

3.3.4 各チャネルから到達時期の分布へ

• 各チャネルの所要時間はτ_i = ln(F_i)/(A_i · r_i)に従い、最も遅いチャネルが到達時期を定める。パラメータの範囲からは、単一のQ-Dayではなく到達確率を導く。すべてのA_iを1にすると下限が得られ、高い加速範囲と楽観的な必要資源推定を組み合わせると上限が得られる。秘密保持期間内の到達確率が非ゼロであることは、Moscaの不等式に基づく移行の動機となる。基準成長率は、初期に成長が集中するロードマップを平均化したものである。また、量子ビット数と符号効率が結び付いているため、チャネルを独立に扱うことは律速チャネルについて保守的な評価となる。出典：§3.3.4 · pp. 25–26
• 計算例におけるCRQCの到達年は、加速なし、中心的な加速、高い加速の各条件で、それぞれ概ね2032年、2031年、2029年であり、論理量子ビット自体の確保が律速となる。中心的な加速係数と高い加速係数は、それぞれA_1 = 1.3とA_1 = 2.0である。量子ビット数自体の拡大を加速する直接的な証拠は最も弱い。実証済みの改善は、代わりに必要量子ビット数を減らすことで、実現時期を間接的に早め得る。出典：§3.3.4 · p. 26

3.3.5 反証条件と追跡指標

• 曲線の再現性と外部予測との整合性があっても、結果の検証は今後の観測を待つ必要がある。年次のチャネル別再較正により、予測を検証・改訂可能にする。July 2026時点では、五つの独立した予測、標準化の日程、ロードマップとの整合性は裏づけにはなるが、証明にはならない。五つの指標により早期の検証が可能である一方、過去のふるい法の指数改善速度は、2033年までにモデル上の下限へ到達するには約七倍遅い。年次更新ではF_i、r_i、またはA_iを再推定し、交差時点の分布を再計算するとともに、以前の予測を較正データとして保持した版管理付きの再実行結果を公表する。出典：§3.3.5 · pp. 27–28

4. AIを用いたCRQC+AI脆弱性の進展推定

• 4つのトラックでは、AGIによるソフトウェア能力の向上を皆無から高度まで変化させ、ハードウェアの成長と組み合わせて、著者が管理する単一の再現可能なモデルで扱う。Claude Fable 5は草稿作成と可視化を補助し、仮定と計算は著者が管理する。実行時間曲線はR0を共有し、同一方式内の傾向と交差時点の検討には使えるが、方式間の絶対的な攻撃コスト比較には使えない。出典：§4 · p. 29

4.1 RSA-2048のCRQC+AI脆弱性推定：機序に裏付けられた階層

• RSA-2048のモデル化が対象とするのは証明書認証とレガシー方式に伴うリスクであり、TLS 1.3の鍵配送ではない。鍵交換と認証を直接担う機構は、それぞれECDHEとECDSAである。RSA証明書の署名にはRSASSA-PSSを用いる。TLS 1.3ではRSAによる鍵配送が廃止された。出典：§4.1 · p. 29

4.2 ML-KEM Kyber-768/1024のCRQC+AI脆弱性推定（FIPS 203）：条件付き仮定の階層

• ハイブリッドML-KEM-768の侵害には格子暗号とX25519の両方を破る必要がある。一方、単独のML-KEM-1024はCNSA 2.0が要求する強度水準に相当する 。ハイブリッド方式と単独方式のTLS仕様は、最終的なRFCではなく、依然としてInternet-Draftsである 。CNSA 2.0はハイブリッド鍵確立を一律に禁止してはいない 。出典：§4.2 · pp. 31–32

4.4 SLH-DSA（FIPS 205）とAES-256（FIPS 197）のCRQC+AI脆弱性推定

• 本モデルでは、SLH-DSAとAES-256に機構的根拠や条件付き仮定に裏付けられた侵害リスクはなく、Appendix Cの曲線は仮説のみに基づくストレスケースである。SLH-DSAには崩壊の対象となる格子がない。回路深さに制約のあるGrover探索のコストは古典計算の水準に近く、モデル上のハードウェア予算で到達できるのは2045年頃にすぎない。したがって、約2036年（Track 3）および2041年（Track 2）の交差には、仮説上の新たな攻撃が必要である。出典：§4.4 · pp. 35, 37

4.5 暗号解読コストモデルと次元崩壊の条件付き仮定

• 別途提示するコストモデルによる再定式化は、(0.265 − ∆) · β · (1 − ρ) ≤ B(t)を検証するものであり、能力曲線を独立に裏付けるものではない。∆は指数を低下させ、ρは有効格子次元を削減する。B(t)は実行可能な量子演算数の底2の対数である。下限0.265 − ∆ ≥ 0.2075は、特定のアルゴリズム群に固有の篩法メモリ資源の下限を反映しており、証明済みの最適時間指数ではない。出典：§4.4 · p. 35
• 例示的な予算B(2033) = 80 bitsの下では、単独のKyber-1024にρ ≥ 0.66、ハイブリッドKyber-768にρ ≥ 0.52が必要である。指数の低下だけでは2033年の予算を満たせず、演算数の予算には篩法に必要なメモリが含まれていない。AGIなしの基準シナリオでは、格子暗号とハッシュの解読時点はいずれも評価期間外となる。出典：§4.4 · pp. 36–37
• 2033年までに推測上の指数下限に到達するには、量子篩法の過去の改善速度の約7倍が必要であり、それでも次元崩壊なしでは不十分である。報告された指数は、2015年の約0.2653から2023年の0.2563へ低下した（Laarhoven; Chailloux and Loyer, ASIACRYPT 2021; Bonnetain, Chailloux, Schrottenloher and Shen, EUROCRYPT 2023）。この過去の改善速度を外挿すると、下限への到達は2074年頃となる。出典：§4.4 · p. 36, Figure 8C · p. 37

4.3 ML-DSA-44のCRQC+AI脆弱性推定（FIPS 204）：条件付き仮定の階層

• βを約420、B(2036) ≈ 92 bitsとすると、例示されたML-DSA-44の2036年の交差にはρ ≥ 0.17が必要である。曲線は未発見の有効次元崩壊機構を仮定しており、そのような機構は現在知られていない。出典：§4.3 · p. 35, §4.4 · p. 37

4.4 SLH-DSA（FIPS 205）とAES-256（FIPS 197）のCRQC+AI脆弱性推定

• メモリ制約は条件付きシナリオの交差時点を遅らせる一方、未算入コストと、AGIの登場を条件とする要因への帰属が、コストモデルの限界となる。構造的崩壊はブロックサイズだけでなくメモリ要件も低減する必要があり、提示された崩壊規模は仮説の成立要件を過小に表している。コスト未算入の要因には、双対攻撃、複数標的間でのコスト償却、デカプセル化失敗攻撃、埋め込みの発見、AGI登場前の古典計算の進歩がある。この進歩を年0.04でAGIの登場を条件とする駆動要因に組み込むと、AGIの説明上の寄与を過大評価する。出典：§4.4 · p. 38
• 篩法の指数を0.265とするか0.292とするかで必要な次元崩壊率は異なり、これは理想化されたQRAMと、より現実的なメモリアクセス・回路深さのコストの違いを反映する。指数を引き上げると、必要なρはML-KEM-768で0.5170から0.5616、ML-KEM-1024で0.6558から0.6876、ML-DSA-44で0.1734から0.2498へ変化する。ML-DSA-44では相対的に約44%の増加である。これらの比率はρ = 1 − B/(c·β)に従い、β = 625/877/420をそれぞれ用い、予算は2033年のML-KEMでB = 80、2036年のML-DSA-44で92とする。出典：§4.4 · p. 38

4.6 CRQCとAIの進展時期

• モデル上のRSA-2048の交差時点は、Track 3で約2030年、ハードウェアのみのTrack 0で約2032年である。格子暗号の侵害リスクは主としてAGI駆動のシナリオで生じる。Kyber-768/1024の交差時点はTrack 3で約2032年、Track 2で約2035年であり、ML-DSA-44ではそれぞれ約2033年、約2036年である。Kyberの交差時点が共通するのはモデル上の結合係数が等しいためであり、困難性が等しいためではない。Kyber-1024のTrack 1では、評価期間末近くの2045.9に交差する。出典：Figure 9 · p. 38, §4.6 · p. 39
• 2028年と仮定したAGIの登場に2年の遅れが生じると、Track 2とTrack 3の交差時点は約1.5–2年後ろにずれるが、ハードウェア駆動のRSAのTrack 0は変わらない。機構的根拠のあるリスクは、ShorのアルゴリズムによるRSAとECCのリスクに限られる。それ以外の交差は予測ではなく、条件付きシナリオである。SLH-DSAとAES-256は、交差年を特定しない仮説のみの帯域として示され、AES-256は評価対象中で最も耐性が高い暗号プリミティブである。出典：§4.6 · p. 39

4.6.1 ハードウェア駆動のCRQC拡張と初期のRSA/ECC侵害リスク

• 初期のハードウェア駆動段階では、量子・古典ハイブリッド計算の広範な普及を仮定する。一方、HHLと低次元幾何学の研究は格子暗号の脆弱性を探るものであり、それを立証するものではない。ハイブリッド計算の枠組みは、量子計算能力を向上させる要因として提示されており、格子暗号への攻撃が実証された証拠ではない。出典：§4.6.1 · pp. 39–40

4.6.2 RSA/ECCの崩壊と初の格子暗号解読の可能性（Track 3）

• 2048.8はML-KEM-1024のハードウェアのみのTrack 0における交差時点の中央値であり、2035年までの侵害確率は実質的にゼロである。格子暗号の侵害には未実証の幾何学的崩壊が必要である。埋め込みが発見されれば、量子幾何学的攻撃の概念実証を試み、業界が評価を見直す可能性がある。ただし、崩壊率ρがゼロでない限り、侵害段階には至らない。小規模なHHL実証は、密で条件数が大きく、暗号用途の規模を持つLWE問題に対する実用的な指数的優位性を立証しない。出典：§4.6.2 · p. 40

4.6.4 ハッシュベース署名の侵害リスクと共通鍵暗号層への最初の脅威の可能性

• 拡張可能なHHL・LCHSベースのCRQC+AI暗号解読には、幾何学的単純化の実現が必要である。運用中の格子ベースPQCの侵害は、その突破口が得られることを条件とする。侵害が起きた場合、このシナリオではNISTおよび国際的な標準の改訂が前倒しされ、続いて業界で速やかに採用されると想定する。出典：§4.6.4 · p. 40

4.6.5 共通鍵暗号層に残る侵害リスクとAGI登場後の展望

• Table 4は、公表済みの時間軸、ハードウェアのロードマップ、移行要件と対比してシナリオの範囲を位置づけるものであり、予測であることや専門家調査を上回る精度を主張するものではない。本モデルは証拠の蓄積に応じた改訂を意図しており、Section 3.3.5に明示的な改訂規則を設けている。AGI登場後の展望では、耐性を維持するため、状況に応じた暗号アジリティとハイブリッド運用が求められる。出典：§4.6.5 · p. 41, Table 4 · p. 41

限界

• 交差時期は、未測定のまま設定したハードウェアとソフトウェアの感度に依存する。再現可能性とはシナリオを再生成できることであり、予測の妥当性を検証できることではない。2028年にAGIが出現するという仮定は、ソフトウェア主導の交差時期に最も大きく影響する入力である。AGIの出現が大幅に遅れれば、それらの交差時期もほぼ同じだけ遅れる。出典：§5 · pp. 41–42
• 実行時間軸は正規化指標であり、物理的な実行時間ではない。モデルは量子アルゴリズムを固定しており、新たな暗号解読法を発見するものではない。工学的進歩とAI支援による進歩が、暗号の破綻をどれほど早めうるかを問うモデルである。証拠の各階層は質的に異なり、格子・ハッシュベース・共通鍵方式の交差は、既知の攻撃を表すものではない。出典：§5 · p. 42

このモデルが誤りとなる条件

• AIによる暗号解読能力の持続的な向上がなければ、ソフトウェア結合係数は実質的にゼロとなり、格子・ハッシュベース・共通鍵方式の系列は対象期間内に交差点に達しない。この条件下で残るのは、原理に裏付けられたRSAとECCのリスクのみである。出典：§5 · p. 42
• 実効次元崩壊、またはそれに匹敵する格子構造に関する進展がなければ、条件付きリスクの階層は成立しない。この条件では、コストモデルのρはゼロにとどまる。Harrow-Hassidim-Lloydおよび関連する量子線形代数手法を、ノイズを含むLWEの有界距離復号に引き続き適用できなければ、仮説の中核をなす機構の一つが失われる。出典：§5 · p. 42
• 量子ハードウェアの規模拡大の停滞はRSAの交差時期さえ遅らせ、耐故障性を確保する誤り訂正が不十分であれば、アルゴリズムの進歩にかかわらず、原理に裏付けられたリスクの顕在化時期も遅れる。r_hwが1に近づくと、ハードウェアによる加速効果が頭打ちとなり、RSAの交差時期は数年単位で後ろ倒しになる。出典：§5 · p. 42
• 観測可能な不成立条件と到達目標の追跡により、該当パラメータを更新し、版を管理しながらモデルを逐次再実行できる。ハードウェアの到達目標、誤り率の傾向、復号器の遅延、資源見積もりの変化に基づき、個々の加速係数を更新する。明示された不成立条件が満たされた場合、対応する曲線は採用すべきではない。出典：§5 · pp. 41–42

6.1 統制目標としての暗号アジリティ

• 暗号アジリティは、暗号資産台帳、資産の管理責任、更新権限、変更管理、例外処理、証跡保管からなるガバナンス能力である 。アジリティを備えた運用では、使用する暗号プリミティブを網羅的に把握し、権限を持つ管理責任者を特定し、統制された更新を実施して証跡を保管する必要がある。移行権限はプロトコルではなく、暗号資産台帳の管理責任者に属する。出典：§6.1 · pp. 42–43

6.2 分野別のデータ寿命スペクトル（MoscaのXとY）

• MoscaのX + Y > Zには、分野ごとの秘密保持期間と移行所要期間が必要である。本論文はZをモデル化するが、XやYの値は設定しない。Xの代表値には、国家安全保障上の機密指定解除 、長期にわたる弁護士・依頼者間秘匿特権 、医療データの機密保持 、決済データの保存期間 を反映する。Yには、運用技術や組込みシステムの10年から20年超に及ぶライフサイクルを織り込んだ工学的推定値を用いる 。分野間の差異を踏まえると、一律の移行日程は適切でない。出典：§6.2 · p. 43

6.3 主権と管轄権

• 各国の要件が異なるため、暗号アジリティは現時点ですでに法的に不可欠である。組織は、外部から課される日程に従い、アルゴリズム、トラストアンカー、鍵の保管管理を変更しなければならない。CNSA 2.0は、米国の国家安全保障システムにML-KEM-1024の単独使用を規定しており、広く導入されているECDHE–ML-KEMのハイブリッド方式や、欧州およびオーストラリアの立場とは異なる。この必要性の根拠に、未実証の暗号解読機構は不要である。出典：§6.3 · p. 43

6.4 発行者、トラストアンカー、証明書のライフサイクル

• 耐量子証明書チェーンには、対応可能な発行者、互換性のあるパス検証、長期利用されるクライアントまで届くトラストアンカーの配布が必要である。これらの依存関係については、別途移行計画を策定する必要がある。CAの鍵と組込みのトラストアンカーは数年から数十年にわたり存続し、その更新周期は証明書の検証・利用主体の管理外にある。証明書チェーンの移行は、通常、ネゴシエーションで選択される鍵交換方式の移行より遅れる。このエコシステムに現存するリスクは、暗号プリミティブの耐性低下を扱う評価手法の対象外である。出典：§6.4 · pp. 43–44

6.5 相互運用性とネゴシエーション

• ハイブリッド鍵交換には、両端点での対応と優先選択が必要である。非互換のミドルボックス、セッション再開用キャッシュ、ライブラリは、ネゴシエーションの失敗や、検知されない従来型鍵交換へのダウングレードを引き起こしうる。draft-ietf-tls-ecdhe-mlkemの例は、ML-KEMと楕円曲線鍵交換を組み合わせるものである 。本モデルは、エンドツーエンドで耐量子方式またはハイブリッド方式が合意されることを前提としており、相互運用性とダウングレード耐性は、それぞれ独立した導入時の統制として対象外としている。出典：§6.5 · p. 44

6.6 エントロピーと鍵の来歴

• モデル上のあらゆる保証は、十分な品質のエントロピーに依存する。乱数の品質不足と管理されていない鍵の来歴は、量子技術の進展とは無関係に、実装上のリスクを生じさせる。エントロピーの品質、資源制約のある機器でのシード設定、鍵生成の場所・モジュール・保証水準は、本評価手法の対象外として別途検討する必要がある。運用者の管理外で生成または保管される鍵は、過去の暗号文が後から復号されるリスクを拡大する。鍵の来歴は、今収集して後で偽造する攻撃のリスクにも関わる。出典：§6.6 · p. 44

7. 結論

• RSAに関連する金銭的損失が生じ始める最も早い予測年は2030年である。PQCの危殆化リスクは2032年から生じる可能性があるが、格子への攻撃における未実証の構造的進展を前提とする条件付きである。RSA/ECCの危殆化リスクはショアのアルゴリズムという機序に裏付けられている一方、PQCに関する年次は条件付きシナリオの出力である。AGI+CRQC+AIは攻撃を加速させ、適用範囲を広げる可能性があり、潜在的な金銭的損失の上限を定めることは難しい。出典：§7 · pp. 44–45
• 暗号鍵の危殆化により、進行中の通信、保存された機密データ、過去のバックアップが漏洩する可能性がある。バックアップの暗号鍵を入手することで、継続的に監視されていない過去のデータの改ざんも可能になり得る。出典：§7 · p. 45
• 鍵の危殆化により、メッセージの傍受・改ざん、なりすまし、サービス妨害、IoTの乗っ取り、スマートコントラクトの不正操作が可能になり得る。悪意あるデータの注入はサービス妨害につながり、IoTの侵害はプライバシーや物理的安全性へのリスクを生じさせる可能性がある。取引署名用の秘密鍵の取得により、スマートコントラクトの不正操作や金融詐欺が可能になり得る。出典：§7 · p. 45
• 長期的に有効な貢献は、将来の観測結果をリスク発現時期の予測改訂に反映する、監査可能な更新機構を備えた、再現可能かつパラメータ化されたシナリオ評価手法である。パラメータを変更してモデルを再実行し、新たに観測される到達点に照らして再較正できるため、資源見積もり研究や専門家の見解を収集する調査を補完する。新たな実証データの作成や分析は行っておらず、図は開示されたパラメータ化モデルに基づく。出典：§7 · pp. 45–46
• PQC移行は最終的な移行とみなすのではなく、研究およびNISTが推奨するハイブリッド暗号方式 に支えられた、暗号アジリティを備えた導入 の契機とすべきである。階層型のTLSリスクスコアリングモデルは、移行中に組織が最もリスクの高い接続を優先して対処するうえで役立つ 。出典：§7 · p. 45
• すべての著者はEnQuantaとの雇用関係またはコンサルティング関係を開示しており、そのため、本稿で論じる暗号アジリティおよびハイブリッド方式に関連する金銭的利害を有する。EnQuantaは、耐量子性や暗号アジリティを備えた商用の暗号製品・サービスを開発している。出典：§7 · p. 46

Appendix A. ハードウェアとソフトウェアの統合能力モデルの再現性

• 単一のハードウェア・ソフトウェア統合能力モデルが、明示的な方程式とパラメータから実行時間曲線と実現可能性曲線を生成する。Figures 6A/6Bから8A/8B、Figure 9、およびAppendix CのFigures C1A/C1BとC2A/C2Bを生成する。出典：Appendix A · p. 47
• AIは、Shorアルゴリズムの多項式スケーリングを変えず、耐故障誤り訂正の閾値を下げず、コヒーレンスの制約を取り除くこともなく、技術開発と攻撃手法の発見・最適化を加速する。本モデルでは量子アルゴリズムを固定する。出典：Appendix A · p. 47
• 能力モデルは、Section 3.3のチャネルモデルおよびSection 4.5のコストモデルを補完する。これらは曲線を生成するのではなく、同じ問いに対する限界を与える別個のモデルである。出典：Appendix A · p. 47

付録 A.1. 支配方程式

• 暗号解読能力 C(a, k, t) は、ハードウェアとソフトウェアの寄与を重み付きで加算し、攻撃実行時間の短縮幅を10進の桁数で表す。C(a, k, t) = α(a) · D_hw(t) + β(a, k) · D_sw(k, t)。ハードウェア感度 α はRSAでは大きく、格子ベース、ハッシュベース、共通鍵の各方式ではほぼゼロである。β はトラック別のソフトウェア攻撃に対する感度を表す。出典：Appendix A.1 · p. 47
• ハードウェアの進歩は、トラック0を含むすべてのトラックでAGIとは独立に加速し、2026年より前はその指数をゼロに固定する。D_hw(t) = A · (r_hw^(t − t0) − 1) / (r_hw − 1)。ここで、A = 0.34、r_hw = 1.20、t0 = 2026 である。出典：Appendix A.1 · p. 47
• ソフトウェアの進歩は、人間による小さな進歩項と、2028年から始まるトラック別のAGIによる向上を組み合わせる。開始前はAGIの指数をゼロに固定する。D_sw(k, t) = 0.04 · (t − t0) + B_k · (r_k^(t − tAGI) − 1) / (r_k − 1)。ここで、tAGI = 2028 である。出典：Appendix A.1 · p. 47
• 実行時間指標 R(a, k, t) = R0 − C(a, k, t) は、各方式内での進歩を追跡するものであり、方式間の相対的な攻撃コストを表すものではない。秒単位の実行時間を底10の対数で表した軸上の R0 = 10 は、全5方式に共通する可視化上の基準値であり、方式ごとの経験的な実行時間推定値ではない。出典：Appendix A.1 · p. 47
• モデル上の実行可能性が50%となるのは、実行時間が1か月の閾値に初めて達する年であり、これは解読能力が約3.585に達することと等価である。P(a, k, t) = 100 / (1 + exp(−(MON − R(a, k, t)) / 0.85))。ここで、MON = log10(2.6 × 10^6) ≈ 6.415 である。各閾値到達年は、事前に与えた数値や外部の数値ではなく、これらの方程式から導かれる。出典：Appendix A.1 · p. 47

付録 A.2. パラメータと出典

• 50%閾値への到達は、正規化軸上の能力 C ≈ 3.585 桁で生じるのであり、物理的な攻撃実行時間が1か月になるとの予測ではない。定数は t0 = 2026、tAGI = 2028、R0 = log10(10^10) = 10、MON = log10(2.6 × 10^6) ≈ 6.415、ロジスティック関数の幅は0.85である。軸は秒単位の底10の対数で、秒から世紀までを表す。R0は共通の視覚的基準であり、各方式の2026年時点の攻撃実行時間の推定値ではない。出典：Appendix A.2 · pp. 47–48
• 全トラックを駆動するのは、実効量子資源の年間約20%の蓄積であり、ハードウェアパラメータ A = 0.34 と r_hw = 1.20 を用いる。この加速的なハードウェア成長要因は、本文のローズの法則に基づく成長モデルとチャネルモデルを詳細化したものである。出典：Appendix A.2 · p. 48
• AGI出現前の人間による進歩の勾配は年間0.04であり、これにトラック固有の、AGI出現後に始まるソフトウェア性能向上が加わる。成長率と上限の組 (r_k, B_k) は、トラック 0 (1.01, 0.00)、トラック 1 (1.10, 0.16)、トラック 2 (1.17, 0.26)、トラック 3 (1.30, 0.30) である。トラック 3では、成長率1.30が強い凸性を伴う崩壊を生む。出典：Appendix A.2 · p. 48
• アルゴリズム固有のハードウェア感度 α とソフトウェア攻撃感度 β はシナリオパラメータであり、実測定数ではない。βをトラック 0–3 の順に示すと、RSA-2048は α = 0.92、β = (0, 1.15, 1.75, 2.55)、Kyber-1024は α = 0.05、β = (0, 0.06, 0.95, 1.45)、ML-DSA-44は α = 0.04、β = (0, 0.05, 0.78, 1.18) である。SLH-DSAは α = 0.03 かつ全トラックで β = 0、AES-256は α = 0.020 かつ全トラックで β = 0 であり、両者のリスクを仮説のみに基づくものとして扱う方針と整合する。ハイブリッド方式 X25519 + Kyber-768 は同じ格子結合係数を用い、両構成要素が破られた場合にのみ破られる。X25519が先に破られるため、その閾値到達時期はKyberと一致する。出典：Appendix A.2 · p. 48
• ±25%の感度分析範囲では、RSAと格子ベース方式の順序逆転は生じない。格子ベース方式が先に閾値に達するには、公表値から大きく外れた結合係数が必要である。順序逆転には、格子方式のハードウェア結合係数がRSAの0.92を上回る必要があり、これはRSAよりもShorに対する感度が高いことを意味する。別の条件として、Track 3ではML-KEM1024のソフトウェア結合係数が公表値1.45に対して約4.48である必要がある。これは約三倍であり、RSAの2.55に対して1.76×である。出典：Appendix A.2 · p. 48
• RSA2048が50%閾値に到達するモデル上の年は、トラック 0–3 でそれぞれ2032.5、2031.4、2030.5、2029.9である。Kyber-1024はトラック 1–3 でそれぞれ2045.9、2035.0、2032.3に、ML-DSA-44はトラック 2–3 でそれぞれ2035.9、2032.9に閾値に到達する。SLH-DSA、AES-256、および残りのトラックでは、予測対象期間の終点である2046年までに実行可能な解読は示されない。出典：Appendix A.2 · p. 48

付録 A.3. 図の再生成手順（擬似コード）

• 2026をハードウェアの成長の基準年とし、A = 0.34とr_hw = 1.20が累積ハードウェア駆動項を制御する。e = max(t - t0, 0)に対し、D_hw(t) = A * (r_hw^e - 1) / (r_hw - 1)である。出典：Appendix A.3 · pp. 48–49
• アルゴリズムごとのハードウェアとソフトウェアの結合係数が能力値を決定し、この値が上下限付きの実行時間指標を低下させ、ロジスティック関数による実行可能性スコアに反映される。実行時間はclamp(R0 - capability, -0.4, R0)であり、R0 = log10(1e10)である。実行可能性は100 / (1 + exp(-(MON - runtime)/0.85))であり、MON = log10(2.6e6)は1か月以内の実行可能性を表す。出典：Appendix A.3 · pp. 48–49
• モデルでは2028をAGIの出現年とし、それ以降、4つのソフトウェア発展経路が共通の線形成分にそれぞれ異なる成長項を加える。共通成分は0.04 * max(t - 2026, 0)であり、各経路はB * (r^e - 1) / (r - 1)を加える。ここでe = max(t - 2028, 0)である。各経路の(r, B)の組は0:(1.01,0.00)、1:(1.10,0.16)、2:(1.17,0.26)、3:(1.30,0.30)であり、アルゴリズムごとの結合係数はAppendix A.2に示されている。出典：Appendix A.3 · pp. 48–49
• 2026–2046にわたる600ステップで、アルゴリズムと経路の組合せごとに実行可能性スコアが初めて50に達する年を特定し、対象期間内に閾値に達しなければNONEを返す。閾値到達年の計算処理は、アルゴリズムと経路の各組合せを個別に評価する。出典：Appendix A.3 · p. 49
• 公開スクリプトを用いた40,000個のモンテカルロ標本により、決定論的な閾値到達年は厳密に、Table 7のパーセンタイル値は約0.2年以内の誤差で再現される。公開物には、能力モデル、Table 7とFigure A2のモンテカルロ計算コード、図生成スクリプトが含まれる。固定の基準シード20260731にセル番号を加えることで、アルゴリズムと経路の各セルを独立に再生成できる。出典：Appendix A.3 · p. 49
• Figures 4A and 4Bは実測系列ではなく模式的な再構成である。Figure 5の量子ビット数の推定値は、Global Risk Instituteの出典表の入手を待つ段階での概略の読み取り値である。これらの留保は公開時の注記に明記されている。出典：Appendix A.3 · p. 49

付録 A.4. 感度分析

• RSA-2048の閾値到達はハードウェアに駆動される一方、格子・ハッシュ・共通鍵方式の閾値到達時点は、主にソフトウェア結合、各Trackの成長率と上限に依存する。各方式は能力向上が約3.585桁に達すると閾値を超える。RSAはハードウェア結合 α = 0.92 により、すべてのTrackで閾値に到達し、その時点の差は約2.5年である。他の方式は、2045.9に到達するKyber-1024のTrack 1を除き、Tracks 0–1ではほぼ変化しない。RSAのTrack 0は、ハードウェアの振幅、加速率、結合にのみ応答する。出典：Appendix A.4 · pp. 49–50
• AES-256のソフトウェア結合をゼロにすると、未解読の対照条件が復元される。モデル上のTrack 2とTrack 3での解読には、確立した暗号解読機構がないためである。AES-256の推測的な入力値は、α = 0.020、およびTrack 2の β = 0.155、Track 3の0.210である。出典：Appendix A.4 · p. 49
• RSA-2048のTrack 0とKyber-1024のTrack 3について変動範囲を拡大した感度分析では、単一パラメータの変化による閾値到達時点のずれは最大で約3.6年である。ストレス試験の変動範囲は、Appendix A.5で較正したモンテカルロ範囲の約二倍である。これらの試験は、パラメータ間の相互作用ではなく、個々の効果を分離して評価する。一方、破綻の順序を左右するのはAppendix A.2の結合反転閾値であり、この閾値は拡大後の範囲からも外れている。出典：Figure A1 · p. 50, Appendix A.4 · p. 50
• AGIの出現が2028から2030に遅れると、ソフトウェア駆動の閾値到達は約1.8年遅れるが、RSAのTrack 0は2032.5のままである。Kyber-1024のTrack 3は2032.3から2034.1へ、AES-256のTrack 3は2038.6から2040.4へ移動する。Kyber-1024のTrack 3の感度を最も大きく左右するのはAGIの出現時期であり、ソフトウェア結合 β、Trackの上限 B_k がそれに続く。出典：Appendix A.4 · pp. 49–50
• ハードウェア成長率が1.05に低下すると、RSAのTrack 0の閾値到達は2032.5から2035.3に変わる一方、ソフトウェア駆動の閾値到達時点はほぼ変わらない。これに対し、すべてのソフトウェア結合を20%低下させると、格子・ハッシュベース・共通鍵方式の閾値到達は約0.6～1.0年遅れる。出典：Appendix A.4 · p. 50
• AES-256のTrack 3の成長率を1.30からTrack 2の値である1.17に下げると、閾値到達は2038.6から2041.8に変わる。Track 3の成長率は、その急激な凸型の崩壊を生む唯一の要因である。この成長率を下げると、閾値到達が遅れ、その曲率も消失する。出典：Appendix A.4 · pp. 49–50

目的

• 同時サンプリングは、一度に一つのパラメータを変える分析では捉えられない相互作用を捉え、P(T ≤ year)を推定することで、Moscaの不等式に攻撃能力獲得までの時間に関する入力を与える。この枠組みでは、秘匿期間内にゼロでない確率質量があれば、現時点での移行と暗号アジリティの確保は合理的である。出典：Appendix A.5 · p. 51

サンプリング

• アルゴリズムと進展経路の組合せごとに40,000回の独立抽出を行い、セル固有の決定論的シードを用いてパラメータ範囲を同時サンプリングし、2060年を超える閾値到達は打ち切りとして扱う。大半の入力は一様分布から抽出する。ただしTrack 1–3では、AGIの出現時期を2027–2031年、最頻値2028年の三角分布から抽出する。Track 0にはソフトウェアによる駆動要因もAGIへの依存もない。出典：Appendix A.5 · p. 51

結果

• Track 3におけるKyber-1024のモデル上の閾値到達確率は、2033年までで約0.52、2035年までで約0.98である。Kyber-1024のクロスオーバー時期は、Track 3ではおよそ2032から2035、Track 2では2034から2038にわたり、後者ではP(≤2035) ≈ 0.28である。ML-DSA-44は約一年遅れる。Track 0およびTrack 1では、格子暗号のクロスオーバー時期の中央値は依然として2040年代後半である。出典：Appendix A.5 · p. 51
• Appendix A.2の点推定値からの中央値のずれは約1年以内である。同時に考慮した不確実性は閾値到達時期の幅をわずかに広げるが、定性的な順序関係は変わらない。ソフトウェアの進展に駆動されるすべての閾値到達で、AGIの出現時期が依然として分散の主要因である。出典：Appendix A.5 · p. 51

解釈

• このモンテカルロ分析は、証拠を追加するのではなく、設定された未測定の結合関係の不確実性を伝播させるものであり、入力範囲を変えると確率曲線も変化する。ハッシュベースおよび共通鍵の暗号プリミティブは、仮説上の閾値到達機構に暗号解析上の根拠がないため対象外である。確率を割り当てれば、モデル化の仮定を校正済みの確率であるかのように誤って示すことになる。出典：Appendix A.5 · pp. 51–52

結果

• AGIのないTrack 0でも、2035年までにRSA-2048への攻撃が実行可能となる確率はモデル上で約95%であり、閾値到達時期の中央値は2033年付近である。したがって、機構的根拠のあるRSAのリスクは、モデル上のAGIの有無に左右されにくい。出典：Table 7 · p. 51, Appendix A.5 · p. 51, Figure A2 · p. 52

付録 B. 記法と記号

• Table 8は、3つのモデル構成要素で用いる記号をまとめ、βの異なる2通りの用法を明確に区別する。各構成要素は、Section 3.3（加速係数に基づく枠組み）、Section 4.5（コストモデル）、Appendix A（能力モデル）に示されている。出典：Appendix B · p. 52, Table 8 · p. 53

• モデルの対象期間内にSLH-DSAまたはAES-256を脅かす量子・古典・アルゴリズム上の既知の攻撃はない。出典：Appendix C · p. 53
• Track 2とTrack 3で交差が生じるのは、高度なAIが現在未知の構造的攻撃の一群を発見した場合に限られる。出典：Appendix C · p. 53
• これらのケースは証拠の裏付けが最も弱く、機序に裏付けられた予測や条件付きの予測とは区別され、Section 5の反証可能性の条件を引き継ぐ。これらを残すのは、Figure 9に含まれているためであり、プリミティブを対象から除外する検討も、分析で十分な精査を行った根拠となるためである。出典：Appendix C · p. 53

付録 C.1. SLH-DSAのCRQC+AI脆弱性推定（FIPS 205）

• SLH-DSAは崩壊パラメータρが影響する格子構造を持たず、その保守的なパラメータはすでにGrover型攻撃の影響を織り込んでいる。したがって、その脆弱性評価は仮説のみに基づくものと明示する。出典：Appendix C.1 · p. 53
• 時期を明示した従来のTrack 2とTrack 3の予測は、裏付けのない仮想的な新規攻撃に依拠していたため撤回し、時期を特定せず仮説のみに基づく評価に置き換える。出典：Appendix C.1 · p. 53
• SLH-DSAのソフトウェア結合度はゼロに設定し、モデルの対象期間内に交差は報告しない。Figures C1A and C1Bでは、4つの仮定シナリオの下で、各脆弱性トラックの攻撃実行時間とモデル上の実行可能性を評価する。出典：Appendix C.1 · pp. 53–54

付録 C.2. AES-256のCRQC+AI脆弱性推定（FIPS 197）

• Groverのアルゴリズムに対する128ビットの実効安全性により、仮説のみに基づく扱いでは、予測期間内のどの経路でもAES-256の実行可能な解読は見込まれない。AES-256を解読できる既知の量子攻撃、古典攻撃、アルゴリズム上の攻撃はない。出典：Appendix C.2 · pp. 54, 57
• 時期を付したTrack 2とTrack 3の推定は、全面的に推測的な仮定に依存していたため撤回され、AES-256のソフトウェア結合度はゼロに設定される。代替の扱いでは時期を定めず、AES-256がいつ解読されるかを予測するものではない。出典：Appendix C.2 · pp. 54–55
• 明示された閾値である128ビットの量子安全性をAESの鍵長のうち満たすのはAES-256のみであり、これがCNSA 2.0での推奨を裏付ける 。本付録では、AES-256をNISTが承認したセキュリティ機能としても挙げている 。出典：Appendix C.2 · p. 56
• Groverのアルゴリズムは逐次計算を要し、並列化効率も低いため、探索における二次の高速化効果が制約される。したがって、AESの安全性が名目上半減するという見積もりは、保守的な脅威評価である。本付録によれば、現実的な回路深さの制限下では、AES-256は古典計算に対する本来の安全性をほぼ維持する。そのため、Track 0とTrack 1では、基準となる総当たり攻撃でもAGIで強化した総当たり攻撃でも、実行可能な解読は示されない。出典：Appendix C.2 · p. 56
• AES-256の交差時点に関する推測は、AGIによって可能となる未発見の構造的攻撃を仮定し、サイドチャネルや実装への侵害を暗号自体の解読と同等に扱う。Shorのアルゴリズムに裏付けられたRSA/ECCの予測とは異なり、これらの仮定には現時点で暗号解析上の根拠がない。一方、格子暗号の交差時点には、推測上の実効次元崩壊が必要である。HHLがもたらすのは、内部の一段階に対する高々多項式の高速化である。出典：Appendix C.2 · p. 57