プログラム

In this paper, we present a leakage template attack targeting the post-quantum signature scheme HAWK. Specifically, our attack exploits an implementation flaw within HAWK's Gaussian sampler. This vulnerability allows us to recover the signs of the sampler's outputs. We then leverage these recovered signs through an averaging method to successfully identify and extract the secret key.A key challenge is HAWK's symbreak operation, which modifies the retrieved signs. We introduce a novel trick to effectively carry the attack through this operation.We practically demonstrated this attack using a ChipsWhisperer Pro platform against a HAWK implementation running on an Cortex STM32F4 device. To our knowledge, there is currently no efficient and proven way to implement standard countermeasures like masking in order to protect HAWK's Gaussian sampler from this type of side-channel attacks.

本稿では，キーボードの打鍵音を利用して打鍵内容を推定する音響サイドチャネル攻撃について述べる．特に，事前に攻撃者がラベル付きの打鍵音を必要としない，より現実的な脅威となりうる教師なし攻撃モデルに基づく手法を提案する．提案手法の基本アイデアは，UMAP（Uniform Manifold Approximation and Projection）による次元圧縮に基づく高精度な教師なしクラスタリングとBERT（Bidirectional Encoder Representations from Transformers）と呼ばれる言語モデルを用いて打鍵音からテキストを再帰的に推定する機構の導入である．実験では，従来比10分の1以下となる150文字程度の打鍵音から95%以上の復元精度を達成し，少数の打鍵データから高精度に打鍵内容が推定できることを確認した．さらに，Google MeetとZoomによるオンライン会議環境を想定した攻撃実験や，複数のマイク，キーボードを利用した攻撃実験においても同等の復元精度が得られ，提案の攻撃モデルが様々な環境に対して頑健であることを確認した．

Fault injection attacks intentionally cause computation errors through physical interference to extract secret information from a device. Finding effective fault injection parameters requires extensive exploration. CGAN (Conditional generative adversarial network)-based methods offer the advantage of generating candidate parameters without relying on intended fault samples, but they also have an important limitation: during adversarial training, the generator tends to focus on features that reduce the discriminator’s loss, causing it to produce samples from only a few modes. This leads to mode collapse and reduces the diversity of the generated parameters. In EMFI (Electromagnetic fault injection), where the spatial injection location is critical, such collapse can trap the generator near the initial search region and making it difficult to explore other vulnerable locations. To address this issue, we propose a method that integrates CGAN with the PacGAN (Packing generative adversarial network) framework. We evaluate the effectiveness of the proposed method and present experimental results for EMFI parameter generation.

Fault injection (FI) attacks enable adversaries to induce intended malfunctions in embedded systems, but reliably inducing such faults requires precise configuration of parameters. While numerous parameter search techniques have been proposed, they have largely been evaluated in different experimental settings, and their exploration behaviors remain insufficiently characterized. This work provides a unified comparison of seven state-of-the-arts by visualizing their exploration results and measuring the reliability of their optimal parameters in a consistent experimental environment. Across four heterogeneous targets, our results show that Adaptive Zoom & Bound (AZB) [2] exhibits the most effective exploration behavior and identifies the highest reliability fault inducing parameters among all evaluated methods.

RSA暗号や楕円曲線暗号の代替となる耐量子計算機暗号の開発が喫緊の課題である昨今，CRYSTALS-Kyberが鍵カプセル化アルゴリズムの標準ML-KEMとして2024年にNISTによって選定された．Kyberは格子に関する計算量問題を安全性の根拠としており，量子計算機による解析であっても容易に破れないとされている．しかし，電子デバイスから漏えいするアナログ情報を用いたサイドチャネル解析に対しては脆弱であることが既にわかっている．特に，FO変換を実行する場合は復号処理にて秘密鍵を用いた計算が行われるため対策が必須となる．マスキングによる対策が提案されているが，対策された実装であっても少ない波形数で容易に鍵復元可能であることが報告されている．鍵復元が容易となる原因の一つに，攻撃対象デバイスに含まれるノイズ成分が小さいことが挙げられる．本稿では，復号処理中のNTTドメインの乗算に注目し，乱数計算によるノイズ増幅手法を提案する．これにより電力波形のSNRを大きく減少させ，鍵復元に必要な波形数を増加させることが期待される．結果として，SNRを最大9.95倍程度小さくできた．

米国国立標準技術研究所（NIST）によるポスト量子暗号の標準化に伴い，ML-DSA（Dilithium）の実装に対するサイドチャネル攻撃の脅威検証が急務となっている．先行研究では，不完全NTTを用いた実装に対してZero-Value Filtering Attack の有効性が示された．しかし同手法の過程において，秘密鍵係数が0の場合に中間値が定数となり電力消費の分散が消失するため，相関解析が機能しないという構造的な課題を発見した．この性質により，真値が0である候補は正しく評価されず，正解候補が探索順位の下位に埋没してしまい，鍵探索の効率が損なわれる．そこで本研究では，候補全体の相関値が極端に低い係数を，逆に真値が0の可能性があると判定して再評価する改良手法を提案する．さらに，上位候補に対してスコアを割り当て，探索順序を動的に最適化するアルゴリズムを導入する．シミュレーション波形を用いた評価実験を通じ，提案手法によって探索空間が効果的に削減され，鍵復元に要する計算量を低減できる可能性について報告する．

格子ベースの hash-and-sign 署名方式である Falcon は，鍵のコンパクト性と署名生成の高速性を両立した方式として注目され，NIST PQC 標準化プロセスにおいて標準化予定方式として選出された．Falcon は量子計算攻撃に対して安全と考えられている一方，物理攻撃への耐性については継続的な検討が不可欠である．本研究では，Falcon の秘密鍵の一部である Falcon tree の葉要素が書き換えられた場合，署名分布が特定の方向へ歪むことを示し，その分布の解析を通じて秘密鍵復元攻撃が成立することを示す．さらに数値実験により，約 3×10^5 個の署名を収集することで，分布の主成分ベクトルと秘密鍵ベクトルとの相関が 0.9991 に達し，2 次元空間上の探索アルゴリズムを用いて正規化された固有ベクトルから完全な秘密鍵を復元できることを実証する．最後に，本攻撃の脅威を無力化するための対策として，Falcon tree の生成から平方根計算を排除し，攻撃への耐性を高めつつ効率をさらに改良する手法を提案する．

Screaming Channelsはミックスドシグナルチップ内で生じるサイドチャネルリークであり，従来のチップ近傍で得られる電磁波リークとは異なり，遠距離からでもリークの取得および攻撃による暗号鍵の窃取が可能となる．近年，ソフトウェア実装したAES暗号に対して，深層学習ベースのサイドチャネル攻撃(DL-SCA)が研究されている．しかし，従来研究で使用されるDL-SCAはターゲットとの距離が離れるほど信号品質が低下し，攻撃精度が低下するという課題がある．本研究では波形の周波数成分に着目し，スペクトログラムを利用することで遠距離取得波形に対する精度低下の抑制手法を検討した．具体的にはミックスドシグナルチップからリークした信号を複数の窓サイズでスペクトログラムに変換した結果を用いるDL-SCAで，攻撃した性能を比較して最適な窓サイズを選定した．次に，様々な距離で取得した信号を選定した窓サイズのスペクトログラムに変換し，それらすべてを学習に用いて攻撃を実施した．実験の結果，スペクトログラムを用いた手法は従来手法と同等以上の性能を示し，距離依存による精度低下の抑制が可能であることを確認した．

本稿では, 有限体上の第一種Chebyshev曲線の有理点の個数の明示公式を導出する.

基底簡約は最短ベクトル問題や最近ベクトル問題などの格子問題を解く際には必須の技術である．その基底簡約の中でも，BKZ簡約は格子暗号の安全性解析にも用いられる強い簡約アルゴリズムであるが，その停止性は保証されていない．SCIS2025ではポテンシャル量を単調減少させることで多項式回のツアーでの停止性が保証されたBKZの変種PotBKZを提案した．本稿ではを一般化した重み付きポテンシャルという量を定義した上で，PotBKZの一般化であるw-PotBKZを提案する．特定の重みによるポテンシャルと基底の品質を示す指標の1つであるGSA-slopeの和は定数となり，重みつきポテンシャルの減少によりslopeの改善が期待できる．そこで基底への挿入で重み付きポテンシャルを減少させるベクトルを探索する$\bm{w}$-PotENUMを開発する．更に，w-PotENUMを局所射影ブロック格子に対して呼び出し，重み付きポテンシャル量を単調に減少させるw-PotBKZを開発する．

有限体における n 変数 d 次連立多項式の求解技術として、SODA2017 にて Lokshtanov 等によって Polynomial Method と呼ばれる技術を基にしたアルゴリズムが提案された。この技術は初めての全探索の効率を上回るアルゴリズムとして提案されたが、全探索の効率を上回るのは変数の数である nが非常に大きいときに限定される。この技術を改良したアルゴリズムが EUROCYPTO2021 にて Dinurによって提案された。このアルゴリズムの中では、連立多項式の次数が d に限定されていることに着目し、CHES2010 にて Bouillaguet 等によって提案された高速全探索技術を、Fn2 の全空間ではなく特別な部分空間における全探索技術として利用した。しかし、Dinur は高速全探索技術を利用した具体的なアルゴリズムについては論述しなかった。本論文では、高速全探索技術を特別な部分空間において利用することの困難性について考察する。

ナップザック暗号の低密度攻撃の理論的研究として典型的なものは部分和問題がSVPオラクルまたはCVPオラクルの1回呼び出しにより多項式時間でほとんど確実に解けるための十分条件が密度というパラメータを用いて表されるものである．例えば，SVPオラクルの1回呼び出しの場合ではCosterらにより十分条件として「密度が0.9408...未満」という条件が与えられており，これが最良のものの一つとして知られている．実験的な研究としては，SchnorrとEuchnerによる実験が有名で，密度が1に近い(1より若干大きな)値のときに格子基底簡約アルゴリズムの実行に最も時間がかかることがわかっている．本講演では，実験的側面も考慮し，新しい格子問題l-SIVPを導入する．そして，ある数学的な予想の下，部分和問題がl-SIVPオラクルの1回呼び出しにより多項式時間でほとんど確実に解けるための十分条件を与える．その数学的な予想の仮定なしの場合では，その十分条件がCosterらのものと同じ「密度が0.9408...未満」になることを示す．我々の十分条件はどの程度優位かの考察もしたのでその報告も行う．

本稿では, 非可換群のCayleyグラフに基づくハッシュ関数であるZemorハッシュ関数のパラメータについて, その安全性に関わる群上のRepresentation Problem (GRP) を解析する. 特に，素体Fp上の2次の特殊線形群SL2(Fp)上で， 正の整数kとlをパラメータとする生成元から定まる拡張 Zemorハッシュ関数を考える．まずk=l=2の場合を考える．このとき，Brombergらの既存研究でGRPを効率的に解くヒューリスティックなリフティング攻撃の存在のみ示唆されていた．本研究では，そのリフティング攻撃の具体的な構成を与え，計算量評価および実験結果を示す．このリフティング攻撃の構成では，整数係数の特殊線形群SL2(Z)におけるある部分群の指数有限性が本質的である．さらに本研究では kとlが一般の場合の部分群を考え，その指数を調べる．そしてkとlの積が4以下であれば有限, それ以上では無限になることを示す．これにより，有限指数性に依存する上記のリフティング攻撃が有効なパラメータを整理し, 拡張されたZemorハッシュ関数の安全なパラメータの導出方法を与える.

Montgomery multiplication is widely used in public-key and post-quantum cryptography and has been broadly studied in computer arithmetic for its division-free efficiency. A characteristic feature of the method is the final conditional subtraction, known as the correction step. It is input-dependent, and prior timing attacks have shown that the distribution of this event can leak secret information. Earlier analyses examined the correction probability mainly when the modulus is close to the Montgomery radix R, but they rely on heuristic distributional assumptions and do not address cases where the modulus is small.This work introduces a new simple correction condition of the correction step and uses it to obtain explicit and asymptotically precise correction probabilities in two practically relevant input regimes. In the modulus-size input setting, we derive an exact probability (P(m)-2m+1)/m^2 for small modulus m<\sqrt{R}, where P is the gcd-sum function. In the full-size setting where the product of inputs is less than mR, we obtain an exact divisor-sum representation of the correction count and analyze the limiting probability as $m\to R$. Overall, our results clarify how Montgomery's correction event depends on structural properties of the modulus across both regimes.

ひまわり等管状花の螺旋本数にフィボナッチ数が現れることは広く知られているが、その数え方は視覚による主観に依っていることが多く、フィボナッチ数が現れないことも多いという主張もある。より客観的な螺旋本数の数え方及びフィボナッチ螺旋構造を定義し、平面上の点集合が理想的な場合には前記定義の意味でのフィボナッチ螺旋構造を持つことを示す。フィボナッチ数議論及び情報セキュリティ応用検討の一助としたい。

Fuchsら (MathCrypt 2021) によって提案されたMarkoffハッシュは, 奇素数位数の有限体上のMarkoff型方程式から定義されるMarkoffグラフ上のウォークとして構成される暗号学的ハッシュ関数である. Markoffグラフのサイクルの存在性と分布はMarkoffハッシュの衝突困難性と密に関係しているため, 整数論のみならず暗号理論の側面からも重要である. 本講演では, Markoffグラフにおける特定の長さのサイクルの存在性と構成法を示す.

Witness Encryption (WE) は強力な暗号プリミティブであるが，標準的な計算量的仮定に基づく構成法は未だ知られていない．本研究では，WEを構成するアプローチの一つとして知られる複数認証局属性ベース暗号 (MA-ABE) に着目し，両者の関係性について再考した．本研究の貢献は以下の二点である．第一に，WEの構成に必要なMA-ABEの安全性定義を厳密に定式化し，標準的な仮定から構成されるMA-ABEが満たす安全性よりも強い安全性が必要であることを明らかにした．具体的には，WEの構成にはMA-ABEが「充足不可能なポリシーを用いた暗号文は，全ての認証局と結託した攻撃者に対してもメッセージを秘匿する」という極めて強い安全性を満たす必要があり，既存のMA-ABE方式はこれを満たさないことを示した．第二に，MA-ABEに基づいたWEのより効率的な構成法を提案した．この手法は既存構成よりも暗号文長を削減でき，これにより，暗号文長が短いMA-ABEが存在すれば簡潔なWEが構成できることを示した．

関数型暗号は，関数fに対応する秘密鍵をもつユーザがxの暗号文からf(x)のみを復元できる暗号方式である．アクセス制御が可能な属性ベース暗号や内積計算が可能な内積関数型暗号もその一種であり，Abdallaら(ASIACRYPT 2020)はこれらを組み合わせた機能を実現する属性ベース内積関数型暗号を提案した．本稿では，属性ベース内積関数型暗号の鍵生成アルゴリズムを二段階に分解することで階層化した枠組みを定式化し，階層化可能性に基づいて既存方式を分類する．また，Abdallaらの構成を拡張する形で，述語エンコーディングを用いた適応的安全な方式の一般的構成を二種類提案する．これらの構成は階層化可能性と効率性の面でトレードオフになっている．

従来のselective opening (SO) 安全性は、送信者の内部状態が漏洩する送信者SO安全性と、受信者の内部状態が漏洩する受信者SO安全性の二つの状況に分けて研究されてきた。しかし、実際のマルチユーザ環境では、送信者側と受信者側のいずれについても、一部のユーザが同時に内部状態が漏洩する可能性がある。このような一般的な状況を捉えるために、攻撃者が送信者および受信者の双方について選択したユーザの秘密鍵や暗号化乱数、平文といった内部情報にアクセスできることを許容しつつ、残りの未開封暗号文に対応するメッセージの機密性をシミュレーションベースに保証する bi-selective opening (Bi-SO) 安全性が提案されている。本研究では、IDベース暗号においてBi-SO安全性を定式化し、その安全性を満たす構成を与える。具体的には、ランダムオラクルモデルにおける藤崎岡本変換に基づく構成と、理想暗号モデルにおけるシミュレーション可能オラクルDEMを用いる構成を提案する。

信頼できるデータ流通を実現するためのトラストフレームワーク構築に向けて、これまで、データ受領者と提供者それぞれの立場から個別に期待やトラスト要求の分析が進められてきたが、双方に共通する体系的な検討プロセスの構築は十分に行われていなかった。本稿ではTrustor/Trustee間でトラストを確立するために考慮すべき観点を整理し、検討プロセスを提案する。さらに、TrustorがTrusteeに抱く期待を体系的に再整理し、Trusteeに対する期待観点リストを例示する。本検討の結果、データ契約類型やTrustor/Trusteeの組み合わせごとに期待観点が異なることを明確化し、提案プロセスによりトラスト確立に必要な要件や検証方法を体系的に導出できることを示した。これにより、信頼できるデータ流通の実現に向けて、より具体的かつ実践的なトラストフレームワーク構築が可能となる。

ストレージにデータを漏洩することなく複数のユーザー間で柔軟なアクセス制御のもとファイルを共有することを目的として，秘密計算によるファイル共有システムの開発が進んでいる．中でもTEE（Trusted Execution Environment）を活用した手法では，ファイルの機密性と完全性の保護に加えて，共有の操作における性能の向上が実現可能であるが、システムに付随するメタデータの秘匿が重要な課題となる．本研究ではこの課題に対処して，TEEを利用したアクセス制御情報の保護を可能とするファイル共有システムを構築するとともに，形式検証により本システムの安全性を厳密に保証することを目指す．まず先行のTEEを用いたシステム設計を拡張して，アクセス制御に関する情報を秘匿しながら共有を操作するフローをモデル化した．さらに本システムにおける脅威モデルと満たすべきセキュリティ特性を定義した上で，暗号プロトコルの検証ツールであるProVerifを用いてシステムの安全性を形式検証した．

A decentralized storage network (DSN) enables clients to delegate data to servers, where the data must be retained custody for a jointly agreed contract period. Most existing constructions employ proof-of-replication (PoRep) iteratively to provide verifiable guarantees during this period. However, the original PoRep security model does not account for iterative invocation, particularly when aided by a blockchain that serves as an external repository of auxiliary information. Similar concerns arise for another key DSN functionality, i.e., data retrieval, where malicious parties may exploit previous and parallel sessions to undermine fairness. This work addresses these gaps by formalizing the syntax and adaptive security of blockchain-aided DSN protocols, presenting, to the best of our knowledge, the first formal treatment. Building on this foundation, we propose a generic construction that leverages an Extended UTxO (EUTxO) ledger, automating protocol execution by embedding the required verification into EUTxO's validation logic. We further prove that the succinctness and non-malleability of the underlying proof system suffice for adaptive security.

本稿は、複数組織が機密データを共有せずに処理を行うMulti-Party Confidential Computing（MPCC）環境を対象に、データ提供者の開示ポリシーを尊重しつつデバッグ効率を向上させるフレームワークを提案する。TEEを基盤とする MPCCでは、デバッグモードの利用によって内部状態を可視化すると機密性が損なわれ、逆に本番相当の機密性を維持すると内部状態を観測できず原因特定が難しい。また、データ起因のバグと処理ロジック起因のバグの切り分けが困難である。そこで本研究では、データ提供者が各データに「デバッグ可 (OK) / 不可 (NG) 」のマークを付与するポリシーを定義し、デバッグ時にはOKとマークされたデータのみを開示対象とする手法を提案する。これにより、NGとされた機密データを秘匿したまま、事前に合意されているOKとされたデータを用いて原因特定を行うことが可能となる。デバッグ操作は監査ログとして記録し、検証可能性を確保する。医療AIの推論サービスとマルチパーティのETLにおけるユースケースを通じ、本手法の有用性を考察する。

PRINCE は、IoT機器に適した軽量ブロック暗号の一つとして2012年に提案された。特に低遅延性（Low Latency）に優れており、暗号化および復号に要するクロックサイクル数が非常に少ない点から、リアルタイム性が求められる環境に適している。PRINCEの独自のラウンド構造は他の代表的なブロック暗号とは異なる設計思想に基づいている。 　本研究では、この PRINCE の安全性を評価するために、代表的な攻撃手法である差分識別攻撃を、機械学習を活用して適用し、その識別能力を分析する。特に、ディープラーニングを用いた識別器を構築し、特定ラウンド数に対する固定差分とランダム差分に基づく暗号文の分類性能を評価する。近年、機械学習は従来の差分分析手法では捉えにくい統計的特徴を自動抽出できる点に大きな利点がある。またPrinceにおけるラウンド縮小手法について機械学習における安全性評価の観点で吟味する。 本研究の結果として、対称性を維持しROUND7まで縮小した簡略版Princeにおいてランダムでない精度で識別が可能な機械学習モデルが得られた。

共通鍵暗号の差分暗号解析において，特定の差分を持った平文と暗号文の組を機械学習モデルに学習させて解析するニューラル識別器が注目されている．しかしながら, 大規模言語モデル (LLM)を用いた検討はこれまで行われてこなかった. 本稿では，LLM を用いたニューラル識別器の実験評価を行うことで，ニューラル識別器の脅威が LLM により加速されるか明らかにする．本稿で得られた知見は三点である．まず LLM によるニューラル識別器の結果を既存研究 の ResNet による結果と比較したところ，LLM により精度の改善が保証されるわけではないことを示す. 次に，データセットの分布を調整することで高ラウンドにおいても高い精度が出るか実験したところ，高ラウンドではモデルに依らず暗号文毎の違いが認識できないことを確認する．最後に，プロンプトの影響として，システムプロンプトに排他的論理和を追加することで，ニューラル識別器の精度が大幅に上昇することを示す．

ニューラルネットワークを用いた暗号解析の多くは，選択平文・既知平文を前提としており，平文が攻撃者から未知である状況は十分に検討されていない．本研究では，平文の値を一切利用できない「未知平文関連鍵モデル」を導入し，同一未知平文に対する関連鍵暗号文から最終ラウンドで部分復号した内部状態ペア集合を入力として，Deep Sets に基づく順序不変集約（注意機構付き重み付き和）を用いるニューラル識別器により鍵回復を行う手法を提案する．軽量ブロック暗号 SIMON32/64 および SPECK32/64 を対象として評価を行った結果，SIMON32/64 に対しては1,280 個の暗号文ペアで 9 ラウンドの完全鍵回復を達成し，10 ラウンドについても低確率ながら鍵回復が観測された．一方，SPECK32/64 では事前ショートリストを併用して 5 ラウンドまで現実的な計算量で鍵回復が可能であることを示したが，6 ラウンドでは成功率の向上が限定的であった．さらに，両暗号に対する攻撃性能の差が，鍵スケジュールの線形性とそれに起因するラウンド鍵差分の決定論的性質の違いに密接に関係していることを示唆する．

近年、IoT環境の普及に伴い低リソースデバイス向け軽量暗号が注目を集めている。軽量暗号では，様々なリソース制約の中で安全性と効率性のバランスを取ることが求められるため、安全性評価は重要な課題の一つである。平文に対して、暗号文はランダムに振る舞うことが期待される。本稿では、暗号化処理のラウンドごとに転置と置換処理を行うSPN構造を採用した軽量ブロック暗号PRESENTに対して、ニューラルネットワークを用いた平文予測攻撃を行う。また、機械学習モデルの予測結果に対して各特徴量がどれほど貢献したかを定量的に示す値であるSHAP(SHapley Additive exPlanations)値を用いて、特定の暗号化処理が予測精度に与える影響を分析する。平文予測攻撃では、従来の平文と暗号文のみを用いる学習に対し、暗号化処理における各ラウンドの中間値を入出力とする学習手法を導入した結果、学習モデルの予測精度向上に影響することを確認した。また、SHAP値を用いた分析では機械学習がPRESENTにおける暗号化処理の内容を学習できることを確認した。

鍵導出関数（KDF）はマスター鍵を含むいくつかの入力データをもとに，暗号に利用できる秘密鍵を任意の数だけ出力する関数である．本論文ではNIST SP 800-108r1に定義されている，擬似ランダム関数（PRF）に基づくKDFに着目する．この中では，KDFの構成方法としてカウンタモード，フィードバックモード，ダブルパイプラインモードが定義されている．NISTは同文書の中でKDFに考える安全性の1つとして鍵制御安全性を定義している．LightMACはISO標準に採用されているPRFであり，組み込みデバイスのように資源が制約された環境での利用を想定して設計されている．LightMACに基づくカウンタモードKDFは鍵制御安全性を満たさないことが知られている．しかし，これはKDFが出力する鍵が1つだけの場合に限った解析であり，2つ以上の鍵を出力する場合の鍵制御安全性は解析されていない．そこで，本論文では出力する鍵が2つの場合のカウンタモード鍵導出関数の鍵制御安全性を解析する．

認証暗号は現代において安全な通信を行うための基礎的な暗号技術であり，これまで多くの方式が提案されてきた．標準を含む多くの方式は高い安全性をもち長入力に対して高効率で動作する一方，短入力に対しては計算上のオーバーヘッドが大きいことが課題となる場合がある．短パケット通信を行うIoTのように帯域・計算資源に制約のあるアプリケーションでは，短入力に対して高い安全性をもち，かつ高効率で動作する方式が使用されることが望ましい．これを踏まえてAdomnicăiらはBeyond-Birthday-Boundの高い安全性を達成する短入力向け認証暗号方式Cymric（Cymric1/Cymric2）を提案した．本研究では入力長がより長いCymric2に注目し，Nonce-Misuse耐性解析を行う．

鍵導出関数は1つのマスター鍵からセッション鍵やユーザ鍵を導出する関数である．NIST SP 800-108r1には擬似ランダム関数に基づいた鍵導出関数の構成方法が定義されている．構成方法には3つのモード（CTR，FB，DP）があり，擬似ランダム関数にはCMAC，HMAC，KMACを使用することが推奨されている．CRYPTO　2025において，Bhaumikらは鍵導出関数に対する鍵制御安全性を定式化し，HMAC, KMACを用いた鍵導出関数の安全性証明と，CMACを用いた鍵導出関数への攻撃を示した．また出力が2ブロックの場合のCTR-CMACとFB-CMACへの攻撃法が示されている．本論文では出力が3ブロック以上のCTR-CMACとFB-CMACの鍵制御安全性を検証する．またFB-CMACではカウンタの有無，初期値IVの決定方法による安全性の違いを検証する．結果として，出力ブロックが一致する場合を除き，3ブロック以上のどのブロック数でも攻撃が可能であることを明らかにする．

認証暗号には基本安全性として機密性と認証性が要求されるが，それらに加えてより高度な安全性を満たす認証暗号への変換方式が検討されている．高度な安全性にはCommitting安全性，Leakage耐性を表すLAE安全性，Nonce-Misuse耐性などが知られている．StruckとWeishäuplによってCommitting安全性とLAE安全性を同時に達成する認証暗号方式であるUtC*変換が提案されたが，後の研究でLAE安全性を持たないことが明らかにされた．これを踏まえてCommitting安全性と，LAE安全性よりも弱いwLAE安全性を同時に達成するEtC変換が新たに提案された．本研究では，これらの安全性に加えてEtC変換がNonce-Misuse耐性を有するかについて注目する．Nonce-Misuse耐性にはNMR安全性とこれを緩和したNML安全性があり，それぞれについて解析を行う．

公開鍵ペア生成処理において実装上の問題があった場合，通常は困難とされている公開鍵からの私有鍵導出が容易に行われてしまう可能性がある．そのため，PKIにおいては公開鍵証明書の発行を要求してきた申請者が適切な鍵生成処理を行って公開鍵を生成したことを認証局(CA)が事前に検証できることが望ましい．しかし，生成された公開鍵に対してそれが適切な実装や高エントロピーな乱数によって出力されたものかどうかをCAが厳密に検証することはできない．そこで本稿では，三種類の公開鍵方式(RSA，ECDSA，ML-DSA)の鍵生成処理の正当性を検証可能な公開鍵証明書発行システムを構築・評価した．具体的には，鍵生成処理全体をゼロ知識証明で証明する回路に変換し，申請者がその証拠をCAに提示することで正当性を検証している．評価の結果，申請者の実行時間に改善の余地はあるものの，従来の公開鍵証明書発行プロセスを大きく変更せずに提案手法を適用可能であることを示した．

ファジー抽出器（fuzzy extractor）は高いエントロピーを持つファジーデータから一様乱数を抽出し、さらに元のファジーデータと異なるが近いファジーデータから同じ乱数値を再現することを可能にする暗号技術である。従来のファジー抽出器は単一のファジーデータのみを入力として受け取るため、多要素や分散型の認証、単一障害点の回避といった利用には適さない。本論文では、$(k,n)$-しきい値ファジー抽出器（threshold fuzzy extractor）を（再）定式化し、その構成法を提案する。これにより、$n$個のファジーデータから一様乱数を抽出し、$k \leq n$個のファジーデータから同じ乱数値を復元できる。我々は、しきい値ファジー抽出器のシンタックスとセキュリティを、通常の(単一入力の)ファジー抽出器の自然な拡張として定式化する。安全性要件として、通常のファジー抽出器と同様に情報理論的な安全性及び計算量的なロバスト性と再利用可能性を定義する。さらに、しきい値ファジー抽出器の一般的構成法を2つ提案する。1つは情報理論的安全性を満たし、もう1つはロバスト性と再利用可能性を満たす。

暗号技術は安全なシステムに必要不可欠であるが、暗号鍵の効果的な管理はいまだに大きな課題として残っている。本研究では、「顔特徴、虹彩パターン、指紋、指静脈画像といった生体情報を直接鍵管理に活用できないか？」という問いに取り組み、fuzzy-data-to-random（FD2R）と呼ばれる新しい暗号技術を導入する。FD2R プロトコルは、サーバに保存された補助情報の助けを借りることで、生体情報などの曖昧で推測困難なデータを一様ランダムで暗号的に安全な鍵へと変換する。これにより、ユーザは自らの生体情報を安全な暗号鍵のようにシームレスに利用することが可能となる。具体的に我々は、巡回群に基づく効率的な FD2R プロトコル構成を提案し、その性能評価を行うことで、FD2Rプロトコルが極めて実用的であることを示す。本研究の主な技術的貢献は、線形スケッチと呼ばれる基本的な要素技術に対して新たなセキュリティ概念を定義する点にあり、これらの性質を満たす線形スケッチによりFD2Rプロトコルが実現可能となる。

Photo obfuscation has been proposed as a way to preserve privacy on social media. This practice is commonly observed on Japanese social media, and understanding its reasons could help guide the design of privacy-enhancing tools. We report the results of a study conducted among Japanese young adults (n=230, ages 18-25), consisting of a pilot and main questionnaire, and semi-structured interviews, in which participants answered questions about photo obfuscation methods, motivations, and about their views on privacy. The quantitative results show that photo obfuscation is widespread among this group, with 84% of 174 photo-posting participants indicating that they obfuscate at least sometimes. Privacy and personal data-related reasons made up the largest share of top reasons for photo obfuscation. Participants also reported high perceived value of privacy and desire for privacy control. However, the interviews revealed more nuance about how photo obfuscation relates to privacy. Interview participants did not always consider privacy as their primary reason for obfuscation, and instead were concerned with social norms, self-presentation and aesthetics, both wanting to be perceived as considerate of others and also being careful not to appear too concerned about privacy.

近年，AI技術の進展は，日常生活を支援する片付け・掃除サービスから，高い専門性が要求される資産運用サービスまで，多様なドメインでサービスの自動化と効率化を加速させている．しかしながら，AIや自動化システムが介在することで発生するサービスエラー（誤判断）は不可避であり，それがユーザの評価や信頼に与える影響は，サービスドメインやエラーの重大性によって異なると推察される．本稿では，結果の重大性が異なる片付け・掃除サービスと資産運用サービスを対象に，深刻度の異なるサービスエラーが，ユーザのサービス選好（評価）に与える影響を定量的に分析する．さらにAIサービスのエラー発生時におけるユーザの評価傾向についても検証する．これらの検証には，コンジョイント分析を行うとともに，2種類のサービスエラーと市場シェアの関係についてのシミュレーションを行った．そして，分析の結果，AIサービスの社会実装において「画一的な品質基準」ではなく，「サービスドメインに応じたリスク管理」が必要であることが示唆された．また，金銭的価値を測定する方法ではなく，新たにサービスエラーの評価を市場シェア予測で評価する方法を提示した．

サイバーセキュリティ教育では、仮想化技術を用いて実際のインシデント環境を再現した実践的演習が行われている．近年，コンテナ並の軽量さと従来の仮想マシン並みの分離性能を持つマイクロVMが普及し始め，演習環境への適用に関する研究も始まっているが，効果的かつ効率的にセキュリティ演習を実施するために必要なリソース効率の定量的な比較や脆弱性の再現性能に関する研究が不足しており，適切な仮想化技術の選択が課題となっている．本稿では，KVMによる従来の仮想マシン環境，Dockerによるコンテナ環境，FirecrackerによるマイクロVM環境を比較し，情報セキュリティ演習に適した仮想化方式を評価した．実験により起動時間，メモリ消費，CPU使用率，ストレージ消費量を比較評価しつつ，カーネル層の脆弱性再現性の評価も行った．その結果，Firecrackerが起動時間でKVMの約3.5倍，CPU使用率で14.3倍、メモリ消費で2.7倍効率的であるなど高いリソース効率を示しつつ，コンテナでは困難なカーネル層脆弱性の再現も可能であり，サイバーセキュリティ演習環境への高い適用可能性を示した．

本稿では，耐誘導コミュニケーション研究における会話データ生成手法の新たな展開として，逆算的会話設計の有効性を実証する．これまでの研究（SCIS2019-2025）では，攻撃者が標的を誘導するメカニズムを選択理論心理学に基づいて解明し，「誘導のシナリオ」という概念を導入してきた．しかし，一つの起点（同一の発話文）から異なる終点（複数の結論）へと標的を誘導できることの実証は未完であった．本研究では，リアリティセラピーのカウンセリング技法を応用した「逆算的会話設計」手法を用いることで，同一の発話文から，事前に設定した異なる複数の結論へと，誘導する会話を生成できることを実験的に示す．具体的には，同一の相談事例において，異なる基本的欲求に焦点を当てた3種類の結論（複数の行動計画）を設定し，それぞれに対して逆算的に会話を設計・実行した．実験の結果，すべての結論への誘導に成功し，逆算的会話設計が誘導の多様性と実現性を担保する強力な手法であることが確認された．この成果は，耐誘導コミュニケーション研究における多様な攻撃パターンの体系的分析と，より効果的な防御手法の開発に寄与する．

様々な場面で活用されるナレッジグラフの組織横断的な共有は、適切なリスク評価に基づいた柔軟なアクセス制御の下でなされることが望ましい。 本稿では、ブロックチェーンを介してユーザ間でナレッジグラフを柔軟に共有するための新しいフレームワークKGDealerを提案する。 KGDealerは、ユーザ間であらかじめ合意形成したリスク評価に従い、ナレッジグラフ全体に加えサブグラフ単位に関して評価をブロックチェーンを通じて行うことで、任意のグラフに対する柔軟な共有を実現する。 また、リスク評価として任意のサブグラフ単位でプライバシーリスクを計算する利得関数を導入する。KGDealer の有効性を評価すべくEthereum 上で実装し、製造業界のデータ規格を用いて実験評価したところ、ナレッジグラフのデータサイズに依らずに、一定のGas コストで実行できることを確認した。また、その結果を踏まえ、KGDealer が大規模なデータの取引に適することを確認した。

委員会選出型のコンセンサスプロトコルでは，ランダムに選出される委員会の多数決・閾値署名などによりコンセンサスを達成する一方，攻撃ノード比率を保守的に見積もるほど所望の安全性を満たすために必要な委員会サイズが増大し，遅延や運用コストが問題となる．本研究は，ステーキングとスラッシング，およびレピュテーションを統合したインセンティブメカニズムにより，攻撃者の予算制約と違反時の期待損失に基づいて実効攻撃率q_effを内生的に低減する委員会選出モデルを提案する．さらに，得られたq_effに基づき委員会の失敗確率を評価し，従来の委員会設計と同等のセキュリティ要件を維持しつつ必要な委員会サイズを大幅に削減できることを理論的および数値的に示す．本稿は，委員会ベースコンセンサスにおける Sybil 耐性とスケーラビリティを両立するためのインセンティブ設計手法を示す．

暗号資産の送金には秘密鍵による署名が必要であり，厳重な管理が求められる．近年，秘密鍵紛失時の復元機能を持つ方式や，秘密鍵による署名の代わりに別の認証手段を利用する方式など，鍵管理の負担を軽減する方式が提案されている．これらは利便性とセキュリティを向上させるだけでなく，ユーザの参入障壁を下げる技術として注目されている．特に鍵管理を不要とする方式として，マイナウォレットが提案されている．この方式では，コントラクトウォレットとゼロ知識証明を組み合わせることで，プライバシーを保護しつつマイナンバーカードを用いた署名が可能である．さらに，1人1ウォレットの仕組み（シビル耐性）が提案されている．しかし，取引毎にゼロ知識証明を生成・検証する必要があり，コストと処理時間の増大を招く．また，シビル耐性に関する提案と実装が不十分である．そこで本研究では，コストと処理時間の削減，およびシビル耐性を達成する新たな方式を提案し，実装および評価を行う．併せて，2026年より導入予定の次期マイナンバーカードへの対応も行う．

Bangaloreら（J. ACM 2020）のしきい値攻撃者に対する非同期ビザンチン合意プロトコルを一般化し，Choudhury（Theoretical Computer Science 2024）はより広いコラプトを許容する一般攻撃構造に対する期待二乗ラウンド非同期ビザンチン合意プロトコルを提案した．しかし，一般攻撃構造に対する期待線形ラウンドを実現するプロトコルは未解決問題であった．本稿では，欠落的コラプトのみに限定するが初めての一般攻撃構造に対する期待線形ラウンド非同期ビザンチン合意プロトコルを提案する．我々の方式は，Dasら（SCN 2024）の能動的なしきい値攻撃者に対するプロトコルの構成アイディアに基づいている．

イーサリアムには、11もの独立したクライアント実装が並存している。このクライアント多様性は堅牢性を高める一方で、セキュリティ監査の対象を広げ、従来の人手による監査に膨大なコストと時間を要する。本稿では、イーサリアムクライアント実装に対して自動で脆弱性検出を行うAIエージェントを提案する。本手法は、従来の監査プロセス(仕様理解、コードレビュー、テストコード生成・実行、レポート作成)を模倣する。イーサリアムFusakaアップグレードに際して2025年9～10月に開催された監査コンテストにおいて、本AIエージェントを用いて17件の脆弱性を発見し、報告件数において第1位の成果を上げた。監査コンテストでは (i)仕様をもとにした静的検査、(ii)既知不具合の類似脆弱性探索、(iii)動的ファジング生成による不具合検知の3種類の戦略を試行した結果、(ii)の戦略が最も脆弱性発見数・有効報告率が高く、監査の知識がない非技術者が使用しても脆弱性を発見することができた。本研究は、AIエージェントが多様な実装を持つ分散システムのセキュリティ維持に有用であることを実証した。

既存の公平な秘密計算方式の多くが信頼できる第三者を必要とする一方で，ブロックチェーン上のスマートコントラクトを信頼の基点とする，金銭的ペナルティに基づく方式がこれまでにいくつか提案されている．しかしながら，金銭的ペナルティに基づく公平な秘密計算について，形式手法による安全性検証の事例はこれまでに知られていない．本稿では，暗号プロトコルの自動検証ツールProVerifを用いて，Benkovら（ASIACRYPT 2017）のStatefulなスマートコントラクトに基づく公平な秘密計算の形式検証を行う．技術的な貢献として，我々はProVerifにおけるブロックチェーン上のスマートコントラクトの挙動と，金銭的ペナルティに基づく公平性の形式化手法を提案する．検証結果として，Benkovらの方式は起こり得る状況すべてについて金銭的ペナルティに基づく公平性を満たすことを示す．

スマートコントラクトは透明性を持ち，改ざんが極めて困難な自動執行型プログラムであり，多様な分野での応用が進んでいる．スマートコントラクト上に AI モデルを実装すれば，モデル情報を改ざん不可能な形で記録し，その正当性を検証できる．これにより信頼性の高い AI サービスを自律的に提供することが可能となる．しかし，スマートコントラクトは計算量に応じてガスと呼ばれる手数料が発生するため，学習のような高負荷処理をオンチェーンで実行することは現実的ではない．そのため既存研究では，オンチェーンには推論のみを実装し，学習や評価はオフチェーンで行われてきた．結果として，悪意あるデータで学習されたモデルや，すり替えられたモデルをオンチェーンで検知できないという課題が残る．本研究では，学習を外部のオフチェーンサーバに委任しつつ，評価をスマートコントラクト内で実行する方式を提案する．所有者が設定した損失閾値に基づいてオンチェーンでモデルの良否を判定し，閾値を満たすモデルのみを採用することで，不正モデルをブロックチェーン上で検知・拒否できる．

時価総額最大のスマートコントラクトブロックチェーンであるEthereumは、耐量子化などを含む大幅アップグレードに向けて研究開発が進行している。新たに導入する耐量子暗号プロトコルや、それを用いた仮想マシンの安全性を形式的に証明するため、Ethereum財団主導のプロジェクトが立ち上がっている。本論文では、Ethereumアップグレードに向けた、AIエージェントを活用して耐量子暗号プロトコルのLean形式検証を自動化するパイプラインを提案する。提案手法を用いて、Ethereumで採用が検討されている耐量子署名スキームXMSSの構成要素であるTop Single Layerエンコーディングスキームの比較不可能性を形式的に証明した。またマークルツリーの完全性を対象に、単一プロンプト方式と提案パイプライン方式の証明成功率を比較し、単一プロンプト方式の20%に対し、提案パイプラインは100%の成功率を達成した。

近年，IoTの普及に伴い，ハードウェアデバイスのセキュリティ課題が増加している．ハードウェアデバイスの消費電力波形を用いて異常動作検知する手法として，消費電力波形をSBD(Shape Based Distance)に基づきクラスタリングした結果を記号列に変換し，文法的推論を適用して異常動作検知する手法が提案されている．しかし，SBDに基づく文法的推論を用いた手法には，波形のクラスタリングの際に波形の形状のみを特徴量としている点をはじめ様々な課題がある．本稿では，潜在的特徴量に基づく文法的推論を用いたIoTデバイス異常動作検知手法を提案する．提案手法はSBDに基づく文法的推論を用いた手法を発展させたもので，深層学習を用いた定常状態除去，特徴量抽出を行い，文法的推論では記号列化した消費電力の遷移から遷移ルールを構築し，遷移ルールに違反する記号を異常として検知する．提案手法をRaspberry Pi4を用いて実装したIoTデバイスに適用した結果，深層学習で得られた潜在的特徴量がクラスタリング精度を向上させ，高精度な記号列変換を実現し，従来手法では検知できない異常動作を検知することに成功した．

脆弱なIoT機器へのマルウェア感染被害が発生する中，機器の再起動や初期化では除去できない永続化機能を備えた高度なマルウェアの存在が確認されている．永続化は感染機器の使用不可や買い替えを余儀なくされるなどの深刻なリスクにつながる一方で，永続化を可能にする攻撃手法の実態は体系的に分析されておらず，その脅威は十分に解明されていない．そこで本研究では，IoT機器における不揮発領域への書き込み可能なインタフェースを抽象化レイヤごとに整理し，ミドルウェア層において不揮発性メモリを操作可能なMTDデバイスドライバに着目した分析を実施した．MTD関連の不揮発性メモリにおけるデバイスファイル名およびioctlリクエストコードをシグネチャとするYARAルールを設計し，8種類のルータのファームウェアを対象に静的解析を実施した結果，いずれの機種からも不揮発性メモリを操作可能なコードが検出された．本結果は，幅広いIoT機器において攻撃者がこれらの正規のコードを悪用することでマルウェアの永続化が実現し得ることを示しており，IoT機器に内在する永続化リスクの体系的な把握および対策の必要性を示唆している．

Visual SLAM (vSLAM) は自律飛行ドローンの制御において重要な役割を果たすが，その脆弱性に関する研究はほとんど行われていなかった．そこで我々は，vSLAM の一種である ORB-SLAM3 を搭載したドローンを対象とし，自己位置推定を誤った方向へ誘導し，ドローンの進路を意図的に操作する「敵対的映像攻撃」を提案してきた．この先行発表ではシミュレータと実世界で一定の攻撃有効性を確認したものの，シミュレータ上の実験では動作モデルが簡易的であり，現実的な挙動を十分に反映できていない点，および有効な防御手法が未確立である点が課題として残されていた．そこで本研究では，より現実的で市販のドローンでも用いられる PID 制御により，3 次元的な位置制御を行うシミュレーション評価を行うとともに，防御手法の提案とその実証を行った．評価の結果，PID 制御により挙動するドローンに対しても本攻撃が有効であることを確認し，現実的な脅威を明らかにした．また，カメラ入力から高周波かつ動的なパターンを除去する防御手法を提案し，敵対的映像の影響を無力化できることを示した．

IoT機器の市場は25%/年と成長を続けている．それだけ多くのIoT機器が必要とされ導入されている現状においてIoT機器を狙ったサイバー攻撃は後を絶たない．また，IoT機器が狙われたときに，どのIoTデバイスが攻撃の被害を被ったかを特定する事は，IoT機器の導入数，ネットワークを含めたトポロジの構成が判っていても特定までに時間を要する事になる．IoT機器の設置・増設に伴い，IoT機器の管理，事故発生時のIoT機器の特定を素早く実施し異常動作に陥ったIoT機器へのCSIRTを行えることが望ましくなってきている．本項では，全てのIoT機器にSyslogの出力を促し，それによって効率の良いCSIRT活動に繋がる事を目的し，その手段としてITU-Tで制定されたX.1367の導入を提案する．

近年，集積回路（IC）需要の増大に伴い，設計・製造工程の外部委託が進み，信頼できない第三者によってハードウェアトロイ（HT）が悪意をもって挿入されるリスクが高まっている．HTは小規模かつ潜伏性の高い回路であり，機能改ざん，性能劣化，機密情報漏えいなどを引き起こす可能性がある一方，その検出は極めて困難である．本稿では，ゲートレベルネットリストに対しGraphGPSを用いたハードウェアトロイ識別手法を提案する．GraphGPSはMPNN（Message Passing Neural Network）とTransformer層を統合したGraph Transformerであり，回路グラフに対し局所構造と大域構造の双方を捉えることで高いHT検出を可能とする．実験の結果，最大F-score 0.8697を達成した．

エッジコンピューティング環境では，データドリフトとデータ汚染攻撃が発生し得る．そのような状況下では，従来のドリフト検知手法を用いると自然なドリフトと汚染攻撃によるドリフトを区別できず，誤って汚染データを用いてモデルを再学習してしまう可能性がある．本研究では，この問題を解決するため，モデル更新前に汚染攻撃によるドリフトを識別し，再学習の安全性を確保する．提案手法は，攻撃がIoTデバイス間およびデバイス内部のセンサー間に特有の相関構造の変化が生じるという仮説に基づく．まず，デバイス間の相関における距離を算出し，閾値判定により汚染攻撃によるドリフトの発生を検知する．次に，完全連結法による階層クラスタリングと，デバイス内部センサーの相関における変動量を統合し，攻撃を受けたデバイス群を自動的に特定・除外する．実験により，広域に多数のデバイスが汚染される状況でも頑健に汚染源を切り分けられることを確認し，エッジ環境におけるセキュアなモデル再学習の実現可能性を示した．

Internet of Things (IoT) devices such as smart home sensors, industrial systems, and health wearables operate in diverse environments and generate data that varies by device type, location, and activity. This leads to the cross-domain dataset problem, where a model trained on data from one domain performs poorly on another. We propose a method to bridge this gap and improve transfer learning so that knowledge gained in one IoT environment can be reused in another. Our approach uses the encoder of an autoencoder to project features from both source and target datasets into a shared latent space. A model is trained on the encoded source data and fine-tuned on the encoded target data, then converted into LiteRT format for deployment on microcontrollers. The method significantly reduced the latent-space discrepancy between domains, achieving an average covariance gap reduction of 84.74% and an average transfer gain of 2.25% across dataset pairs. Both the fine-tuned and quantized models showed low memory usage, fast inference, and strong detection performance, demonstrating suitability for resource-constrained IoT devices. By improving reliability across shifting environments, this work enables more robust and lightweight intrusion detection for real-world IoT systems.

近年，ソーシャルネットワーキングサービス(SNS)における偽情報・誤情報，フェイクニュースの投稿が社会問題となっている．ユーザの立場においては，これらの投稿の真偽(ファクト)を正しく知ることが重要となる．ファクトチェックはファクトチェック機関にて行われているが，全投稿に対してファクトチェックを行うことは困難である．そこでシステムにて真偽を判定する自動ファクトチェックシステムの活用が有効であると考えられる．しかし，自動ファクトチェックシステムには，システムを悪用したデマの拡散や誹謗中傷のリスクがあると推察される．本論文では自動ファクトチェックシステムのリスクに対応するための第一歩として，システムに潜むリスクを整理する．この整理においては，リスクの起点，初期被害，最終被害の3段階の時系列順序を考慮する．検討の結果，自動ファクトチェックシステムには32種類のリスクが存在することが分かった．本論文ではさらに，整理したリスクを分析のヒント(ガイドワード)として活用するリスク分析手法について検討し，分析手順を示す．

近年，ソーシャルネットワーキングサービスにおける偽情報・誤情報，フェイクニュースが深刻な社会問題となっている．これらに対処するために，システムによって真偽を判定する自動ファクトチェックシステムの活用が期待されている．自動ファクトチェックシステムの実現には，人工知能や大規模言語モデルを用いることが一般的であり，それらに起因するリスクが考えられる．このようなシステム特有のリスクを体系的に分析し，安全性を確保することは重要な課題である．我々はSCIS2026にて自動ファクトチェックシステムに潜むリスクを，時系列を考慮した32種類のリスク項目を用いて分析する手法の概略を示した．本論文では，リスク分析の手順をより詳細化し，自動ファクトチェックシステムDEFAMEのリスクを分析することで，本手法が有効であるかを検証する．検証の結果，DEFAMEにおいて，起こりやすさや影響度を加味したリスクの大きさ，およびリスクの例を具体的に導くことができ，本手法の有効性を確認できた．

ソーシャルメディアの普及によりフェイクニュースの拡散が社会的な問題となっている．これに対処するため，先行研究では行動経済学に基づくナッジを用いてユーザにニュースの正確性確認を促すことでフェイクニュースの拡散を抑制する手法が提案され，その有効性が示されている．一方で，フェイクニュースを拡散する際の心理的動機は，ニュースカテゴリによって異なる可能性が示唆されており，単一の汎用的なナッジでは十分に効果を発揮できない可能性がある．そこで本研究では，ニュースカテゴリごとに最適なナッジを使い分ける手法を提案し，その有効性を検証することを目的とする．タイムライン画面を模した実験用Webアプリを用いて被験者実験を実施し，その結果および考察を示す．

デジタル時代において、インターネットの急速な発展により受容する情報が急激に増加した一方で、拡散される誤情報・偽情報が社会的な課題となっている。本論文では、デジタル時代における誤情報・偽情報の拡散に対抗するための新たな検証可能なファクトチェック（VFC）システムを提案する。大規模言語モデル（LLM）、Optimistic Machine Learning（opML）を活用し、より均衡のとれた効率的なファクトチェックプロセスを実現する。VFCシステムは、DataSourceとClaim Verifier で構成され、情報発信者と情報受容者の間で主張の検証における責任を分散させることができる。opMLに基づくVFCシステムを設計・実装し、システムの実現可能性及び有効性を示す。

機械学習モデルを提供するサービス(Machine Learning as a Service : MLaaS)において，モデルを複製・窃取するモデル抽出攻撃は深刻な脅威である．攻撃者はサーバ上のモデルに対してクエリを送信し，それに対するレスポンスとのペアで代替モデルを訓練する．攻撃者の負担するコストはクエリ画像の収集コストと必要クエリ数の2種類であり，これらの削減を目的として様々な攻撃手法が提案されてきた．我々は以前，生成画像をクエリする攻撃手法として，フラクタル画像をクエリする攻撃を提案した．数式から生成されるフラクタル画像は画像収集コストを無視でき，かつ様々な画像分類タスクにおいて既存手法よりも効率良く代替モデルを訓練可能であることを示した．本稿では，この攻撃に対する防御手法の確立に向け，既存の様々な防御手法に対する攻撃の頑健性評価を行う．4種類の代表的な防御手法を対象とし，我々の手法および比較攻撃手法を用いた実験により評価した．実験の結果，予測摂動やドメイン外クエリ検出といった防御手法のメカニズムごとに攻撃成功率の差異が見られ，各手法に対する本攻撃の耐性特性が明らかとなった．

This work presents a method for extracting the architecture of ReLU neural networks using only black-box access, without any prior knowledge of the model’s structure. While recent research of Canales-Martínez et al. (Eurocrypt 2024) has demonstrated that the weights of ReLU neural networks can be recovered from input–output queries, those approaches assume that the attacker already knows the architecture — i.e., the layer depth and layer widths. In realistic settings, this assumption is unlikely: architectures are as valuable as weights, and most parties wanting to protect the intellectual properties of their weights are unlikely to disclose their internal design. The prior work frames neural network extraction as a key extraction attack on a block cipher, where its structure is completely known. However, it is unrealistic to assume that the structure is known in the context of neural networks. We focus on the fact that the activation boundaries (obtained from input–output behavior) used to recover weights in the prior works also reveal the architecture itself. By probing the geometric structure of activation boundaries, our method recovers the layer width (and then weights) of each layer in order, and finally the layer depth.

DNNへのモデル抽出攻撃は，ブロック暗号に対するオラクルを用いた秘密鍵抽出と概念的に近く，暗号解析的手法が盛んに研究されている．特にReLU NNを中心に，初期研究（Crypto'20，Eurocrypt'24）はロジット出力へのアクセスを前提としたが，近年（Asiacrypt'24，Eurocrypt'25）は最終ラベルのみ得られる現実的なハードラベル設定に注目している．Carliniら（Eurocrypt'25）はこの制約下でも多項式時間でモデル抽出が可能であることを示した．本論文では，これらの既存攻撃の前提条件が，対象とするDNNの深さが増すにつれ現実性を失うことをまず指摘する．具体的には，これらの条件を満たすために必要となるクエリ数はDNNの深さに対して指数的に増加し，結果として当該攻撃は一般の場合において多項式時間で動作しないことを明らかにする．この問題を解決するため，本研究では層間抽出と呼ぶ新たな攻撃手法を提案する．個々のニューロンの重みを直接推定するのではなく，層間におけるニューロンの相互作用を活用することにより，深い層から関連情報を効果的に抽出する．

近年，言語モデルの出自検証手段としてwatermarking（モデル透かし）が注目されている．代表的な手法としてPTL-watermarking（AAAI'25）があり，ファインチューニング（FT）でwatermarkの除去を試みる攻撃への耐性評価がされている．しかし，同研究では，単純な除去耐性のみ評価されており，モデルの下流タスク性能を維持しつつ除去を試みる，という現実的に十分考えられる攻撃シナリオを考慮していない．そこで本研究では，この攻撃シナリオにおいて，所有者がFTに用いたデータセットに対し，攻撃者が同一／類似／非類似データセットを保有する場合について，それぞれPTL-watermarking の除去耐性を評価する．実験の結果，同一データを約0.02%（100件）以上，あるいは類似データを約5%以上保有する攻撃者に対して，十分な除去耐性を示さないことが分かった．一方で，同一／類似データを保有しない攻撃者に対しては，除去耐性を有することを確認した．これらの結果は，PTL-watermarking の耐性の成立条件と限界を明確化し，堅牢なwatermark設計に向けた示唆を与える．

学習済み深層ニューラルネットワーク（DNN）は学習時に大量のデータや計算資源を要するため，価値の高い知的財産である．また，学習済みモデルは誤動作の誘発やプライバシー侵害などの攻撃に悪用される可能性があり，モデルパラメータの秘匿が重要である．特にエッジデバイスではローカル環境で推論が行われるため，攻撃者による物理的アクセスを考慮する必要がある．特にパラメータが暗号化されていても推論時には復号が必要であり，演算器に対するサイドチャネル攻撃は脅威である．我々は以前，Wavefront array や Tensor processing unit (TPU) などの行列演算器に対して消費電力からモデルパラメータが窃取可能であることを示した．また緩和策としてレジスタ遷移を不規則化する算術マスキング手法を提案し，Wavefront arrayに対して評価を行った．本稿ではこの手法をTPUに適用し，Wavefront arrayに適用した場合との比較や実装コストを評価する．シミュレーションおよびFPGA実装TPUに対して相関電力解析を行いTPUでも対策の有効性を確認した．

本稿では，ストリーム暗号Triviumのアンロールド実装に対するサイドチャネル攻撃（SCA）について述べる． 近年，2024年にアンロールドラウンド関数の再帰制限線形分解 (RRLD)に基づくSCAが報告され，288ラウンドアンロールド実装まで現実的に攻撃可能なことが示されている． 一方，より多くのラウンドをアンロールした場合はより攻撃が困難になることが確認されており，よりアンロールした実装へのSCAの適用可能性は未検討だった． 本稿では，より多くのラウンドを展開したアンロールド実装に適用可能な攻撃手法を提案する． 提案手法の基本アイデアは，RRLDおける線形化に依存せずに直接ビット値を推定することである． 本稿では，384ラウンドアンロールド実装に提案攻撃を適用し，約900,000個のサイドチャネル波形計測と現実的な計算コストで全80ビットの鍵回復が可能なことを示す．

耐量子暗号ML-KEMに対する選択暗号文型サイドチャネル攻撃（SCA-CCA）への低コストな対策を提案する．従来のマスキングによる対策は高コストまたは脆弱性が指摘されており，実装効率と安全性の両立が課題であった．本研究では復号処理にランダムネスを導入する新たなSCA対策を提案し、Plaintext Checking オラクル型およびDecryption Failureオラクル型SCAに対する効果を評価する。

本稿では，サイドチャネル攻撃 (SCA) 対策手法であるマスキングの形式的安全性証明について述べる．これまで，雑音漏えい (NL) モデルから乱択プロービング (RP) モデルを通したしきい値プロービングモデル (TP) への帰着に基づく証明と，SCAの通信路モデル化を利用する証明が知られていた．本稿の証明は，この二つの証明の関係性を明らかにする．まず，SCAを表す通信路モデルと二つの安全性モデル（緩和雑音漏えい (RNL) モデルと漏えいエネルギー (LE) モデル）を新たに導入する．これらを用いて，損失が大きいRP帰着を用いずに，従来の帰着ベース証明よりも強力な攻撃成功確率上界を示すとともに，マスキングが漸近的安全性を達成するための必要十分条件を示す．この証明から，算術マスキングの安全性がブーリアンマスキングよりも高いことを確認し，実際に攻撃シミュレーションによりそれを検証する．その応用として，既存のブロック暗号を用いてd次算術マスキング相当の実装安全性を，潜在的に（マスキングを明に適用することなく），O(d)の実装コストで達成可能な共通鍵プリミティブの設計を示す．

スクリーミングチャネルとは，暗号処理で生じた電磁漏洩が無線回路に混入し無線電波として放射されることで，遠距離からも観測可能となる漏洩である．しかし従来の漏洩電磁波と比べノイズの影響が大きいため，多くの先行研究ではトレースの平均化が用いられている．一方で，平均化回数を増やすとノイズは低減するが，平均化後に利用可能なトレース数が減少するため，暗号化回数を最小化するためには平均化によるノイズ低減効果と，平均化によって失われるトレース数の影響の関係を評価する必要がある．本研究ではまず，Flashメモリアクセスを対象に平均化回数が相関係数に与える影響を調査した．さらに，耐量子暗号Kyberを対象として平均化回数が鍵復元効率に与える影響を解析した．その結果，正解鍵の相関係数が最大となる条件が必ずしも鍵復元効率に最適ではないことを明らかにした．

本稿は，国際会議 (USENIX Security 2025) で発表済みの研究成果に基づく．電子機器に対して音響盗聴を可能にする新しい電磁サイドチャネル攻撃を提案する．この手法は、特に近年のデジタル MEMSマイクロフォンを標的とするものである．これらのマイクは，パルス密度変調(PDM)により，取得したアナログ音声信号を, ディジタル信号のパルス密度にエンコードして伝送する．主たる発見は以下の通りである: PDMによるディジタルパルスの各高調波には音響情報が保持されており, 一般的な無線機のFM復調によって容易に復元できる．攻撃者はこの現象を悪用し, マルウェアのインストールやデバイスの改ざんを行うことなく, 被害者のマイクロフォンが聞いている音を遠隔から盗聴できる．ラップトップやスマートスピーカーなどの複数の電子機器を用いた実環境での評価により，この脆弱性の脅威を実証する．また、銅テープで作成した小型・即席のアンテナでも，同様の精度が得られることを示す．最後に，スペクトル拡散クロック基づく新たなハードウェア対策法を提案する．

Hiding countermeasures impede side-channel analysis by randomizing the timing of operations in cryptographic implementations. Rather than removing secret-trace correlation directly, they increase inter-trace desynchronization, forcing an attacker to collect more traces. A recent hiding scheme combining Runtime Code Polymorphism and Loop Shuffling is effective, but requires runtime write permission to the code segment, which may conflict with typical OS protection policies. We therefore propose a practical hiding scheme combining Static Code Polymorphism and LS that does not require runtime write access to executable code segments and provide a cipher-agnostic application methodology evaluated on AES. We also theoretically derive the maximum of the secret-operation timing distribution under SCP and use it to guide the design. Welch’s t-test leakage detection shows the maximum |t|-value drops from 211.57(unprotected) to 5.01(protected), and Correlation Power Analysis with 500,000 traces shows no convergence toward successful key recovery.

Hardware Trojans (HTs) are malicious modifications to integrated circuits that can be introduced during the supply chain, leading to information leakage or functional failures. Side-channel analysis (SCA) has been widely explored for HT detection, but most existing neural approaches rely on supervised learning or a trusted reference chip (a.k.a. golden chip) and are thus fragile to zero-day Trojans. To overcome this limitation, we propose a golden chip-free HT detection framework that couples statistical data augmentation with a Deep SVDD-based one-class classifier using simple statistical features. The augmentation pipeline integrates signal averaging and Gaussian perturbation to suppress noise and reconstruct a stable density representation of normal traces. In addition, we design a dual-stream representation: a CNN branch captures local morphological patterns, while a statistical branch summarizes each trace via extrema and low-order moments; the concatenated representation is then fed into Deep SVDD to learn a compact normality boundary. Experiments on the AES-T500, AES-T600, AES-T700, and AES-T800 benchmarks achieve 100% detection accuracy, demonstrating robustness to zero-day Trojans without requiring any golden chip.

This paper shows card-based secure $n$-input AND and XOR computations when private operations are used. When private operations are used, two-input AND and XOR can be calculated without helping cards. Thus, we can obtain $n$-input AND and XOR protocols without helping cards. This paper discusses reducing the number of rounds for the computations. As for $n$-input AND, private operations of three sequential computations can be executed in one round. Thus, the number of rounds becomes $n+1$. Then, this paper introduces using unused cards during execution to further reduce the number of rounds. Next, parallel execution is introduced to reduce the number of rounds. Lastly, we show an efficient $n$-input XOR protocol using parallel computation.

近年，カードベース暗号の分野では，追加カード数を2枚に固定したn入力ANDプロトコルにおいて，シャッフル回数の削減が進展している．この問題における自明な上界として，Mizuki-SoneのANDプロトコルにより直ちにシャッフル回数n-1回が得られる．CANS 2023ではYoshidaらがBatching技術を用いてシャッフル回数を削減し，SCIS 2024では石崎と品川が一般化パイルスクランブルシャッフルやブランチングの導入によりさらに削減した．続いて著者らは夏のLAシンポジウム 2025において，小泉らのコミットメント半減ANDプロトコルを用いて一層の削減を実現した．本研究では，Batching技術に基づく葛馬らのシャッフル2回のANDプロトコルに着目し，小泉らのコミットメント半減ANDプロトコルと組み合わせたn入力ANDプロトコルを設計し，当該条件下でのシャッフル回数を解析することで，実際にさらなる削減が可能であることを示す．

カードベース暗号プロトコルでは，赤と黒の2種類のカードが使われることが多いが，NiemiとRenvallによって1999年にトランプカードを用いたプロトコルが初めて考案されて以来，いくつかの秘密計算プロトコルが提案されている．2022年にHagaらは，トランプカード6枚を用いた3入力論理関数を秘密計算するプロトコルを提案している．しかしながら，すべての3入力論理関数を網羅しておらず，すべての3入力論理関数への対応は未解決問題として残されていた．本稿では，プロトコルが未構築となっている各3入力論理関数に対してトランプカード6枚を用いたプロトコルを構成し，この未解決問題を解決する．

本稿では，二次元に配置されたカード（m行n列）に対するシャッフルを考える．自然に考えられるシャッフルとして，(i)水平方向のランダムシフト，(ii)垂直方向のランダムシフト，(iii)水平方向のランダム反転，(iv)垂直方向のランダム反転の4つを基本として，これらの組み合わせで得られる15個のシャッフルを考える．これら15個のシャッフルそれぞれついて（既知のものを除き），本稿ではパイルスクランブルシャッフルのみで実現する変換プロトコルを設計する．その性能はパイルスクランブルシャッフル2回または3回である．さらに，m=nのとき，(v)ランダム回転を基本シャッフルに加え，(i)-(v)を組み合わせたシャッフルを実現する変換プロトコルも与える．本手法を用いることで，カードベースのゼロ知識証明プロトコルの設計の幅が広がることを期待している．

符号ベース暗号は，耐量子計算機暗号の1つと考えられている．シンドローム復号問題（SDP）とは，多くの符号ベース暗号方式の安全性の根拠と考えられている問題である．Information Set Decoding アルゴリズムは，SDP に対して現状最善のアルゴリズムであり，Prangeによって提案された．Prange のアルゴリズムでは，サブルーチンとして，Gaussの消去法が用いられる．Chevignard らは，線型連立方程式の求解について，Wiedemann のアルゴリズムを用いる量子版の Prange のアルゴリズムを提案した．本稿では，まず，Chevignard らのアルゴリズムの古典版によって，実際のインスタンスによる SDP を求解できるかを検証する．続いて，Kyrlov 部分空間法に属する幾つかのアルゴリズムを検討し，Chevignard らより高確率で SDP を求解する Prange のアルゴリズムの改良版を選定する．さらに，改良アルゴリズムの量子版を提案し，量子回路上の回路計算コストを算出し，Chevignard らの結果と比較する．

NIST PQC追加署名公募の第一ラウンド候補であるWaveは，F3上の高ハミング重みシンドローム復号（Large-weight Syndrome Decoding over F3: LW3SD）問題を安全性の根拠とする電子署名方式である．Waveのパラメータセットは，Bricoutら(SAC ’19)が提案したLW3SD問題に対するInformation Set Decoding (ISD)アルゴリズムの漸近計算量に基づいて設計されている．本稿では，(i)BricoutらのISDアルゴリズムに対して，1995年にSternが提案したZero-windowの技術を適用することでアルゴリズムを拡張し，その具体的な計算量の解析を与える．(ii)その拡張アルゴリズムを実装し，最大7台のデスクトップPCを用いた解読実験により，符号暗号解読コンテストDecoding Challengeで未解読であった符号長210から240のLW3SD問題の解読に成功したことを報告する．

与えられた二つの線形符号が同値かどうかを判定する問題である符号同値問題（CEP）は，計算量的に困難な問題と考えられている．この問題の困難性を基礎に置くことで，線形符号に基づく群作用ベースの暗号方式を設計できる．LESS方式はその一つの例である．CEPの一種である置換同値問題（PEP）では線形符号のHullが重要な役割を果たす．Hullが自明な符号（LCD符号）に対するPEPはグラフ同型問題に帰着されるため，PEPに基づく暗号ではHullが非自明な線形符号を用いる．この場合の解法として，Support Splitting Algorithm（SSA）がある．$q$元体上の線形符号に対し，Hull次元を$h$とすると，SSAの計算量は$q^h$に比例する項が支配的となる．本研究では，双線形形式を用いてHull次元を削減することで，SSAの計算量における支配項を$q^{h-1}$に比例する項へ削減する手法を提案する．具体的には，置換不変性を保つ双線形形式は構造行列の取りうる形を特定することにより，最適な双線形形式を選択することで次元を高々$1$削減できることを示す．

近年、符号のシンドローム復号問題に基づく耐量子計算機暗号が提案されており、特に準巡回符号を用いたHQCと呼ばれる暗号化方式などが考えられている。シンドローム復号問題の安全性証明に関連して、格子暗号で用いられる平滑化パラメータの概念を符号へと一般化し、その値を解析する研究がおこなわれている。符号における平滑化パラメータは、確率分布fと符号のコセット上での一様分布との関数空間上の距離に対して定義されるもので、Debris-Alazardらによって、その距離の上界を与える不等式が得られた。本稿では、平滑化パラメータに深く関連する距離について、グラフ上のランダムウォークを用いた不等式について紹介する。特に、HQCの安全性において帰着される問題の一つである組織的準巡回符号の平滑化パラメータに対する評価について考察する。

This paper investigates the vulnerability of NIST post-quantum standards, ML-KEM (Kyber) and ML-DSA (Dilithium), to partial key exposure attacks. The goal of partial key exposure attacks is full key recovery utilizing leaked information on secret keys. We analyze security under the erasure model, where a fraction of the secret key bits are unknown. A critical factor in our analysis is the key storage format, where we distinguish between the normal domain and the Number Theoretic Transform (NTT) domain. We construct lattice problems by integrating the leaked information into the original LWE instance then use the structure of the LWE estimator to quantify the concrete hardness of the resulting lattice problems. Our results demonstrate that when half of the NTT coefficients are leaked, the bit-security of ML-KEM-512 drops from 148 to 77, and ML-DSA-44 drops from 154 to 76.

トレーサビリティシステムや電子投票などプライバシ保護と非転送性が求められる領域において, 指定された検証者のみが署名の正当性を確認でき, 第三者による証明や転送を防ぐ検証者指定署名が重要視されている. 既存方式の多くはRSAや楕円曲線暗号に依存し, 量子計算機の実用化により安全性が揺らぐ課題を抱えている. 本稿では, NISTにより耐量子電子署名として標準化されたML-DSAを基に, 鍵共有のためのML-KEMおよびtrusted setupを不要とし, 公開乱数のみで安全性を確保できるゼロ知識証明Auroraを統合し, 耐量子検証者指定署名の構成法を提案する. 本提案方式では, 署名の検証を特定の検証者に限定する仕組みを導入した. さらに, 署名を入手した第三者が単独で正当性を確かめることができず, 第三者に対して正当性を示せないレシートフリー性を達成する. また, 必要時にはAuroraで監査機関や裁判所など限定的な第三者へのみ正当性を証明できる構成とした.

耐量子暗号アルゴリズムのML-KEM/ML-DSAのソフトウェア実装では最適化の研究が行われている。最適化の方法としては、ML-KEM/ML-DSAの性能ボトルネックになる構成要素に着目して、数論変換(NTT)やNTT逆変換、多項式係数への剰余乗算といった要素ごとの計算手法の最適化が研究されている。また、実行するCPUやGPUの命令セットに合わせた最適化の研究が行われている。AVX2命令やAVX-512命令といったSIMD命令を用いた暗号ソフトウェア実装の最適化もそのひとつであり、ML-KEM/ML-DSAにそれらSIMD命令を使用したOSSも公開されている。本稿では、従来から知られている最適化手法をもとにAVX-512命令を用いたソフトウェア実装方法の検討や実装性能を報告する。特にML-KEM/ML-DSAの棄却サンプリングの処理にAVX-512VBMI2命令のパックド圧縮命令を用いることで性能向上が図れた。

本研究では、ACNS 2019で提案された単一のRing-LWEサンプルを用いるDingの鍵交換方式に基づき、Module-LWEベースの暗号方式を提案する。まず、当該鍵共有方式をModule-LWEに基づく公開鍵暗号方式へと変換し、そのIND-CPA安全性を証明する。さらに、得られた公開鍵暗号にFujisaki–Okamoto変換を適用することで、IND-CCA2安全なKEMを構成する。また、格子攻撃に対する安全性評価を行い、復号失敗率とのトレードオフを考慮した上で、NISTの安全性基準に則りLevel 1相当の安全性を満たす具体的なパラメータ候補を選定し、本方式の有用性を示す。提案方式は、Module化により計算量的安全性および証明可能安全性が向上しつつ、柔軟なパラメータ設定も可能となる。

リング署名は，複数人が参加可能な署名で，複数の参加者の誰かが署名したことだけが検証できる一方，誰が署名したか特定できない匿名性をもつ高機能署名の一つである．リング署名の実現方式の一つとして，NTRU格子上のGandalf方式がある．その方式では，NTRU格子における秘密鍵を用いてサンプリングした署名を，ランダムにサンプリングしたダミーの署名でマスキングすることで，匿名性を確保する．本稿では，いくつかのNTRU格子上のサンプリングアルゴリズムをGandalf方式に組み込んで，匿名性に関する比較実験を行う．具体的には，秘密鍵を用いてサンプリングした署名と，ダミー用にランダムにサンプリングした署名が，同じ分布に従っているかが匿名性の確保において重要であるため，その実験結果を報告する．

本稿では，耐量子計算機暗号，中でも格子暗号の一つである NTRU の hrss1373 パラメータに対する多項式乗算の高速化を検討する．具体的には，多項式環 Z_q[x]/(x^n - 1))，(q = 2^{14}, n = 1373) における高速な多項式乗算方法を提案する．この多項式環は，(q) が (2^{14}) と他のパラメータよりも大きいため，16 ビットの型（uint16）を用いた実装では，Toom-Cook4 やその改良である Toeplitz Matrix-Vector Productを用いた高速化手法（TMVP4）を適用することができず，高速化が困難である．そこで，TMVP-2，TMVP-3 および TMVP-5 に着目し，高速化を図る．その結果，OSS の PQC ライブラリである liboqs と比較して，多項式乗算では約 4.1倍，暗号化(Enc)では約1.5倍，復号化(Dec)では約1.38倍の高速化を達成した．

This work presents a rank-3 generalization of ANTRAG, extending its trapdoor generation method beyond the original rank-2 setting. Higher-rank variants of ANTRAG offer additional design choices, allowing constructions to select the rank that best fits their requirements and potentially improving the flexibility and scalability of NTRU-type schemes. With the long-term goal of enabling trapdoor generation in arbitrary rank-n, this work provides a first concrete step through a practical rank-3 realization.To support this extension, we construct a rank-3 NTRU lattice following the structural principles used in ModFalcon, which offers a clean algebraic setting for expressing trapdoor quality through Gram–Schmidt constraints. Building on this formulation, we design a trapdoor generation algorithm for the rank-3 case. As part of our work, we also give a brief analysis of the algorithm's success probability and discuss its security aspects within the rank-3 setting.

The paper introduces SOLMAE, a faster and simpler quantum-safe signature scheme thatfollows the traditional hash-and-sign paradigm of Gentry–Peikert–Vaikuntanathan and is instantiatedover ntru lattices. As a natural successor to earlier designs—including DLP, Falcon, and Mitaka—thescheme unifies the strengths of these approaches. In particular, SOLMAE positions itself as offeringthe “best of three worlds” among Falcon, Mitaka, and ANTRAG, continuing the evolution ofefficient lattice-based signatures over structured lattices. SOLMAE leverages the simplicity, speed, andparallelizability of Mitaka while matching the high security and compact key and signature sizes ofFalcon. This is achieved through a novel, much faster key-generation algorithm that enhances securityand removes the rigidity present in Falcon. At the same time, it retains full parameter flexibility anda fast signing procedure. The design is further compatible with recent ellipsoidal Gaussian samplingtechniques, enabling even smaller signatures. Altogether, SOLMAE sets a new state-of-the-art pointfor lattice-based signature efficiency, with remaining implementation considerations deferred to theconclusion.

本研究は、DNA 配列のような高秘匿性データを開示することなく、二つの配列間の編集距離を安全かつ効率的に計算する手法を提案するものである。加法秘密分散法に基づき配列を複数のシェアへ分散し、2-party 上で計算を行う枠組みを採用した。さらに、Four Russians Algorithm（FRA）が事前計算テーブルのルックアップによって DP 行列を高速化する点に着目し、このテーブル参照を Distributed Point Function（DPF）を用いて効率化することで、秘密分散下で問題となる通信ラウンド数を削減し、実用的な性能を達成している。これにより、大規模な配列に対してもプライバシーを保持しつつ高速に編集距離を求めることが可能となる。また、FRA のパラメータや通信環境を変化させた実験により、遅延時間によって最適パラメータが変わること、通信遅延が実行時間を支配すること、通信ラウンド数の削減が遅延の大きい環境下で特に有効であることを示した。以上より、提案手法の有効性と実用的な展開可能性が確認された。

クラウドを利用するサービスが増加の一途をたどる現在，クラウドの管理者に対する情報漏洩対策は重要な課題である．秘匿計算技術の一種であるMulti-Party Computation(MPC) はその対策の一つとして有用性が増加し，研究開発も盛んである．MPCの安全性を考える上でMaliciousな攻撃者への対策は不可避な問題である．対策としてMaliciousなサーバを特定する機能を持つ方式と改ざん検知機能のみを持つ方式が存在する．後者の方式は効率的な方式が存在する．前者の方式は後者と比較して効率的ではない．そこで本稿では実用化に近づけることを目的として検知機能を持つ方式で最も効率的なFurukawaらの方式に追加可能であり効率性を損なわない改ざんサーバ特定方式を提案する．具体的には検証用サーバを1台使用した改ざんサーバ特定機能を追加することで効率的でMaliciousなサーバに対して特定機能を有する方式を提案する．さらに，Furukawa方式に追加した際の処理時間の影響について評価し，効率性を保っていることを確認した．

Oblivious Transfer (OT) extension is a central tool for efficient two‑party computation: a small batch of “base” OTs is expanded into many OTs using only inexpensive symmetric primitives. Existing protocols such as IKNP and its numerous variants achieve this in the Minicrypt model but are typically analyzed in a single, monolithic execution, while more recent protocols, such as Silent and Ferret OT extension protocols target the public‑key setting and pseudorandom correlation generators with stronger setup assumptions. This work instead takes a functionality‑centric view of OT extension: we define an ideal functionality for iterative OT extension that supports many on‑demand OT batches from a single base‑OT phase, together with a security notion that makes cross‑round adaptivity explicit. The abstraction is independent of any particular protocol or correlation structure and is intended as a common target for both Minicrypt‑based OT extensions and other approaches.

Authenticated garbling is a major approach for realizing actively secure two-party computation using garbled circuits. Building on the recent work of Cui et al. (JoC'25), authenticated half-gates garbling achieves a total communication of 2κ+ρ+5 bits per AND gate (for computational and statistical security parameters κ and ρ), representing the current state of the art in communication efficiency. However, we show that this communication optimality comes with substantial computational and memory costs. We give a detailed time and space complexity analysis and show that, for circuits with n AND gates, the preprocessing phase requires Ω(n²log n) time and Ω(n²) space, while the online phase requires Ω(n²) time and space. We also provide the first complete implementation of this scheme and benchmark it on representative circuits. Our experiments demonstrate that the resulting overhead severely limits the practicality of this protocol even for moderately-sized circuits, highlighting a fundamental trade-off between communication efficiency and computational scalability within authenticated half-gates garbling.

情報技術の進展により組込み機器を含む膨大なデバイスの活用が拡大される一方で，個人情報や機密情報の漏洩リスクが高まっている．その解決策の一つとして注目されている，Multi Party Computation (MPC)ではそれぞれの参加者が入力した情報を秘匿したまま計算することが可能となる．一部のMPCでは，相関乱数と呼ばれる特定の関係を満たすような乱数の組を消費しながら処理が行われる．この相関乱数の生成に要する通信や計算量の削減を目的として，擬似ランダム相関生成器(PCG)が研究されているが，組込み機器を想定した環境ではPCGを用いても実行時間が長くなってしまう．本研究では，CRYPTO2022でBoyleらによって発表されたPCGプロトコルを対象として，組込み機器に適用可能な規模のハードウェアアクセラレータを実装し，組込み機器でのMPCによる安全な暗号機能の実用可能な時間での実行を目標とする．本稿では，SCIS 2025にて発表した実行時間の長い機能を代替するハードウェアの動作において，ボトルネックとなっていたプロセッサとハードウェア間での通信回数を削減し，さらなる高速化を目指す．

Oblivious access (OA) allows retrieving an element from a secret-shared database without revealing the queried index and serves as a core primitive for many privacy-preserving applications. Although recent OA protocols based on distributed point functions reduce communication overhead, they still incur linear local computation. Early termination (ET) mitigates this cost, but existing ET-based approaches output Boolean shares that require costly conversion for arithmetic use, limiting scalability on large databases. To address this issue, we present ring-based oblivious access (RingOA), the first three-party OA protocol that supports ET while directly producing arithmetic shares. This design removes conversion overhead and preserves the computational benefits of ET. RingOA achieves a 10.0–11.5× runtime improvement over a state-of-the-art OA protocol on billion-entry databases. Building on RingOA, we develop an oblivious rank query and apply it to two practical tasks: fully oblivious full-text search over secret-shared string datasets and fully oblivious range search over numerical data. Experiments on large-scale genomic datasets demonstrate that these applications achieve practical performance, highlighting the efficiency and broad utility of our approach.

アリスとボブによる秘密計算では，アリスがボブの入力について何も知ることができないこと（アリスに対する秘匿性）と，その逆（ボブに対する秘匿性）が保証される．ここでさらに，アリスとボブ間の通信を盗聴し彼らの入力値の情報を得ようとする外部の第三者（イブとする）の存在を仮定する．アリスとボブに対する秘匿性は，イブに対する秘匿性(イブがアリスとボブの入力値の情報を一切得られないことを意味する)を一般には意味しない．本研究では，Semi-honestモデル下において，アリスとボブに対する秘匿性がイブに対する秘匿性を意味する関数の完全な分類を提供する．なお，この分類は参加者数について一般化できる．本研究の結果はプロトコルの構成に依存しないため，その分類に該当する関数を実現する任意のプロトコルについて，その安全性の議論では盗聴者イブの存在を完全に無視できることを意味する．

暗号化されたデータベースを扱う秘匿データベース処理においては，クエリ処理の効率化に加え，動的なデータ更新への対応が課題である．しかし，既存方式の多くはデータベースの更新のたびに索引を再構築する必要があり，これが大きなオーバーヘッドの要因となっていた．本稿では，この課題を解決するために，動的更新を効率的にサポートする秘匿データベース処理プロトコルを提案する．提案方式は，秘密分散法に基づくマルチパーティ計算（MPC）を用いることで，Join や Group-By を含む多様なクエリを定数ラウンドの通信で安全に実行できる．

ガウス過程回帰は、機械学習の一手法であり、予測に対する確実性を出力することができる予測器として知られている。また、準同型暗号は値を暗号化したまま演算を行うことができる暗号手法であり、データを秘匿したままの利活用に向けて注目されている。ガウス過程回帰および準同型暗号は有効な手法であり、組み合わせて利用することでさらなる活用が見込めるものの、ともに処理時間および計算量が大きいことがこれまでの課題として挙げられている。本項においては、平文上でのガウス過程回帰に関する計算量削減の手法である補助変数法と呼ばれる手法を、準同型暗号上でのガウス過程回帰アルゴリズムに関して適用した。本項では、アルゴリズムが理論上適用可能であることを示し、さらにアルゴリズムを実装して処理時間を測定することで、平文に対する補助変数法が準同型暗号上でも高速化手法として適用可能であることを示した。準同型暗号上のガウス過程回帰に対する出力の精度、メモリ使用量などの検討は、今後の課題とする。

個人情報を含むデータを暗号化したままゲート処理や数値演算を任意回数実行できる完全準同型暗号(FHE)が個人情報保護の観点で注目されている．中でもTFHE(FHE over the Torus)は暗号文をトーラス上で表現し，格子暗号の繰り返し演算で蓄積されるノイズを除去するブートストラップを高速に実行できるため，ブール演算や比較・条件分岐等を効率良く計算できることが特徴である．本稿ではTFHE暗号文を用いて，差分プライバシーのための，一様乱数を入力値としたいくつかのノイズサンプリング手法の実装・評価の結果に言及する．対象としたノイズの確率分布は離散ラプラス分布，ガウス分布，ガンベル分布の3種類で，いずれの場合においても累積確率分布(CDF)を参照してノイズ出力を得る閾値比較法が実装が最も単純で参照ベクトルのサイズが膨大でなければ高速であることを示した．一方でCDFの逆関数やその他の関数変換を用いてノイズ出力を計算する方法は，非線形の演算を含み，これを線形近似した場合の精度と実行時間も示した．

グループ分割は，教育や業務など多様な場面で要求される基本的課題である．個々の参加者の他の参加者に対する選好情報は，満足度の高い分割の決定に有用であると同時に公開されたくないプライバシ情報でもある．そのため，参加者の選好情報を開示せずに利用し，適切な分割を与える手法が求められる．グループ分割問題に関する研究は，効率的なアルゴリズム設計や計算困難性の分析など多く存在する．一方，秘密計算やプライバシ保護の研究も進展している．しかし，この両者を統合した，選好情報を秘匿したままグループ分割を決定する，という課題についてはこれまで十分に検討されていない．本研究では，秘密計算を利用して各参加者から受け取った選好情報を秘匿しながらパレート最適が保証されるグループ分割を求める手法を提案し，評価を行う．秘密計算を用いるため，この実装においては秘匿情報を参照できず条件分岐の利用が制限されることが課題となる．実装は，三者間複製秘密分散を実装したライブラリであるMP-SPDZを用いて行い，通信時間，通信量，実行時間の三点を評価する．

完全準同型暗号は復号を行うことなく, 暗号文に対して演算を実行することができる暗号技術である. この特長から機密性の高いデータ分析やAIなどでの利用が期待されている. 完全準同型暗号を用いて暗号化状態で演算を行う場合, 演算過程のすべてを暗号化することが必要となる. 暗号化により安全性が高まる一方で, 計算量は平文の場合と比べて増加することが知られている. この計算量増加はニューラルネットワークなどの計算量が多いモデルでは特に問題となる.本研究では入力となる特徴量について, 計算者に対して秘匿が必要な特徴量と秘匿の必要がない特徴量に分割し, それぞれを演算する部分を分けたモデルを構成する. 秘匿の必要がない特徴量については平文で演算を実施することで, ニューラルネットワーク全体の評価に必要な準同型暗号を用いる計算量を削減する. 通常のニューラルネットワークとの計算量および精度の比較の解析を行い, 分割を用いたモデルの有効性を検証する.

暗号プロトコルに代表される，通信手順の厳密な整合性が求められるシステムにおいては，デッドロックや順序違反などの並行バグが重大な問題となる．並行バグは，設計上の非決定性やエンドポイント間通信の独立な実装に起因して発生しやすく，テストや静的解析のみでの完全な検出は困難である．このような課題に対しては，通信の整合性や安全性を形式的に保証する手法が有効である．その一つであるコレオグラフィックプログラミング（CP）は，システム全体の通信仕様を記述し，そこから各エンドポイントの実装を自動生成することで，設計・実装両面における安全性を保証する技術である．しかし，CPの記述や理論的背景は学習コストが高く，実際の開発現場に導入するには障壁がある．本論文では，通信システム開発プロセスにおいて並行バグを未然に防ぐ開発支援技術の実現に向けて，開発者がMermaid風テキスト記法を用いて通信仕様を直感的に記述すると，CPに基づく保証付き実装の雛形を自動生成できるDSL，MermaidCPを提案する．設計方針，構文および保証メカニズムを示し，いくつかのケーススタディを通して提案手法の実装可能性や有効性を確認する．

近年，プロトコルプライバシの自動検証に関する需要が高まっている．しかし，既存の自動検証手法はトレース等価性に基づくアプローチを用いているため，検証できるプロトコルの構造や検証にかかるコストの面で課題があった．本研究では，それらの課題を解決するために既存のプライバシの定義を同値の条件で特徴付けし，到達可能性として表現できることを示す．我々のアプローチは形式検証ツールProVerifにおける機密性や認証と同様の形式でプライバシ要件を検証することができるため，検証できるプロトコルの構造に制限がなく，かつ低コストな検証が可能になる．さらに，ケーススタディとして6つのプロトコルを検証し，先行研究と同じ検証結果が得られること，検証に要する計算コストが削減されることを確認した．

This research presents the first comprehensive formal verification of OAuth 2.0 Proof Key for Code Exchange (PKCE) protocol using the ProVerif framework. We developed novel replay attack detection mechanisms specifically for OAuth 2.0 protocols—representing the systematic implementation of replay attack checking in formal verification of web authentication protocols. The verification model implements 16 comprehensive security queries and employs a realistic threat model where authorization codes can be intercepted by attackers, reflecting actual OAuth 2.0 deployment conditions rather than idealized assumptions. All 16 queries were verified successfully, providing automatic verification that PKCE prevents unauthorized token acquisition even with intercepted authorization codes through single-use enforcement and replay detection. This research contributes reusable formal verification patterns for replay attack detection applicable to web authorization protocols, advancing theoretical security evaluation methodology in the web security domain.

Fast Identity Online (FIDO) とは, FIDO Aliance によって提唱された公開鍵認証をベースとした認証法である. この FIDO に加え, クラウドサービスプロバイダ (CSP) を活用し, 秘密鍵を複数端末間で同期させる同期パスキーが実利用されている. さらに, 著者らは $(k,n)$ しきい値リング署名をベースに, CSP を活用しつつも秘密鍵を端末外へ持ちださない方式として「分散 FIDO 認証」を提案した. しかし, 秘密鍵を端末外へ持ち出ないがゆえ, 複数の FIDO サーバに対して複数の新規端末を登録する際には, FIDO サーバごとに端末1台ずつ個別に登録する必要があるという課題が残されていた. そこで本研究では, この課題の解決に向け, 分散 FIDO 認証を改良する. また, ProVerifを用いて改良プロトコルの安全性を評価する.

iPhoneのマイナンバーカードでは，マイナンバーカードが有する機能のうち，属性証明機能（氏名，住所，生年月日，性別，マイナンバー，顔写真の証明）が搭載された．本機能は，マイナンバーを含む個人情報を扱うカード代替電磁的記録を利用するものであり，その発行通信が海外のウォレット事業者サーバを経由する可能性があることから，極めて高い安全性が要求される．しかしながら，著者らの調査の範囲において，カード代替電磁的記録の発行に関する暗号プロトコルの詳細な仕様，ならびに第三者による安全性評価の結果は公開されていない．本研究では，まず公開されている法令，命令，および技術的基準等に基づき，当該暗号プロトコルの構成を可能な限り明らかにする．その上で，提定されたプロトコルに対して安全性評価を実施する．具体的には，悪意のあるウォレット事業者サーバを想定した攻撃者モデルを定義し，機密性，完全性，および真正性の三つの安全性要件について，暗号学的観点から解析を行う．その結果，E2EEが適用されない場合には機密性が損なわれる一方，E2EEを適用した場合には，機密性，完全性，および真正性が保証されることを示す．

石井ら（ICSS研究会 2025）は、ブラインド署名を用いて証明書発行機関に対して属性情報を秘匿した状態で証明書を発行し、ハッシュ木を用いて証明書利用時に検証者に対して属性値の選択的開示を可能にする属性証明書発行・利用シーケンスを提案した。我々はCSS2025にて、このうちブラインド署名を用いた発行部分のみを対象とした形式検証を行い、証明書発行機関に対する属性情報の秘匿性および発行に関与するエンティティ間のなりすまし攻撃耐性を示した。しかし、ハッシュ木を用いた属性証明書発行・利用時における安全性については検証していなかった。本稿では、暗号プロトコル自動検証ツールProVerifを用い、ハッシュ木を用いた属性証明書の発行から利用に至る一連のシーケンスの形式検証を行う。安全性要件として、エンティティ間のなりすまし攻撃耐性や証明書発行機関に対する属性情報の秘匿性に加えて、属性証明書利用時における検証者に対して未開示の属性情報の秘匿性と認証情報の偽造不可能性を検証する。検証の結果、石井らの方式は上記の安全性要件を全て満たすことを示す。

近年，株式や債券，不動産といった現実世界の資産の所有権や権利をトークン化したセキュリティトークン方式が注目を集めている．本研究では，通貨をユースケースとした場合について取り扱う．通貨を扱う際，ユーザ端末の盗難・紛失時に秘密鍵が失われるという運用上のリスクが存在する．これに対し、秘密鍵を複数のパーティで分散管理する閾値署名技術は、単一障害点を排除し端末依存の脆弱性を緩和する手法として有望視されている。本研究では，閾値署名を組み込んだセキュリティトークン方式を対象とし，その形式検証に関する初期考察を行う．特に，閾値署名をセキュリティトークン方式へ適用した際に新たに考慮すべき安全性要件と攻撃者モデルを体系的に整理する．さらに，通貨の発行／引出／支払という各プロトコルフェーズを統合したプロトコルから着手し，まずは支払フェーズにおける閾値署名の抽象化表現を含めて ProVerif による初期検証を実施した．その結果，秘密鍵の秘匿性などの基本的性質の確認とともに，今後の形式化に向けた課題を明らかにした．

組み込み機器においても暗号技術の利用は進んでいるが，これらの機器はインターネットに常時接続されているとは限らず，証明書の更新は容易ではない．これに対し，複数の平文に対して一度の署名処理で複数の署名を生成するバッチ署名がIETFで注目されている．しかし，既存方式では平文数によっては余分な処理が発生することに加えて，検証自体は署名毎に行う必要がある．本研究ではこれらの課題を解決する新たな要素技術として，バッチ署名とバッチ検証両方の性質を併せ持つ完全バッチ署名を提案する．提案手法は，任意の平文数に対して柔軟に署名サイズと処理時間を調整可能な構成となっており，その安全性も証明可能である．さらに，提案手法の実装評価を通じて，署名サイズと処理時間が従来手法と比べて改善されていることを示す．また，提案手法のユースケースとして組み込み機器への導入に適していることを確認する．

本稿では部分体双線形衝突問題の計算量的困難性に基づき安全なリング署名スキームを構成する．その構成はVOLE-in-the-Headの正直検証者ゼロ知識証明プロトコルの構成を経由する．

One of the most promising approaches for constructing post-quantum signature schemes is the MPC-in-the-Head (MPCitH) paradigm, notably evidenced by the fact that six out of fourteen signature schemes in NIST's additional standardization process are based on this paradigm (or its variants). Recent proposals in this area adopt _the half GGM tree_ proposed to reduce the computational cost of GGM tree expansion in both the signing and verification algorithms. As a further optimization, _the correlated GGM tree_ was introduced. Schemes such as MQOM (v.2.0 and v.2.1), Huth and Joux (CRYPTO 2024), Kim, Lee, and Son (EUROCRYPT 2025), and Huth and Joux (ASIACRYPT 2025) have adopted this technique. However, Kosuge and Xagawa (CSS 2025) pointed out a gap in the EUF-CMA security proof for these signature schemes, leaving the problem of closing the gap as an open problem. This paper partially addresses this crucial gap by proving the Random Oracle Model (ROM) security for MPCitH signatures that employ random-oracle-based correlated GGM trees. We leave the task of proving a similar result for MPCitH signatures using ideal-cipher-based correlated GGM trees as an open problem for future research.

本論文では、Katzら（KKW18）によるMPC-in-the-Head (MPCitH) フレームワークに対し、ハイパーキューブ技法を適用した場合の性能評価を行う。ハイパーキューブ技法は、元来Baumら（BN20）の枠組みに基づくMPCitH型対話型プロトコルにおいて、ラウンドごとの健全性（Soundness）を向上させる目的で開発されたものである。そのため、KKW18のような先行プロトコルに適用した場合の効果については未だ明らかにされていない。BN20フレームワークが大きな有限体上の計算問題に適しているのに対し、KKW18フレームワークは3SAT問題のような論理回路で表現される問題に適しているという特性の違いがある。そこで本研究では3SAT問題を対象とし、オリジナルのKKW18フレームワークと、それにハイパーキューブ技法を組み合わせた手法との性能比較を行う。

The "MPC-in-the-Head" (MPCitH) paradigm has been a cornerstone to construct succinct zero knowledge proofs from MPC protocols. A critical optimization within this domain is the Katz-Kolesnikov-Wang (KKW) protocol, which introduces the preprocessing phase with a cut-and-choose optimization. This optimization significantly reduces communication complexity and has been instrumental in the design of the Picnic2 signature scheme. In this paper, we revisit the security proof of KKW cut-and-choose mechanism. For the interactive version, we directly construct a knowledge extractor which has a fixed expected running time linear to the number of preprocessing instances. For the non-interactive version, we show an attack with success probability quadratic to the number of random oracle queries. Finally, we construct a knowledge extractor for the non-interactive version of KKW cut-and-choose mechanism.

The fragmentation of cybersecurity knowledge bases specifically CVE, CWE, CAPEC, and MITRE ATT&CK impedes automated threat analysis, as manual alignment methods fail to keep pace with evolving threats. To address this, we propose an automated framework leveraging Large Language Models (LLMs) to construct a unified knowledge graph. Our approach utilizes a multi stage reasoning pipeline integrated with Cyber Threat Intelligence (CTI) and Retrieval Augmented Generation (RAG) to dynamically align concrete vulnerabilities with abstract adversarial tactics. To mitigate LLM variability in complex taxonomies, we implement an ensemble based evaluation strategy using majority voting. Evaluations on 16,138 CVEs demonstrate robust performance, achieving a recall of 0.901 in CVE to CWE mapping and improving precision to 0.797 and 0.672 in downstream CAPEC and ATT&CK mappings through consensus filtering. This study effectively bridges semantic gaps in isolated databases, offering a scalable and transparent solution for automated threat intelligence processing.

インシデント発生時におけるネットワークの切り離しは，サイバー攻撃の被害拡大を防止するための主要な手段である．しかし，医療現場のように臨床業務の継続が必須となる環境では，ネットワークの切り離しが業務の可用性に与える影響が大きいことが課題である．そこで本研究では，インシデント発生時のネットワークの切り離し戦略が業務へ与える影響を定量的に評価するための手法を提案する．具体的には，業務を細かい業務コンポーネントへ分解し, コンポーネント間で通信が成り立つために必要な条件を整理する．さらに，重要度・緊急度・関与人数に基づき業務に重みを付与することで，ネットワーク切り離し戦略ごとの業務影響度を算出して比較可能とする．小規模ネットワークを想定したシミュレーションベースのケーススタディでは，切り離し戦略が与える影響度に有意な差が生じることを検証する．提案手法は，業務影響をコストとして扱う最適化問題へ拡張可能であり，インシデント発生時における実効性の高い方針策定を支援できる点で有用である．

As RISC-V edge devices become increasingly integrated into IoT services and infrastructures, they have simultaneously emerged as high-value targets for cyberattacks. Unfortunately, traditional Intrusion Detection Systems (IDSs) are not suitable for edge environments because they typically require significant computing resources and centralized processing, which is impractical in edge environments due to latency and privacy concerns. To address these challenges, this paper introduces a novel lightweight and secure IDS architecture tailored for RISC-V edge devices. We propose a genetic algorithm-driven structured pruning method tailored for CNN-based IDS, and apply it to a Trusted Execution Environment-secured IDS architecture tailored for RISC-V edge devices. We implement and evaluate our method on the SiFive HiFive Unmatched RISC-V board. Experimental results show that our pruning method reduces the storage of CNN-based IDS by approximately 80% with minimal accuracy loss, while the TEE-secured IDS inference achieves a latency of only 50 ms.

近年サイバーセキュリティ脅威が増大しており，要件定義段階から市場投入後まで，継続的に脅威分析を行いリスクを評価することが求められている．脅威分析では攻撃経路の特定が不可欠であり，その前提としてシステムを構成するコンポーネントと，それらの接続関係や包含関係といったシステム構成情報を正確に抽出する必要がある．しかし実務において，特に設計初期段階では，これらの情報はデータ化されておらず図面画像にのみ記載されていることが多い．そのため，図面画像から効率的にコンポーネントや構成情報を抽出することが課題であった．従来，図面画像の解析に関する研究は進められてきたが，脅威分析に必要となる構成情報の抽出に特化した手法は確立されていなかった．この課題に対し本研究では，光学式文字認識(OCR)と線分検出手法を組み合わせたシステム構成画像解析アルゴリズムを提案する．本論文ではまず，脅威分析の観点から抽出すべき情報を列挙する．次に，提案手法について述べ，最後にマルチモーダル大規模言語モデル(MLLM)を用いた手法との性能比較実験を行い，提案手法の有効性を検証する．

GitHubなどの公開リポジトリには、脆弱性を検証するPoCが数多く公開されている。この中には、当該脆弱性と無関係なスクリプトや脆弱性を再現しないPoCが含まれているが、このような不再現PoCの混在は、誤った検知ルールの作成につながる。本研究では、これらの問題を解決するため、同一の脆弱性に対して複数のPoCが存在するという事実にもとづき、不再現PoCを検出する手法を提案する。PoCでは、コードの作者が異なっていても、共通する固有のシグネチャが一定程度出現している。我々はこの特徴を利用し、提案手法ではコードの静的解析やPoC間の差分抽出、構造的類似にもとづくクラスタリング手法などを使用した。これにより、不再現PoCの混入を抑制できるだけでなく、CVEに紐づく真正PoCのシグネチャを自動的に推定できるようになった。また、シグネチャとの類似度が著しく低い不再現PoCを、高精度に識別し排除できる。提案手法は真正PoCの固有シグネチャにもとづき検出ルールを生成できるため、その過程を自動化することで、従来必要とされていた人的作業の負担を大幅に軽減できる。

従来の攻撃成功率評価は，専門家の主観的判断に依存しており，評価者間のばらつきや一貫性の欠如が課題となっている．この課題に対し，本研究ではデータドリブンアプローチに注目し，CTF（Capture The Flag）データを活用した攻撃成功率評価手法を提案する．提案手法は，CTF解答者と攻撃者の習熟度分布の類似性に基づき，CTF問題の正解データから攻撃成功率を推定する．picoCTFデータを用いてCWEレベルでの攻撃難易度を推定する手法を開発し，既存のCVSS攻撃複雑度との比較実験を実施した．36個のCWEを対象とした実験において，特定の閾値で88.89％の一致率を達成し，CTFデータと既存基準との間に一定の相関関係が存在することを確認した．この結果は，従来の人依存型評価から客観的な数値データに基づく再現可能な評価を可能とすることを示唆する．

近年、国家間の緊張やサイバー攻撃の増加に伴い、攻撃者視点でのセキュリティテスト（以下、攻撃テスト）の重要性が高まっている。攻撃テストの一環として、ペネトレーションテストを外部に依頼することが一般的に行われている。しかし「ペネトレーションテスト」という用語は定義が曖昧であり、脆弱性診断やレッドチームテストと混同されやすい。そのため、テスト依頼者と実施者との認識のずれにより無駄な攻撃テストが生まれることが課題となっている。本研究では、依頼者と実施者とが攻撃テスト内容を合意するための選択メニューを提案する。具体的には、国内外の攻撃テスト全般に関する文献調査を基に目的・対象・手法などを5W1Hで体系化し、攻撃テストに関する合意事項を24の選択メニューとして定義した。そして、12種類の攻撃テストを選択メニューの組み合わせにより表現できることを確認した。これにより、攻撃テスト内容の認識合わせを容易にし、無駄な攻撃テストをなくすことが期待される。

脆弱性報告は年々増加し，それを悪用したサイバー攻撃のリスクも高まっている．脆弱コード検知や到達性解析に関する研究は多いが，その多くは関数コードに着目しており，設定ファイルやヘッダーファイルに潜む脆弱性は十分に検討されていない．本研究では，OSSを対象に設定ファイルおよびヘッダーファイルに起因する 2,160 件の脆弱性を収集し，深刻度，使用言語，未修正期間，修正行数と修正方法の観点から特性を調査した．その結果，未修正期間は特にヘッダーファイルで平均 6.5 年と長く，関数コードの約 1.73 倍であった．また，CVSS 7.0 以上の高深刻度は全体より約16% 多かった．さらに，設定不備やマクロ定義の誤りなど仕様レベルで生じる脆弱性では原因行が存在しない場合が多く，デフォルト値の不備に起因する問題では設定項目の削除のみで修正されるなど，既存技術では検知が困難であることが分かった．これらの結果を基に，設定・ヘッダファイルに特有の脆弱コード検知手法に必要な要件を5つ整理した．

Androidプラットフォームでは，Android Virtualization Framework (AVF)の導入により，OSから隔離された保護仮想マシン(pVM)の利用が可能となった．しかし，Google Tensor搭載実機において，pVMがメモリサブシステムに与える性能影響は十分に解明されていない．本研究ではGoogle Pixel 6を用い，pKVM (Protected KVM) によるメモリ保護が適用されないVMと適用されるpVM間で，メモリアクセスレイテンシを比較評価した．実験の結果，キャッシュが効くWarm状態ではオーバーヘッドが隠蔽される一方，DRAMアクセスが発生するCold状態かつ大容量データ転送時においては，メモリ暗号化に起因すると考えられる平均約6.6%の実効帯域幅低下が観測された．また，アクセス粒度の分析により，CPUバウンドな処理においては暗号化遅延が隠蔽される現象を確認した．本知見は，AVFを活用したセキュアなアプリケーション設計，特にオンデバイスAIなどのメモリ集約型タスクにおける性能予測のための重要な指標となる．

本研究は, サプライチェーン全体において適切なサイバーセキュリティ対策を行う手法を提案する. 具体的には, 自社と外部サプライヤーで構成されるサプライチェーンシステムを対象とした脅威モデリングを実施し, どこにどのような脅威が存在するのか, その脅威に対してどのように対処すればよいのか検討する. 従来の脅威モデリングは, 単一の情報システムに対して実施され, フレームワーク等を使用して脅威を分析するが, 外部サプライヤーと接続したり, また外部サプライヤーがシステムの構成要素の一部となっている場合, 信頼境界が曖昧となり, 脅威の特定やリスク評価が困難となる場合がある. これに対し, 本研究ではシステムの信頼境界を明確にする脅威モデリング手法を新たに提案する. 提案手法では, 外部サプライヤー, またそれとの関わりをモデル化し, サプライチェーン全体を俯瞰した脅威の洗い出しを可能とする. さらに本研究では, 提案手法がどのような有用性, 課題を持っているかを, 実際の企業からヒアリングにより意見を伺い, 状況や目的によっては, 本提案手法が有効に利用できることを確認した.

HQCは符号ベースの鍵カプセル化アルゴリズムであり，2025年3月にNISTにより耐量子暗号の標準化に採択された．しかし，HQCは長大な多項式を扱う処理を含み，特に多項式乗算が主要な処理となる．そのため，演算過程において膨大なメモリ資源を必要とし，同時に計算コストも増大する．結果として，リソース制約のあるIoT機器上での実装は困難である．本稿では，HQCにおける多項式乗算のスパース特性を利用し，剰余演算の回数および必要なバッファサイズを最小化する多項式乗算アルゴリズムを提案する．さらに，HQC全体に対するソフトウェア最適化を施すことで，軽量かつ高速なHQCソフトウェア実装を実現する．ARM Cortex-M33上での実験により，提案手法はPQCleanより処理速度を55～87倍向上させ，メモリ使用量を80%以上削減することを確認した．著者らの知る限り，提案手法は64KB RAM機器上でHQCの全パラメータセットを動作可能とする初のソフトウェア実装である．

デジタルデータを物理メディアから完全に消すセキュア消去 (Secure Deletion) 技術の重要性が高まっている．セキュア消去技術の研究が開始されて以降，論文・ガイドライン・標準の種類を問わず，物理メディアの再利用を想定してセキュア消去を実行するためのアルゴリズムや手法に焦点を当てた議論が行われてきた．セキュリティ攻撃によって機密データが漏洩することを防ぐためにセキュア消去の実装を考えた場合，データのセキュア消去手法に加えて，セキュア消去を実行するかどうかの判断根拠を取得するセンシング技術や判断を行う技術，セキュア消去の実行を命令するコントローラや命令を伝達する通信手段，セキュア消去の命令が確実に実行されデータの消去が正しくなされたかどうかを検証する技術も重要となると考えられる．これまで，そのようなE2E (end to end) の観点でのセキュア消去技術の体系化は行われていない状況である．本稿では，セキュア消去を，E2Eの観点からとらえなおし，ゼロ化 (Zeroization) 技術として体系化することを試みる．

ROP（Return-Oriented Programming）攻撃は，スタック上の戻りアドレスを操作し，既存の命令片（ガジェット）を連鎖させることで任意のコードを実行させるメモリ破壊攻撃である．本研究では，リソース制限の厳しいIoT機器への普及が期待されるRISC-Vアーキテクチャを対象とする．CFI(Control Flow Integrity)に代わる低オーバーヘッドな防御手法として，コンパイル後のアセンブリコードを静的に改変し，ROPgadgetによるガジェット検出を困難にする手法を提案する．本稿では，特にアセンブリコードレベルでのガジェット検出を無効化する手法の有効性に焦点を当て，その検証結果を報告する．

機器に含まれる機密情報の漏えいを防ぐために，それを能動的に消去することで保護する方法が存在する。これまでに，データを暗号化して記録しておき，暗号化データを復号するための秘密鍵をメモリ上から消去することにより，データ全体を消去するよりも効率よく，データを利用できなくする「暗号化消去」技術が提案されている。論理再構成が可能なFPGA においてもコンフィギュレーションに用いられる回路情報は保護対象となり得る。FPGAにおける既存の暗号化コンフィギュレーション機能では、回路情報を暗号化して外部の不揮発メモリに書き込み、電源投入時にそれをFPGA内の秘密鍵で復号して用いる。この秘密鍵を消去すれば電源投入時のコンフィギュレーションを阻止することは可能である。一方で、すでに回路が動作している状態では回路情報がコンフィギュレーションメモリ上に展開されている。そのため、コンフィギュレーションメモリから回路情報が読み出される危険性は残っている。本稿ではコンフィギュレーションメモリの揮発性に着目し、動作中のFPGAからの回路情報の漏洩を防止するための、電源遮断を用いた回路情報保護手法につき検討する。

本研究では, 車載ネットワークにおけるセキュリティ課題に着目し, CAN (Controller AreaNetwork) 通信のセキュリティについて検討した. CAN 通信は車載機器間で広く利用されているが, その特性上, 暗号化や認証機構が標準で備わっていない. そのため, 通信データの特徴を効率的に分析し不正を検出することは重要な技術である. Yun Cai らの先行研究では, Nilsimsa アルゴリズムを適用し, CAN通信データの特徴量を抽出することで異常検知を行った. しかし, 先行研究は異常か否かの二値判定である.本研究では, 先行研究を発展させ, Nilsimsa アルゴリズムのパラメータを調整し, CAN 通信に対して攻撃ラベルの判定を可能とする方式を提案する. 提案方式をCANの攻撃データセットに適用し, 複数のラベルの判定が実際に行えることを確認した.

本研究は，電気自動車（EV）の普及に伴い拡大している充電インフラについて，急速充電器と EV 間の通信の脆弱性を検証する．特に日本で普及する CHAdeMO プロトコルが充電制御通信にCAN（Controller Area Network）を使用していることに着目し，CAN インジェクションによるCHAdeMO 充電プロセスの不正制御攻撃を実証する．充電中に CAN インジェクションを実施する攻撃環境を構築し，充電器の電流出力値を不正に変更する攻撃を実施した．その結果，上限値以下で電流出力値を任意の値に変更可能であることを確認した．この攻撃により，EV のリクエスト値以上の電流で充電する，短期間に電流値を急激に増減させるなど，バッテリーに負荷を与える不正充電制御が可能となり，EV の利便性や安全性低下に繋がる．そして CHAdeMO 充電プロセスへの CAN インジェクション対策として，充電制御値，メッセージ間隔に着目した異常検知を提案する．

近年、自動車システムのソフトウェア化・ネットワーク化の進展や新たな利用形態の登場に伴い、悪意ある攻撃機会や脅威が増加しており、自動車セキュリティ対策は急務となっている。特に、主な車載ネットワークプロトコルであるController Area Network（CAN）は暗号化や認証機構を備えないため、攻撃に対して非常に脆弱だとされている。その対策の一つとして侵入検知システム（Intrusion Detection System, IDS）が注目されており、近年は特にグラフ理論を活用したアルゴリズムも研究されている。本研究ではグラフ理論と決定木を組み合わせたCAN向けグラフベースIDSに着目し、グラフ構築に用いるウィンドウサイズ等のパラメータ設定が検知精度や応答性能に与える影響について考察する。

2020年に公開された10BASE-T1S Ethernetは，マルチドロップ接続が可能なことからCANのトポロジーを維持したまま低コストに配線でき，車載ネットワークの周辺部分のネットワークに適用する規格として注目されている．10BASE-T1Sで導入されたPLCAという物理層衝突回避機能では，ノード毎に設定するノードIDの値を基にフレームをラウンドロビン方式で送信することでリアルタイム性や帯域保証を実現している．本研究では，攻撃者がPLCAのノードIDを故意に重複させることでフレームを衝突させ，フレームロスを発生させるような攻撃による影響を分析する．10BASE-T1Sの評価用ネットワークをLinuxマシン3台で構成し，ノードIDの重複した攻撃ノードからフレームを送信することで正規フレームの9割以上のロスが発生することを確認した．また，重複したフレームを送信された場合の緩和策として，衝突を検知してノードIDを動的に変化させることで正規のフレームの衝突を回避する手法と攻撃フレームを検知して無効化する手法を提案し，フレームロスを1フレームのみにできることを確認した．

脅威分析・リスク評価(TARA)は，製品の企画段階から脅威を特定し，適切な対策を講じることが求められる．しかし，リスク評価では一般に数百件以上の脅威シナリオを分析するため，多くの工数と専門知識が必要となる点が課題である．そこで本研究では，ISO/SAE 21434のリスク評価手法をベースに，ローカル環境で動作する大規模言語モデル（LLM）を用いたリスク評価の自動化を目指した．具体的には，一般的な車載ネットワーク構成を対象に，脅威シナリオ自動生成ツール【Threat Scenario Detector】で生成した889件の脅威シナリオをCVSS v3.1基準で評価し，半数を訓練データ，残りを評価データとしてLLMのファインチューニングと推論精度検証を行った．結果，F1スコアのマクロ平均0.843，マイクロ平均0.925を達成した．さらに，誤分類ケースを再学習することで，F1スコアはマクロ平均0.940，マイクロ平均0.966まで向上した．本手法は，限られた計算資源でも短時間で高精度なリスク評価を実現できる可能性を示し，セキュリティ分野におけるAI活用の可能性を拡げるものである．

近年，AI技術の進歩により画像認識や物体検知の精度が向上し，自動運転技術が発展している．一方で，機械学習を利用している自動運転車では，ポイズニング攻撃などの機械学習モデルに対する攻撃の影響を受ける可能性もある．ポイズニング攻撃の検知手法も研究が進んでいるものの，従来手法では学習データに含まれる正常データと攻撃データに対する中間層の出力値の差をもとに攻撃を検知するため，機械学習モデルに攻撃データをインプットする必要があり，検知漏れした攻撃データを学習に取り込んでしまうリスクがある．本研究では，VSOCの構成をもとに，車両とクラウドが連携して攻撃を検知する手法を提案する．提案手法では，車両から収集した入出力データをもとに，正常な入力データに対して各出力データが取り得る値の許容範囲を設定する．インプットされた入出力データのいずれかが許容範囲外であった場合，攻撃データとして検知する．また，新たに収集した入出力データを用いて許容範囲を更新し，車両とクラウドで範囲が異なる複数の許容範囲を設定する．これにより，車両とクラウドで多段階での攻撃検知が可能となり，検知漏れの抑制が期待できる．

自動運転やSDVの普及に伴い車載ソフトウェアの脆弱性対応は重要性を増しており，車載システムのセキュリティ開発に関する国際標準規格ISO/SAE 21434でも出荷後段階での継続的な対応が求められる．一方，脆弱性報告件数の増加により全件を網羅的に対応することは困難である．対応効率化のために脆弱性毎に対応優先度を決定する手法が取り入れられているが，従来の対応優先度決定手法は環境要因を考慮しておらず，実際には不要な対応が残る課題があった．本稿では，環境要因の一つである防御機構に着目し，防御機構を考慮した対応優先度決定手法，及び脆弱性に付随した概要情報をLLMで分析して防御機構の有効性を判断する手法を提案する．検証の結果，概要情報の情報量が多い場合に特に判断精度が向上し，OSS利用環境に応じた適切な優先度決定が可能となることを示した．これにより，脆弱性対応の効率化と作業負担軽減に寄与する．

自動運転システムにおいて，HDマップは安全性と信頼性を支える重要な基盤技術であるが，悪意ある改ざんにより不正確な情報が混入し，それが長期間修正されない「持続的な脅威」となるリスクがある．我々は先行研究において，HDマップ改ざんの脅威モデルを更新頻度や影響範囲の観点から体系化し，車線情報を操作することで車両を経路から逸脱させる攻撃を提案した．しかし，評価は直線道路における基礎的な攻撃有効性の確認に留まっており，交差点の左折などの複雑な道路形状における検証や，歩道への侵入等の現実空間で生じ得る被害の深刻度までは評価できていなかった．そこで本研究では，直線に加え曲線（交差点）の車線情報改ざんが自動運転車の制御に及ぼす影響について，シミュレーションによるEnd-to-Endの評価を行った．評価の結果，いずれの道路形状においても改ざんにより車両を本来の経路から逸脱させ得ることを確認した．特に曲線車線の改ざんでは，わずかな改ざんであっても車両が車線を逸脱して歩道へ乗り上げる挙動が観測され，直線区間では顕在化しにくい歩行者を巻き込む深刻な事故リスクが，曲線区間において顕著に現れることを明らかにした．

AI技術の発展は，Webサービスをボットによる不正利用から守るCAPTCHA技術に新たな課題を突きつけている．特に，視覚障害を持つユーザのアクセシビリティを担う音声CAPTCHAは，多くの既存技術がAIによって突破される脆弱性を抱えている．本研究では，この課題に対し「多言語音声の重畳」と，人間の聴覚特性を利用した「音韻修復効果の応用」という妨害要素を組み合わせた新しい音声CAPTCHAを提案する．評価エンジンとして音声認識モデルOpenAI Whisperを用い，機械受入率（MAR）の評価実験を行った．その結果，妨害レベルが高い条件下ではMARが10.77%となる高い防御性能を示した．最終的に，被験者による人間受入率（HAR）測定実験を実施し，提案手法が機械受入率より高いHARを達成することを確認した．本稿では，MARとHARの比較分析を通じて，提案手法がセキュリティとユーザビリティを両立する有効な手段であることを明らかにした．

Understanding the root causes of secret leakage is essential for mitigation. This paper extends the work of Zhou et al. ("Hey, Your Secrets Leaked!") by performing a deep causal analysis on their dataset of 12,000 leaked secrets from GitHub. We enriched this data using git blame to pinpoint the committing developers and code context. A manually curated and categorized dataset of 699 leaks was created to establish a definitive taxonomy of root causes. A machine learning model, trained on this taxonomy, was then applied to classify the entire dataset. Our results provide the first large-scale, data-driven taxonomy of secret leakage root causes, revealing that the vast majority stem from preventable developer errors related to workflow misconceptions and tool misuse, rather than malicious intent. These findings offer a foundation for targeted developer education and improved security tooling.

Webアプリにおけるインジェクション脆弱性は重大な問題であり，その自動修正手法が研究されてきた．自動修正では危険なデータフロー上にサニタイザを挿入する方法がよく知られており，近年は大規模言語モデル(LLM)を用いた修正も注目されている．その評価指標はセキュリティと機能性に着目しているが，実開発で重要となる保守性や性能効率性に着目した研究はほとんどない．さらに，修正箇所から脆弱なコード箇所を推測されにくいという性質（露見性）も運用上重要であるが，これを扱った研究は存在しない．本研究では，実世界のPHPプログラムに含まれる2つの脆弱性を対象に人手による修正パッチとLLMによる修正パッチを比較し，保守性と性能効率性の観点から両者の評価を行うことでLLMがこれら非機能要件をどの程度反映できるかを評価した．加えて，露見性についてはこれまで評価枠組みがなかったため暫定的な指標を新たに設定し，修正パッチに適用することで，その妥当性と利用可能性を検証した．本研究は，LLMによる修正パッチをセキュリティと機能性以外の観点から評価し，将来的な修正戦略設計に向けた基礎的知見を提供するものである．

近年，生成AIの普及により，ホエーリングと呼ばれる攻撃が重大な脅威となっている．ホエーリングは，組織の重要人物を標的とし，精巧な偽メールを用いるソーシャルエンジニアリングである．大学では教員が研究代表者や情報システムの責任者を兼ねることが多く，論文や研究者情報などの高価値な情報が広く公開されているため，生成AIによる高精度なプロファイリングに基づくホエーリングが懸念されている．本研究では，大学教員を対象としたホエーリング対策として，パーソナライズされた防御プロファイルを構築し，LLMエージェントを用いたホエーリング対策の仕組みを提案する．また，大学教員の公開情報から対象ごとに脆弱性プロファイルを構築するエージェント，これに基づくリスクシナリオを作成するエージェント，脆弱性と想定リスクに対応する防御プロファイルを構築するエージェント及び防御プロファイルをホエーリングのメールの解析に用いるエージェントを設計する．さらに，リスク評価の予備実験を行った結果，ホエーリング対象となる教員の業務文脈に即し，対応方針が説明された判定が可能であることと，運用・評価拡張の課題が示唆された．

属性ベース暗号（Attribute-Based Encryption: ABE）は，公開鍵暗号方式を拡張した高機能暗号であり，きめ細やかなアクセス制御を提供する．IoTやクラウド環境におけるABEシステムの実用化には，鍵管理サーバの堅牢性や，リソース制約のあるデバイス上での計算負荷の低減が不可欠である．本研究では，安全な鍵管理や復号処理を行うABEシステムの構築を目指して，Trusted Execution Environment（TEE）の一つであるIntel SGXを用いたABEシステムプロトコルを提案する．鍵管理や復号処理をEnclave上で行い，鍵管理サーバやユーザが外部からの攻撃によって秘密鍵を漏洩させるリスクや，ユーザ失効に伴う計算負荷の課題に対処する．また，様々なユースケースを考慮し，復号処理のサーバへのオフロードを柔軟に選択できるプロトコルを設計する．さらに，Intel SGX環境への移植性を備える新たなABEライブラリを実装し，EnclaveにおけるABE処理の性能を評価し，ライブラリの有効性を示す．

マイクロサービスシステムにおける異常検知では、正常動作時の負荷変動と異常の識別、および異常の根本原因解析が課題である。本研究では、Temporal Graph Networks（TGN）のメモリ機構を活用した「Soft Gating TGN」を提案する。提案手法は、各マイクロサービスの正常動作パターンをTGNメモリに記憶する。従来手法では異常データでメモリが汚染される問題があったが、本手法は再構成誤差に基づいてメモリ更新量を動的に制御することで、異常時は更新を抑制し正常時は継続する。さらに、メトリクス種別（Latency、Memory、CPU等）毎に独立して判定するため、一部のメトリクスのみ異常な場合でも、正常なメトリクスに対応するメモリは更新を継続し、動的環境への適応を維持できる。マイクロサービスシステムのベンチマークデータセットを用いて、既存手法（標準TGN、BARO）と比較し、異常検知（バイナリ分類）および根本原因解析の性能を評価した。提案手法はメモリ汚染を大幅に削減し、異常期間においても高い検知能力を維持することを確認した。

Kubernetesに代表される分散システムにおいては、合意アルゴリズムRaftが基盤技術として使われている。Raftを用いると、全てのサーバーにログが完全複製される。そのため、1つでもサーバーが侵害されればデータが漏洩する恐れがあり、Raftは構造的に漏洩耐性が低いという問題を抱えていた。それに対し、我々はCSS2025で、Raftと秘密分散を組み合わせた合意アルゴリズム「Partially Leak-Proof Raft Consensus Algorithm (PLP-Raft)」を提案した。しかし、PLP-Raftではリーダーが遷移した際に復元できないデータが発生する場合があった。本研究では、リーダーが遷移する際に確実に復元可能なデータの分散保存を実現する、PLP-Raftにおける頑健なリーダー選挙手法を提案する。

コンテナを利用した開発では，ベースイメージとして公開レジストリ上のコンテナイメージが広く利用されている．一方で，攻撃者が悪意のあるイメージを公開レジストリへアップロード可能である点が課題となっている． 本研究では，悪意あるイメージの中でも特にクリプトジャッキングを行うコンテナの検知システムを提案する．マイニングプロセスは長時間にわたりハッシュ計算を実行するという特徴を持つ．そこで，プロセスがCPUを使用する際に実行される関数の利用時間を分析することで，マイニングプロセスの検知を行う．

Online social networks (OSNs) are major platforms for information sharing, yet attempts to influence public opinion on them have become a growing concern. One method of such manipulation is the use of bots, which have been reported to amplify specific information. In the political domain, studies suggest that bots may have contributed to election interference and opinion manipulation, making it important to clarify their operational characteristics. Although many bot-detection methods have been proposed, few studies have applied them to real-world X data to analyze specific cases. Moreover, counting bots alone is not enough to distinguish accounts engaged in intentional information amplification, because bots range from simple-automation bots to narrative-reinforcing bots. In this study, we apply our previously developed bot-detection model to multiple X trends and analyze bot behavior in terms of naming conventions, content clustering, and activity periods. The findings reveal the presence of bot accounts that share naming patterns, narrative tendencies, and deployment periods, suggesting that they may have been created and operated under common generation processes or coordinated guidelines.

スマートフォンを用いた金融取引では，顧客の本人確認手段として顔の動画や静止画による生体認証が採用されるケースがある．こうした場合，AIによって生成されたディープフェイクを提示してなりすましを試みる攻撃が想定される．対策として，機械学習モデルによってディープフェイクを検知するさまざまな手法が提案されており，複数の検知モデルを評価・比較した研究成果も発表されている．顔の動画を用いた生体認証をサービスに利用している金融機関などにおいては，リスク管理の観点から，今後，生体認証のセキュリティを維持・向上するためにディープフェイク検知モデルの採用を検討する可能性がある．検討の際には，攻撃で悪用されうるディープフェイク生成手法をリストアップするとともに，検知モデルの評価基準を設定したうえで，評価・比較の研究成果を参照しつつ，リストや評価基準に合致する検知モデルを選択することが有用である．また，こうした対応を可能にするために，評価・比較の研究において用いられたデータセットやディープフェイク生成手法などが可能な限り公開されることが望ましい．

SNS上では同一の画像が異なる文脈で再利用される事例が多く，特にX（旧Twitter）では，画像付き投稿がリポストや引用によって急速に拡散する．そのため，画像の出現時期を観察することは，社会関心の推移や話題の盛り上がりを可視化する手がかりとなる．しかし，画像単位での拡散過程や再利用のタイミングを体系的に分析する手法は多くない．特に，ユーザが直接投稿する画像と，外部サイトのリンク共有時に自動表示されるOGP画像が混在して流通するが，画像種別ごとの拡散過程を区別して分析した研究は多くない．こうした画像再利用の実態を把握することは，SNS上の情報信頼性を評価する上で重要な課題である．本研究では，X上に投稿された画像の出現を時系列的に可視化する分析支援システムを構築した．X上でトレンドとなったポストをデータセットとして分析を行った結果，本研究で扱った投稿群の傾向として，画像を含む投稿の多くがリポストを通じて拡散される場面が多く検出された．さらに，OGP画像が拡散初期に集中し，添付画像は多様なユーザから継続的に投稿されるなど，画像種別による拡散タイミングの違いがあることが確認された．

インターネットの発展により，SNSの拡散力と情報共有の影響力は増大している．そのため，世論の分断や社会的混乱の誘発を目的とした世論操作が問題視され，これは「影響力工作」と呼ばれる．海外からの事例も確認されているが，匿名性などにより実行者や理由の特定は難しい．このため，どこから実行されたかを推定できる位置情報は重要な手がかりとなる．しかし，Xの投稿の多くは位置情報がなく，長らく1～2％程度に留まっていた．2025年11月に新たな位置情報機能が追加されたものの，未付与アカウントも多く，過去投稿の位置は不明なままである．また，こうした機能は過去に廃止された例もあり，その信頼性や継続性には検証が必要である．以上を踏まえ，本論文では工作事例が報告される中国，ロシア，日本関連の発信が多い韓国，日本，その他を含む5クラス位置推定モデルを構築した．特定のトレンド投稿データセットに対する分類実験の結果，本データセット固有の傾向ではあるが，政治的話題では政治的でない話題より海外と推定される割合が高く，特に中国と韓国が多いことが確認できた．

本論文では，大規模言語モデル（LLM）を用いたマルチエージェントシステムにおけるプロンプトインジェクション攻撃の検出・防御を目的とした新しいセキュリティワークフローを提案する．LLM の急速な普及に伴い，LLM を組み込んだマルチエージェントシステムの応用が拡大している．一方，悪意のあるプロンプトによる機密情報の漏洩やシステムの誤動作などの危険性が指摘されている．本研究では，異なる専門性を持つ 3 つの独立した Guard LLM エージェント（Compliance Officer，SystemArchitect，Red Team Expert）による多数決メカニズム，Ed25519 デジタル署名による通信の完全性保証，NATS メッセージングシステムを基盤とした非同期通信アーキテクチャを組み合わせたセキュリティワークフローを提案・構築し，実行時間への影響や防御機構の有効性を検証する．攻撃シナリオを用いた評価実験では，13 種類の悪性プロンプトに対しての検出に成功した．一方，正当なタスクを目的としたプロンプト 15 ケース中，本システムは 4 ケース誤って拒否されることが確認された．

近年，大規模言語モデル(LLM)の開発や応用が急速に進み，チャットボットやコード生成など多様な用途で活用されている．一方で，LLMの安全機構を意図的に回避して有害な出力を生成させるジェイルブレイク攻撃が問題視されている．特に，複数のクエリで構成されるマルチターン型のジェイルブレイク攻撃はより対策が難しく，AIサービスの運用前段階における安全性検証の必要性が高まっている．しかし，従来のマルチターン型の安全性検証手法では，生成される検証用攻撃クエリがトピック非依存であるため，特定トピック外の質問に応答しない制約付きLLMに対しては回答拒否が多発し，有効性が低下する課題がある．本稿では，LLMガードレールを活用したトピック指向のマルチターン攻撃クエリ生成手法を提案する．提案手法は，攻撃クエリの生成過程および生成後の双方でLLMガードレールによる検証と再生成を行うことで，トピックから逸脱するクエリを自動的に排除し，有効な攻撃データを効率的に生成する．制約付きLLMに対する評価実験の結果，従来手法と比較して回答拒否の低減や脆弱性検出性能の向上が確認され，安全性検証手法としての有効性が示された．

本稿は、外部事業者が運用するデータソース（VectorDBなど）を用いたRAG型の検索システムにおいて、ユーザがLLMに入力したクエリに含まれる機密情報がVectorDBへの問い合わせを通じて外部事業者に漏えいすることを抑制するアーキテクチャを提案する。LLMをTrusted Execution Environment（TEE）などの信頼実行環境内に配置する構成であっても、(1) TEE外のVectorDBへの問い合わせに伴う流出や、(2) その対策としてクエリ内の機密情報をマスキングした場合、検索キーとしての重要な情報も失われることによる検索精度の低下、(3) TEE内で秘匿化された処理がポリシーどおり実行されたかを第三者が検証しにくいこと、といった懸念が残る。本研究ではこれらに対し、クエリ中の地区名や製品名などを擬似トークンにマスキングする処理、このマスキングによるVectorDB検索の精度低下を緩和する二段階ベクトル検索、および処理が所定のポリシーに従って実行されたことを事後検証できる監査ログを統合することで、クエリ内容の秘匿性の維持と高精度な検索、説明責任の確保を両立する。

近年，外部ツールや検索システムと連携して自律的に動作するAIエージェントが普及しているが，外部コンテンツに埋め込まれた悪意ある指示を実行させるIndirect Prompt Injection攻撃は深刻な脅威である．既存研究では，入力プロンプトの静的フィルタリングなどの，静的防御手法が主に検討されてきたが，AIエージェントがタスク実行中に逐次取得する外部情報は攻撃者によって容易に改変可能であり，静的手法のみで十分な防御性能を確保することは困難である．本研究では，AIエージェントがIndirect Prompt Injection攻撃の影響を受けつつある段階をモデル内部の挙動から動的に検知し，その直後に自己内省に基づく行動修正を実行することで，攻撃成功を未然に抑止する手法を提案する．実験により，高い防御性能を達成できることを確認した．これらの成果は，モデル内部の動的情報を活用することにより，外部コンテンツに依存しない形でAIエージェントの堅牢性を向上させる動的防御機構の有効性を示した．

近年, マルチモーダル大規模言語モデル, 特に視覚言語モデル（VLM）の規模が発展している. 一方で, それらの発展に伴ってVLMの消費電力も増加している. ここで, 正常画像に微小な摂動を加えることでVLMに大量のトークンを出力させる敵対的な入力画像（冗長画像）を生成する手法が, 高負荷攻撃の一種として知られている. この攻撃はVLMサービスの運用コスト増加や可用性, 信頼性の低下を引き起こす可能性が高く, 対策が急務であるが, まだ防御手法は提案されていない. そこで, 本研究では, VLMの画像エンコーダ＆プロジェクタが出力する画像埋込ベクトルを用いて入力画像が冗長画像であるかどうかを検知する手法を複数提案する. また, 性能向上のため, 異なる2つの検知手法を組み合わせた新たな検知手法も提案する. 以上を検証するために, VLMの一種であるflorence2モデルとMS-COCOデータセットを用いた実験を行い, 検知精度と実行時間の観点で提案手法の有効性を示した. さらに, 検知手法を組み合わせることにより, 実際に精度が向上することを検証した.

近年，拡散モデルの発展により高品質な画像生成が可能となった一方で，学習データの暗記に起因する著作権侵害リスクが顕在化している．画像の生成は大量に行われるため，このリスクを低減するには著作権侵害判定を自動化する必要がある．そこで生成画像と著作物(元画像)との実質的な類似性を判定する，大規模視覚言語モデル(LVLM)を用いた著作権侵害検出システムCopyJudgeが提案されている．本システムは司法判断を模した抽象化・フィルタリング・比較のプロセスと複数のLVLMを用いた議論により，高い判定精度と説明性を実現すると報告され，生成AIを用いた画像生成時にあらかじめ著作権侵害を回避するような手法も提案された．本稿では敵対的サンプル(AEs)画像を作成することにより，このような判定システムにおいて，類似性が高い画像に対して著作権侵害がないという誤判断をさせることができるという脅威を示す．本稿ではLVLMを用いた著作権侵害検出システムを構築し，そのシステムに対するAEsの影響評価を行う．検出精度の低下だけでなく，AEsが判断根拠に与える影響についても分析した結果を報告する．

マルチモーダル大規模言語モデル(MLLM)は，画像に関する説明文の作成や自律的なロボットの構築など，様々な用途が期待される技術である．その一種として，ロボットアーム等に，指示文に従った自律的な動作をさせるVLA(Vision-Language-Action models)技術の研究開発が進められている．しかし，VLA技術では，他のAI技術と同様，様々なセキュリティ脅威の報告がなされており，特に，VLAに入力する画像に対し特殊な模様を追加することでVLAの動作を阻害する，敵対的patch攻撃の脅威も報告されている．従来研究では，画像内の任意の位置で有効な敵対的patch攻撃について議論が行われている．しかし，最適な敵対的patchの位置や形状を特定することでより強力となる可能性があるにも関わらず，現状，VLAにおける敵対的patchの形状や配置方法に着目した研究はない．本研究では，複数の位置において，位置を固定して敵対的patchを学習してその結果を比較した結果，自律的な動作を行わせる対象付近に敵対的patchを配置することで，その効果が強力となることを示した．

カードベースプロトコルの分野においては二色カードが主に用いられるが，一方で多様なカードが提案されてきた．本発表では，二色カードと二色カード以外で最も単純なカードである上下カードを組み合わせたリバーシブルカードを提案する．リバーシブルカードは，片面に180度の回転に非対称な模様が描かれており上下カードとして，その裏面は2種類の180度回転対称な模様による区別があり二色カードとして用いることができる．二色カードとしてのコミットメントと上下カードとしてのコミットメントとを互いに変換することで，二色カードを用いたカードベースプロトコルの体系における必要カード枚数を削減できることを示す．この変換は，追加カード1枚と既知のシャッフルで実現でき，また，新たなシャッフルであるローリングシャッフルを導入することで追加のカードを用いることなく行うことができる．

カードベース暗号においてランダムカットは最も基本的なシャッフルであり、ランダムカットのみを用いて何が実現できるのかを明らかにすることは重要な研究テーマである。本研究ではダブルシフティング技法というランダムカットの新しい使い方を提案する。この技法は、nとkが互いに素なとき、n行k列のカード列の行方向と列方向をそれぞれランダムな回数シフトする操作を、ランダムカット1回で実現する。ダブルシフティング技法を用いて、二つのプロトコルを構成する一つ目はランダムカットのみを用いた加算プロトコルである。これを用いて追加カード4枚の対称関数プロトコルを構成できる。二つ目はカード枚数の少ないランダムカット1回のn入力ANDプロトコルである。例えばn=4のとき、既存方式は14000枚だが提案方式は2000枚であり、12000枚削減している。

カードベースプロトコルとは、物理的なカード組を用いて秘密計算を行う暗号プロトコルである。部分開示操作は伏せられたトランプカードの一部分をめくることによって情報を得る操作である。この操作はMiyahara-Mizuki（FAW 2022）によって導入された半開示操作を、Honda-Shinagawa（IWSEC 2024）が一般化したものである。本研究では部分開示操作を用いる3入力のプロトコルを4つ提案する。本研究と既存研究により、任意の3変数ブール関数に対するトランプカードのプロトコルは、6枚（追加カードなし）かつランダムカットのみで構成できることを示す。

トランプの ♠, ♡, ♣ のスーツや Joker のように正 (1) 逆(0) の区別があるカードを有向カードと呼ぶものとする．有向カードを利用すると，1 枚のカードで 1bit を表現 することができるので，2 枚のカードで 1bit を表現する多くのプロトコルよりも使用するカード枚数を少なくできる可能性がある．筆者らは，有向カードを用いることにより，従来よりカード枚数を削減した「閾値プロトコル」を提案した．また，有向カードを利用したAND・OR・NOT・XORの基本論理演算プロトコルおよびCOPYプロトコルを提案した．本稿では，まず，Pythonコードでプロトコルを表記する方法を提案する．次に，これらの基本プロトコルをコミット型に拡張する．更に，応用プロトコルとして有向カードを利用してカード枚数を削減した加減算プロトコルを提案する．

スターバトルは、n×nの盤面に対し、各行・各列・各ブロックに星を1個ずつ配置するパズルである。その際、どの2つの星も、水平方向・垂直方向・斜め方向のいずれでも隣接してはならない。すなわち、星同士は互いに隣接8マス以内で接しないように配置する必要がある。本稿では、このスターバトルに対してカードベースゼロ知識証明プロトコルを2つ提案する。1つ目のプロトコルは、既存の手法を利用した基本構成である。2つ目のプロトコルは、巡回バッチングを用いることで1つ目のプロトコルを効率化したものであり、2回の一般化パイルスクランブルシャッフルで構成される。

バトルシップは、諸条件に従ってn×n盤面上に艦体を配置するパズルである。本稿では、バトルシップに対するカードベースゼロ知識証明プロトコルを提案する。サブプロトコルとして、複数回のパイルシフティングシャッフルを定数回のパイルスクランブルシャッフルに集約する技術である巡回バッチングを用いる。これにより、提案プロトコルは2回のパイルスクランブルシャッフルで実現できる。

ハミルトン閉路問題とは、与えられたグラフの全頂点を一度だけ通り、かつ始点と終点が一致するような閉路を探索する問題である。本稿ではハミルトン閉路問題に対するシャッフル2回のカードベースゼロ知識証明プロトコルを提案する。先行研究における最小のシャッフル回数は3回であるため、そこから1回分削減されている。またそのプロトコルを利用して、HidatoというNP完全なペンシルパズルに対するシャッフル2回のカードベースゼロ知識証明プロトコルも提案する。

組合せ遷移問題に対する物理的ゼロ知識証明は近年注目されており，研究が活発化しつつある．本稿では辺の部分集合を扱うグラフ問題の代表例である，ハミルトン閉路とマッチングに関する遷移問題を対象にゼロ知識証明の概念を適用する．前者は全頂点をちょうど一度ずつ通る閉路間を，閉路上の2辺を削除し別の2辺を追加することで閉路を再構成する2-opt操作を繰り返し適用することで遷移可能かを問う問題であり，PSPACE完全であることが知られている．後者は，端点を共有しない辺の部分集合であるマッチング間の遷移問題であり，本稿では特に，マッチング内の一辺を未使用の辺へ移動させるToken Jumping（TJ）モデル，および長さ4の交互閉路上で完全マッチングの辺を交換する4-cycle flipモデルの2種類を対象とする．TJモデルでは遷移可能性は多項式時間で判定できる一方，最短遷移長の判定はNP困難であり，4-cycle flipモデルでは遷移可能性自体がPSPACE完全である．本研究では，手数上限lを入力とする設定を念頭に，これらの問題に対する物理的ゼロ知識証明プロトコルを設計する．

本稿では，ABC End View というパズルに対するカードベースのゼロ知識証明プロトコルを扱う．このパズルは正方形の盤面の適切なマスに，条件を満たすように文字を埋めていくものであり，その条件である一意性と最近接性の検証がプロトコル構築のキーとなっている．2022 年に Fukasawa とManabe により，ABC End View に対する初のカードベースのゼロ知識証明プロトコルが提案され，その後いくつかのプロトコルが考案されている．一方，2025 年に Tanaka らは，数独に対してシャッフルが定数回のゼロ知識証明プロトコルを構成した．さらに同年，本間と品川は複数回の pile-shifting シャッフルを 2 回の pile-scramble シャッフルで実現できることを示した．本稿では，これらのアイデアを ABCEnd View へ応用することを考え，2023 年に田中と水木が提案した ABC End View のゼロ知識証明プロトコルを改良し，シャッフル回数の削減を図る．

数独に対するゼロ知識証明は、数独の解について知っている証明者が、解に関する情報を一切相手に明かすことなく、「解が存在し、証明者が解を知っていること」を検証者に納得させるものであり、2007年にGradwohlらが数字カードを用いて初めて提案している。それ以降も数多くのプロトコルが提案されている。2024年にはOnoらによって入力するカード列を証明者と検証者によって対話的に作成する対話的入力を使用することにより、パイルスクランブルシャッフル1回のプロトコルが提案された。なお、このプロトコルでは複数個の連続するパイルスクランブルシャッフルを結合し、1回のパイルスクランブルシャッフルとしてみなしている。同年、佐々木らによってカード枚数を増やすことで、連続的なシャッフルについて改善したプロトコルについて提案された。本稿では、連続的なシャッフルについて改善を行ったプロトコルについて提案する。提案プロトコルでは、裏面の異なるトランプを用いることで、各ブロックをまとめて1回のパイルスクランブルシャッフルで実行できる点が特徴である。

数独に対する物理的ゼロ知識証明は，数独の解の内容を明かすことなくその存在のみを示す手法であり，Gradwohl らの初提案および Sasaki らの健全性エラーが 0 であるプロトコルの登場以降，カード枚数や操作の効率化に向けて多くの研究が行われてきた．これに対して著者らは，ASP（Another Solution Problem）と呼ばれる別解問題のゼロ知識証明に取り組み，数独の盤面と既知解 S が与えられたときに証明者が別解 S′ を知っていることを証明するカードベースプロトコルを提案した．しかしこの方式では，盤面サイズ n × n に対して各セルに 2n 枚のカードを置くため，O(n^3) 枚を必要とする課題があった．本稿では，先述の方式を基にカード枚数を削減する改良プロトコルを提案する．提案方式では，これまでの研究と同様に S と S′ をそれぞれ n^2 枚のカードで表し，S ≠ S′の検証時に効率良く符号化を変換することで，O(n^2) 枚に削減できることを示す．すなわち Sasaki らの既存プロトコルと同等のカード枚数オーダーを達成する．

物理的ゼロ知識証明（ZKP）は,トランプ等の物理的な道具を用いて,解を秘匿したままパズルの正当性を証明する技術である.ペンシルパズル「数コロ」に対する既存のZKPプロトコル（佐々木・品川, 2023）は,全ての数字マスが連結していることを検証する「連結条件」において,盤面サイズkに対しO(k^4)のシャッフル回数を要するという課題があった.本研究では,このシャッフル回数とカード枚数の削減を目的とした効率的なプロトコルを提案する.具体的には,カード表現をワンホット方式から2進数方式に変更し,カード枚数を約33%削減する.また,周辺条件の検証には効率的な全加算プロトコル（島津・品川, 2025）を導入する.さらに,連結条件の検証において,現実的な経路モデルに基づくシミュレーションを行い,必要な伝播セット数が理論的上限よりも大幅に少なく,経路長の半分程度に収束することを示した.これらにより,総シャッフル回数を大幅に削減した数コロZKPプロトコルを実現する.

定数による整数の除算・剰余算は，楕円曲線暗号やペアリング暗号，格子暗号などの公開鍵暗号において不可欠な演算である．定数除算・剰余算を乗算と論理右シフトの組合せへ置き換える手法はBarrett Reductionなど古くから知られいる．1994年にGranlund, Montgomeryにより提案された定数除算のコンパイラ向け最適化手法はGCC，Clang，Microsoft Compilerなどで採用されている．本論文では32ビット整数に対する定数除算について既存コンパイラが生成するコードを再検討し，64ビット環境においてよりよい方法を提案する．本方式は，2^31個の 32 ビット整数のうち約23%の定数に対して有効であり，x86-64 では39%，Apple M4では 36%の高速化を達成した．定数剰余算については2019年にLemireらが提案した手法が優れているが64ビット整数同士の乗算が必要で，SIMD環境や32ビット以下の環境では使えない．本論文では既存方式よりもアルゴリズムに現れる定数が小さい手法を提案し，格子暗号で用いられる除数についても検討する．

We revisit secret recovery for sparse-binary LWE under the Cool & Cruel paradigm and introduce Cool-Chill-Cruel, a three-band extension tailored to the Z-shape variance profile observed after lattice reduction on stacked q-ary embeddings. In C+C, “cruel” coordinates are enumerated first, and the remaining “cool” part is solved quickly. We show that many practical instances exhibit a sloping intermediate region; treating this Chill band explicitly can reduce overall recovery time.Our method: stack BKZ-reduced blocks and compute the column-wise variance profile; split columns into Cruel/Chill/Cool; guess Cruel part by bruteforcing; for Chill, train a lightweight ML model to estimate the probability that each bit equals 1, rank coordinates by confidence, and perform a budgeted small-width search, verifying every candidate with the same statistical score; finish Cool by rounding/Babai on the reduced subsystem. CCC preserves the low-memory nature of C+C while prioritizing effort where the variance slope is informative. We outline design choices, variance thresholds, dual scoring, classifier, and show that CCC narrows the time gap on instances where the Z-shape has a broad slope, without changing correctness criteria.

プライバシー保護連合学習（PPFL）とは，参加者間で生データを共有することなく，各クライアントのローカル更新を秘匿したままサーバーに集約し，グローバルモデルを更新する枠組みである．その実現手法として，CCS 2019でChenらより提案されたCDKSとよばれるマルチキー準同型暗号を応用したPPFL方式が多数提案されている．CDKSに基づくPPFLでは，復号プロセスにおいて，各クライアントが独自の秘密鍵で部分復号した結果を安全に伝達する必要がある．本研究では，この復号プロセスに秘密分散技術を組み込んだ新たな方式を提案する．提案手法は，各クライアントの部分復号した結果を安全に共有することを可能とし，さらに，閾値未満のサーバーまたはクライアントの結託に対しても耐性を有することを示す．

本稿では、格子ベース鍵カプセル化メカニズムに対する故障選択平文攻撃の実行可能性について述べる。上野らが提案した格子ベース鍵カプセル化メカニズムへの故障選択平文攻撃では、攻撃者はカプセル化時に論理的に故障を注入する。その後のデカプセル化において、故障により生じた誤り暗号文は復号され、得られた平文は藤崎・岡本変換により再暗号化される。ここで、再暗号化時に物理的に同じ故障を注入する。攻撃者は、再暗号化結果と誤り暗号文の等価性判定（同暗号文が拒否されるかどうか）により復号結果の成否を把握できる。こうして平文判定オラクルを構成することで鍵候補を探索することが可能となる。一方で、同攻撃が成立するには、平文判定オラクルを構成する故障注入の存在が必須となる。そこで本稿では、実際のソフトウェアエミュレーション実験により、故障モデルを命令スキップと想定した上で、平文判定オラクルを構成可能な命令スキップの有無を調査し、その実行可能性を検討する。

楕円· 超楕円曲線暗号はRSA 暗号やElGamal暗号と比べ, 短い鍵長で高い安全性を実現することができる.しかし,この暗号方式に対して有効な被覆攻撃と呼ばれる攻撃手法が発見されている.被覆攻撃とは,有限体の拡大体上に定義された楕円· 超楕円曲線上の離散対数問題を,基礎体上に定義された被覆曲線上の離散対数問題へ変換し,解く攻撃手法である.後の研究で,攻撃の対象となる曲線が数多く存在することと,この攻撃が強力であることが判明した一方で,対象となる曲線の使用を避けることで回避できるため,これまで被覆攻撃の対象となる楕円· 超楕円曲線の分類研究が進められてきた.奇標数拡大体上及び同種条件を満たす偶標数有限体上の楕円・超楕円曲線に関してはすでに完全分類が完了している.しかし,同種条件を満たさない偶標数種数3 超楕円曲線の分類はほとんど行われていない.本研究では,偶標数有限体上の種数3 imaginary non-ordinary と imaginary ordinary の二つの超楕円曲線に対する分類を示す.

バイナリ楕円曲線上の離散対数問題を解くShorのアルゴリズムにおいて，計算量の大半は楕円曲線加算が占め，そのリソースは有限体上の逆元計算が支配的である．TaguchiとTakayasu（CT-RSA'23，以下TT23）は，加法連鎖列を用いた効率的な量子逆元計算を提案した．その後，2方向の改良が提案され，TaguchiとTakayasu（ACNS'24，以下TT24）は深さを増やすことで量子ビット数を削減し，肖と高安（CSS'25，以下ST25）は量子ビット数を増やすことで深さを削減した．ただし，ST25の量子ビット数はTT24の26倍であり，これらの性能を単純に比較することは難しい．本研究では，TT24とST25の対照的な改良を相補的に組み合わせ，TT23の量子ビット数と深さの両方を削減する．例として$n=571$のとき，TT24と同量子ビット数で深さを25.2%削減する．さらに，TT23より小さな量子ビット数で量子ビット数と深さの積の最小化を目指し，結果的にTT24より54.9%削減を達成する．本結果は，低量子ビット領域において最良のトレードオフを達成する．

楕円曲線暗号はRSA暗号などと比較して，短い鍵長で必要な安全性を実現できるため，メモリ量が制限される IoT 機器における活用が期待される．その主演算であるスカラー倍算には，高速かつサイドチャネル攻撃に安全なMontgomery ladderやJoye ladderが広く利用されている．近年，素体上のWeierstrass標準形の楕円曲線におけるladder手法において，点$P$の座標の代わりに，差分座標のみを計算する効率的な新しい公式が提案されている．そこで本研究では，サイドチャネル攻撃耐性を持ち，Weierstrass標準形の楕円曲線上のladder手法における，より効率的な計算公式を提案する．

QR-UOVはNISTの耐量子計算機暗号標準化コンペティションに提出されており, 2024年10月にコンペティションの第2ラウンドへ進出している. 本稿では, 第2ラウンドに提出されたQR-UOVのリファレンス実装の署名生成部を分析し, 定数時間化による処理性能の大幅な劣化を防ぐため, 連立方程式のランク情報は公開とし, それ以外の秘密情報は秘匿する形の定数時間実装を提案する. また提案方式の実装評価も行い, タイミングリークのリスクを抑えられていることを確認する.

Unbalanced Oil and Vinegar (UOV) とその変種は耐量子計算機暗号の署名方式における有力な候補である. UOVの変種に対する鍵復元攻撃の一つにRectangular MinRank攻撃がある. 本研究ではこの攻撃を幾何的な観点から詳しく考察し, それに基づきRectangular MinRank攻撃の一般化を与えた. これにより, 適切な設定の下で, Rectangular MinRank攻撃はほぼすべてのパラメータに適用できることが明らかとなり, そのような一般化された攻撃の下でMAYOの安全性評価を行った. また, この攻撃と既存の他の鍵復元攻撃であるIntersection攻撃とのハイブリッド攻撃を提案し, この攻撃の下でUOVの安全性評価を行った.

現在, NIST(米国標準技術研究所)主催の耐量子計算機暗号標準化プロジェクトにおいて, 連立二次方程式問題の求解困難性に安全性を依存する多変数多項式暗号が議論されており, Block Wiedemann法を適用したXLアルゴリズムを用いた攻撃からの安全性の解析が行われている. このアルゴリズムに対する高速実装としては, 2016年のChengらによるものが知られており, 連立二次方程式求解プロジェクト Fukuoka MQ challengeにおいて記録を達成している. NISTの標準化プロジェクトでは各方式に対して具体的なパラメータが提案されており, 各方式に対する攻撃において具体的なサイズの決まった連立二次方程式問題を解くことが必要である. そのため, 漸近的な計算量評価ではなく, より実際の計算に即した計算量見積もりを与えることが求められる. 本研究では, Chengらにより提案されたBlock Wiedemann XLアルゴリズムにおいて, 体演算に対する数え上げや実験的考察に基づく評価を含む方法で署名方式MAYOのゲート計算量を見積もる.

現在, NIST(米国標準技術研究所)により耐量子計算機暗号標準化計画が進められており, その追加デジタル署名プロジェクトの第二ラウンドにおいて, 多変数多項式署名方式UOVやその変種MAYO, QR-UOV, SNOVAが選定されている.UOVへの鍵復元攻撃の一つであるIntersection攻撃は, 2020年にメインプロジェクトにおいて提案されていた多変数多項式署名方式Rainbowに対する攻撃としてBeullensにより提案された. 本研究では, Intersection攻撃と同じ背景の下で, 異なる連立二次方程式を解く鍵復元攻撃を提案する. 結果として我々は, MAYO, QR-UOV, SNOVAの提案パラメータが, 提案攻撃に対して期待されるNIST安全性基準を満たすことを確認した. また, QR-UOVの提案パラメータ(q,v,m,l)=(127, 306, 105, 3)において, 提案攻撃は最も効率的となり, QR-UOVパラメータ選択において考慮すべき攻撃であることを確認した.

近年, デジタル化が急速に進展し, 人工知能（AI）の活用が拡大する中, 世界的にデータの流通および利活用に対する期待が高まっている. 一方, 企業が保有するデータにはノウハウ, 顧客情報, 製品戦略などの機密性の高い情報が含まれており, 外部への流出は競争力の喪失につながる可能性がある. そのため, サプライチェーンなど企業間でのデータ交換を円滑にするため, データ提供側の機密情報を保護しつつ, データ利用者が必要とする最低限の情報を提供可能にすることが重要である. 本研究では, サプライチェーンなど企業間データ交換を対象に, 再識別性（個人または企業を特定できる可能性）と情報漏洩時の影響度を考慮した匿名化方式を提案する. 提案方式では, LLM（大規模言語モデル）を活用し, 匿名化手法の選択や評価を自動化することで, 従来のプログラム開発負荷を軽減する. また, 企業の機密データの処理はPrivate LLMで, 高度な推論能力と性能が求められる処理は, ChatGPTやGeminiなどのPublic LLMで行うハイブリッド構成を採用し, 情報漏洩リスクを低減する.

Web トラフィック難読化において，高い匿名性と実用的な通信オーバヘッドを両立する方式として Palette が知られている．一方で，Palette は同値類のサイズのみを保証する k-匿名性 に基づく防御方式であり，クラスタ内部の意味的多様性までは考慮されていない．そのため，クラスタが特定された場合，サイトカテゴリなどの高次属性が推定されてしまう カテゴリ漏えい の可能性が残る．本稿ではこの問題に対処するため，Palette を l-diversity の概念に基づいて拡張した L-Palette を提案する．

機械学習モデルに対するメンバーシップ推論攻撃は、攻撃者が訓練済みの機械学習データの応答から、特定のデータが訓練データに含まれるかどうかを推測する攻撃である。2022年にCarliniらが提案した複数のシャドウモデルを用いた尤度比攻撃(LiRA)は、低い偽陽性率において極めて高い攻撃成功率を示し、新しい評価軸も提案した。また、学習プロセスに差分プライバシーを用いるDP-SGDがMIAに対して安全であることを明示した。一方、近年データプライバシを実現するデータも提案されており、fully-private data、label-only-private data、data-only-private dataが提案されている。これらのデータの構成によるMIAの有効性について検証されていない。本研究では、Fashion-MNISTとRF及びCNNを用いて、これらのデータに対するMIAの有効性を検証する。

k-Anonymity has been widely studied as a mechanism to protect private information, especially in the context of micro-data publishing. However, due to numerous available variations of k-anonymization algorithms, it is difficult for practitioners to decide the suitable algorithm for their purposes. In this manner, our work aims at systematically identifying the pros and cons of various k-anonymization algorithms, thus providing comprehensive guidelines on their usage. This paper presents a preliminary experimental evaluation of several k-anonymization algorithms in terms of data utility, influence on classification results, and vulnerability to distance-based membership inference attacks. The evaluated algorithms are categorized into generalization-, clustering- and probabilistic-based with respect to their approaches. The results show that clustering-based algorithms consistently provide comparable classification results to the original sample data, and stronger privacy protection against the evaluated attacking method.

デジタルアイデンティティウォレットの議論が進み，クレデンシャルの匿名化や仮名化に加え，不正な複製を防ぐためのデバイス固定という特性が注目されている．デバイスへの固定は，デバイスの公開鍵をクレデンシャルに記載し，提示時に同デバイスの秘密鍵による署名を義務付けることで実現される．ここで秘密鍵が安全領域に存在し複製不能であることを確認するために鍵アテステーションという仕組みが必要だが，多くは X.509 証明書を利用するためデバイス固有情報の開示が避けられないという課題があった．本研究では，デバイス公開鍵を仮名化した上で既存の鍵アテステーションのエビデンス情報を，その検証可能性を保ったままゼロ知識証明によって変換する仮名鍵アテステーションを提案する．Android Key Attestation で用いられる実際の X.509 証明書チェーンを対象とした試験実装を行った結果，ECDSA P-384 署名と SHA-384 ハッシュを含む 4 段の証明書チェーンに対しても，スマートフォン上で平均 25.95 秒での証明生成が可能であることを確認した．

Anonymous Credentials (AC) は，証明者が自身の属性情報の一部のみを選択的に開示できる技術である．とりわけBBS署名を用いたACは，効率的な証明生成・検証が可能であり，標準化も進められている．さらに，発行元自体を秘匿した提示と検証を行うIssuer-Hiding ACの研究も進められている．その中で，Bobolzらは，検証者が自身の信頼する発行元の公開鍵に対して署名を与えることで，効率的にIssuer-Hiding ACを実現する構成を提案した．しかし，この手法は標準化が進んでいないStructure-preserving署名に依存しており，実用化には課題がある．そこで本稿では，Certified Key Modelを仮定して構成の安全性をBBS署名のEUF-CMA安全性に帰着させ，かつ効率的な証明生成・検証が可能なシグマプロトコルを適用できる提示プロトコルを構成することで，Bobolzらの構成をBBS署名で具体化可能であることを示す．

IDの自己主権化Self-Sovereign Identity（SSI）の普及に向け，Verifiable Data Registry（VDR）の重要性が高まっている．特に一組織で運用できる軽量VDR（例：did:web）はブロックチェーンを用いないため導入が容易である一方，運用者による改ざんや削除に対する検知手段を欠いている．本研究では，TLS2VCの手法をベースとし，集権的なVDRに対しても分散信頼に基づく検証可能性を実現するVDR-Proofを提案する．VDRユーザ自身が分散Notaryとして機能し，VRFベースの選出とMutual-consistency verificationにより，VDR運用者と独立した外部コンセンサスを構築する．提案プロトコルの安全性を形式的に証明し，想定条件の下で必要Notary数を$k=19$に削減できることを示した．プロトタイプ実装により，Notaryでの証明，Verifierの検証時間ともに十分に軽量であることを確認した．結果として，ブロックチェーン維持コストを要さずに改ざん検知可能な軽量VDRを実現する．

リモート署名は、特にセキュリティと利便性の両立を目指して設計された技術であり、分散型システムやクラウドベースの環境で利用されている。リモート署名ではサーバー（リモート署名サービス）が秘密鍵を安全に保持、管理し、署名を行いたいユーザーがリモートで署名をリクエストする仕組みを採用している。リモート署名は、秘密鍵がセキュアな環境内で管理されるため、鍵漏洩リスクを大幅に軽減する利点がある。また、ユーザーがどのデバイスからでも署名をリクエストできるため、モバイル環境や分散型ネットワークでの利便性が向上する。このような利点があるものの、リモート署名では秘密鍵がリモートサーバーに依存することに基づく課題が存在する。本論文では、これらの課題の解決を念頭に、リモート署名と、秘密鍵の自己管理が課題となっている、DID（分散型識別子）のシステムを統合させた構成方法について検討を行う。

近年, 本人が保持する資格情報から必要最小限の属性のみを開示可能な選択的開示は, Verifiable Credentials (VC) における重要な要素として注目されている. しかし, これらの技術が一般市民に広く受容され, 日常的に利用されるためには, 暗号技術の高度性だけでなく, ユーザーが理解できるUI/UXの設計が不可欠である. 本研究では, 将来的なデジタルアイデンティティウォレット (DIW) の社会実装を見据え, 選択的開示に対応した複数のUIパターンのプロトタイプを構築し, ユーザビリティ評価を目的とする半構造化インタビューを実施した. 調査では, 参加者に想定シナリオに基づく操作体験を行ってもらい, 選択的開示の理解度や各UIごとの受容性を検証した. その結果, DIWや選択的開示の概念の理解は得られやすかったものの, 効率性を重視して即時にタップ操作を行う傾向も見られた. これらの知見から, 選択的開示の普及においては, 理解容易性と操作負荷の最適化を両立するUI設計が鍵であることが示唆される.

マイナンバーカードのICチップに格納された公的個人認証サービスの署名用電子証明書には氏名・住所・生年月日・性別の基本4情報が含まれる。身元確認では通常これら全てを一括開示するが、必要な属性のみを選択的に開示できればプライバシー保護と多様なユースケースが期待できる。選択的属性開示を実現する方式としてBBS署名などが提案されているものの、RSA署名を前提としている現行のカードへ適用するためにはICチップ規格や鍵管理運用の変更を要することになり、実現は難しい。本研究はRSA署名に基づく既存のPKI基盤を変更せずにzk-SNARKsを用いてX.509証明書に対する選択的属性開示を実現するプロトコルを提案する。本手法では利用者は証明書そのものを提示することなく、当該証明書が正規の認証局から署名された真正なものであること、および基本4情報を含む特定の属性値が所与の条件を満たすことを証明する。ゼロ知識証明の回路をNoir言語を用いて実装し、マイナンバーカードを模した証明書を活用し実行時間を評価するとともに、X.509証明書のパース手法について回路構成の異なる複数方式を設計し、比較検討する。

検証可能クレデンシャル（Verifiable Credential, VC）においては、秘密鍵による保有者バインディングが重要であるが、その秘密鍵をどのデバイスで安全に管理するかが大きな課題となっている。本稿では、既存のICカードが備える署名機能を利用し、連結不可能性を維持したまま選択開示を実現できるVC方式を提案する。本方式により、利用者はICカードを保有していれば、スマートフォンからでもPCからでも同一のアイデンティティを安全に証明できる。また、既存の資格証明書をVCとして発行することで、追加のICカード発行コストをかけることなく、各国で普及しているナショナルIDカード基盤をそのまま活用できる。さらに、2014年から運用されているHPKIシステムについても、既発行のマイナンバーカードを活用すれば、新たなICカードを発行することなく本方式を適用できることを示す

銀行口座の不正利用事案は後を絶たず、金融機関は口座開設時に厳格な審査を行っているものの、審査を通過した正規口座が第三者により犯罪収益の集金に流用される例が報告されている。本稿では、このような流用が可能となる要因の一つとして、現行の銀行口座番号体系が「口座番号を知っていれば誰でも振り込み可能である」という構造に依存している点に着目する。そこで、口座番号を送金者情報と結びつけて発行する送金者指定口座番号スキームを提案する。本スキームに必要なセキュリティ要件を整理し、暗号技術を用いた実現方式を示すとともに、既存の銀行実務との適合性および社会的導入の可能性について議論する。

HCTR+は2025年に提案されたTweakableワイドブロック暗号方式である．PHASH+/ZHASH+によるユニバーサルハッシュ関数と3ラウンドLuby-Rackoff構造を用いることで，高速に動作する．また安全性について，Tweak再利用時にも古典的に高い安全性が証明されている．一方，量子モデル下での安全性は十分に検討されていない．本論文では，HCTR+に対してSimonのアルゴルズムを用いた量子識別攻撃を示す．また，HCTR+内のハッシュ関数に対して，Linearization Attackにより衝突を起こすことで，量子偽造攻撃及び量子平文回復攻撃ができることを示す．

暗号化方式に対して量子アルゴリズムを実行するためには，対象となるオラクルを量子回路として実装し，そのコストを検討する必要がある．しかし，暗号化オラクルを量子回路で実現する際には，多数の量子ゲートおよび量子ビットを要し，実装コストの削減が重要な課題である．また，量子ゲートの中でも高コストとされるTゲートについては，その深さ（T-depth）や使用数を可能な限り削減することが求められている．本論文では，軽量暗号TWINEのS-boxの量子回路実装に着目し，T-depthを2に削減した実装方法を新たに提案する．

近年、量子計算機の開発が活発に進められている。開発が進展している方式の一つにアニーリング方式があり、組合せ最適化問題を解くのに適している。実機では2020年9月に提供開始されたD-Wave Advantageシステムでは約5000量子ビットを利用できる。アニーリング方式では解きたい問題をQUBO（2値2次最適化問題）として定式化する必要がある。本研究では、まず、共通鍵ブロック暗号SIMONの4つのバージョンについて、全段及び段数を縮小した場合の鍵回復問題をQUBOとして定式化し、量子ビット数に相当する変数の個数等を見積った。次に、定式化したQUBOについて量子アニーリングシミュレータを用いた計算機実験を行い、SIMONの段数を何段まで縮小した場合に鍵回復が可能となるかを確認した。その結果、SIMON32/64では、2対の平文-暗号文を用いる場合、9440個の変数により鍵回復問題をQUBOとして定式化できることがわかった。また、実際にシミュレータで鍵回復できた段数は、SIMONの提案論文において示されている段数より大幅に小さいという結果となった。

SANDはChenらによって提案されたAND-RX型軽量ブロック暗号である．SANDは構造の違いからSAND-64，SAND-128の2種類が存在する．本稿では，SATソルバーを用いてSAND-128に対する差分識別子の探索を行い，確率$2^{-120}$で成立する19段の差分識別子が存在することを明らかにする．

OCBやXTSなど効率的な暗号利用モードの設計では、ガロア体上の所謂2倍算が頻繁に用いられる。一方インテル/AMDのCPUでは128 bitシフト命令がないなどの理由で、2倍算の実装は比較的複雑である。近年のAES命令の高速化に伴い、2倍算のコストは無視できないものとなっている。この問題は従来より指摘があるものの、改良の取り組みは少ない。我々はメモリ使用量を抑えつつ高速な2倍算相当の処理を検討しその結果を報告する。

ベクトル値ブール関数は有限体上のベクトル空間の間の写像であり，ブロック暗号のSボックスなど共通鍵暗号の中核部品として広く用いられている．拡大アフィン同値とは，入出力にアフィン変換を施しても暗号学的性質が保存されることに基づく同値関係である．本研究では，ベクトル値関数のほぼ全てが非自明な拡大アフィン対称性を持たないことを証明する．この結果から，拡大アフィン同値類の個数が「全関数の個数を群の位数で割った値」という素朴な推定値に漸近的に一致することが示される．これは，暗号学的に本質的に異なる関数がどれだけ存在するかという問いに対する解答を与える．また，ランダムに選んだ2つの関数が同値となる確率の評価も得られ，暗号プリミティブ設計においてランダムサンプリングが有効であることが理論的に裏付けられる．

Design 32-bit Lightweight Block Cipher Algorithm (DLBCA)は2017年にS.AlDabbaghによって提案されたブロック長32ビット、鍵長80ビット、段数15段の軽量ブロック暗号である。提案者または第三者による線形攻撃は確認できなかった。よって、本稿では軽量ブロック暗号DLBCAに対する線形特性をSMTソルバーの1つであるSTPを用いて探索し、その結果を示す。加えて、発見した線形特性を利用することによりフルラウンド15段中の9段を平文-暗号文組数2^28、暗号化計算量2^56.67で解読できることを示した。

Lesamnta-LW は, ISO/IEC 29192-5 において標準化されている軽量ハッシュ関数であり，AES ベースのブロック暗号 ( Lesamnta-LW-BC) を 用いて構成されている．既存の第三者評価は内部ブロック暗号 Lesamnta-LW-BC に対する積分攻撃・不可能差分攻撃に限られており，ハッシュ関数全体に対する衝突攻撃を評価した研究は知られていない．本研究では，差分と値を同時に扱うビットレベルのSAT モデルを用いて，ラウンド関数を縮小した Merkle–Damg˚ard 構成の 2 ブロック Lesamnta-LW を対象に，collision および semi-free-start 条件の下で実際に衝突を生じる入出力ペアを探索した．その結果，2 ブロック Lesamnta-LW に対して，collision 条件では 5 ラウンド，semi-free-start 条件では 6 ラウンドの実衝突例を初めて実証する．

SHA-1およびSHA-256に対する衝突攻撃は過去20年以上にわたり研究されているが，これらのハッシュ関数を用いたHMACに対する偽造攻撃の進展は，攻撃条件の違いにより限定的である．本稿では，偽造攻撃に特化したSHA-1およびSHA-256の差分特性を効率的に探索する手法を提案する．さらに，より偽造攻撃に適した特性を抽出するため，signed差分とXOR差分を同時に評価する新たな評価モデルを導入する．この評価モデルの基本的な考え方は，XOR差分の情報をsigned差分へ部分的に組み込むことである．その結果，HMAC-SHA-1およびHMAC-SHA-256に対して，それぞれ48ステップおよび24ステップの存在的偽造攻撃を示す．

Enocoro-128v2は2010年に渡辺らによって提案されたストリーム暗号向けの疑似乱数生成器である．秘密鍵128ビット及び初期ベクトル64ビットを入力とし，初期化フェーズでは内部状態設定後に状態更新関数を96回適用する．これまでに，安全性評価の一環として，Enocoro-128v2の初期化フェーズに対し，混合整数線形計画法（MILP）を用いたDivision Propertyによる伝搬評価から21段，高階差分特性を用いた22段の乱数識別攻撃が報告されている．本稿では，Enocoro-128v2の初期化フェーズに対するMILPを用いたBit-based Division Propertyによる伝搬評価について報告する．結果として，選択IV攻撃及び関連鍵攻撃の条件下において，21段の特性が得られ，既存の高階差分特性を上回るものが存在しないことがわかった．また，次数解析により，既存の高階差分特性を用いた乱数識別攻撃が23段で不能となる理論的根拠を示す．

量子コンピュータのスケーリング問題を解決するためのアプローチとして、複数の小規模な量子プロセッサを量子ネットワークで接続し、大規模な計算能力を実現する分散量子計算がある。量子準同型暗号は、暗号化された量子データに対して復号することなく量子計算を実行することを可能にする技術である。分散量子計算に量子準同型暗号を適用することで、1台の量子コンピュータでは実現が難しい大規模な量子アルゴリズムを、量子クラウド上でクライアントの入力を秘匿したまま安全に実行することが可能になる。しかし、現在提案されている方式では、クライアントは1量子ビットを生成するための量子デバイスと、量子サーバと量子ビットを送受信するための量子通信路を用意する必要がある。このため、クライアントが古典コンピュータ/古典通信路しか持たない場合はプロトコルを利用できないという課題が存在する。本研究では、こういった課題を解決するため、古典クライアント量子準同型暗号を、分散アーキテクチャ上でも利用可能になるように拡張することで、クライアントに量子能力を要求しない分散型セキュア委任量子計算プロトコルを構築する。

量子サーバーを用い古典の暗号文（RSA/ElGamal）解読をおこなうサービスを考える．その際，秘匿量子依頼計算の技術を用い依頼者の送った公開鍵，暗号文を秘匿し，依頼者にも平文の情報しか伝わらないようにする．本稿では，このような暗号プロトコルの量子サーバー側に必要な操作を明らかにし必要な量子ゲート数の見積もりを行う．

Long distance quantum networks lack a secure method to revoke entanglement once a route becomes suspicious. While detection mechanisms are known for routing anomalies, no concrete discussion are knows for accountable channel termination in quantum networks. This paper studies a verification mechanism for entanglement revocation for quantum networks.

近年の量子ハードウェアの発展により、遠隔量子デバイスが所定の量子メモリを一定期間保持しているかを古典的に検証する手法が重要となっている。本研究はこの課題に対し、新しい概念 proofs of quantum memory（PoQM） を提案する。PoQM は古典確率多項式時間（PPT）の検証者と量子多項式時間（QPT)の証明者が古典チャネル上で実行する対話型プロトコルであり、proofs of quantumness (PoQ) [Brakerski,Christiano,Mahadev,Vazirani, and Vidick, JACM 2021] を一般化する。主結果は PoQM の形式的定義と LWE に基づく2構成である。一方の構成は 4 ラウンドで、LWE の準指数困難性の下でネグリジブル健全性誤りを達成し、もう一方は多項式ラウンドで、LWE の多項式困難性の下で逆多項式の健全性誤りを与える。さらに PoQM による one-way puzzles の実現、および制限付き PoQM による 量子計算・古典通信での 鍵共有の実現も示す。

Shorの量子多項式時間アルゴリズムが現代暗号に及ぼす影響を継続的に調査し， 将来予測につなげるために解決すべき直近の課題として， (1) 適切な大きさのベンチマーク問題の数が不足していること，および (2) 量子コンピュータの出力と素因数，離散対数の発見に成功したことを定量的に結びつけるための理論の未熟さが挙げられる． 本稿では上記課題に対して， 標数が2の有限体上の離散対数問題を解くShorのアルゴリズムの量子回路が任意のインスタンスに関して単純に構成できることを利用し，量子コンピュータの性能ベンチマーク問題として用いることを提案する． また，離散対数問題X^z = (X+1) in GF(2)[X]/(X^d+X+1), d=2,3 および15の素因数分解をibm_kawasakiにより解いた実験結果を報告する．

Public-key cryptosystems such as RSA rely on the practical difficulty of integer factorisation, whereas Shor's algorithm shows that this assumption could be broken by a sufficiently large and reliable quantum computer. Current noisy intermediate-scale quantum devices, however, suffer from high gate error rates, so the depth of Shor's circuit and the number of entangling gates strongly affect the quality of the output distribution obtained from quantum phase estimation (QPE). Although several Clifford+T decompositions of the Toffoli gate have been proposed, their quantitative effect on the QPE output distribution of Shor’s algorithm in noisy environments has not yet been systematically characterised. In this study, we investigate how different Toffoli decompositions influence the behaviour of QPE in a noisy implementation of Shor's factoring algorithm. Using a gate-level simulator, we compare five Clifford+T-based Toffoli implementations that share the same $T$-count but realise different trade-offs between T-depth, CNOT count, and ancilla usage. Our results indicate that CNOT-light Toffoli decompositions are preferable in noisy environments, while shallowest-T implementations perform best under per-T-layer dephasing.

量子計算機により，素因数分解問題や離散対数問題は多項式時間で解かれてしまうことが知られている．しかし，各問題のパラメータが大きいと，その問題を解くために大規模な量子回路が必要となる．特に，深さが大きい量子回路では，量子ビットのデコヒーレンスにより誤りが生じ，量子状態が崩壊し，正しく解を求めることができない．そのため，深さの浅い量子回路の設計が重要となる．本研究では，特に，量子ファンアウトゲートを使った，深さが入力ビット数に依存しない定数深さ量子回路に着目する．先行研究により，しきい値関数を計算する定数深さ量子回路が構成できること，重み付きのしきい値関数を使って，乗算を行う定数深さの古典回路を構成できることが知られている．また，素因数分解問題や離散対数問題を解く量子アルゴリズムの中で現れるべき乗剰余の計算は，乗算を用いて構成できる．これらを組み合わせることで，べき乗剰余を計算する定数深さ量子回路を構成することは理論上可能であるが，その具体的な構成は知られていない．本論文では，その具体的な構成を明らかにし，構成した回路の深さの上限について調査する．

素因数分解問題は暗号理論の安全性を支える重要な問題である. 近年, RegevはShorのアルゴリズムの$d$次元版と考えられる素因数分解量子アルゴリズムを提案した. しかし, このアルゴリズムにはShorのアルゴリズムと比較して量子ビット数が増大してしまうという課題がある. そこでRagavan-Vaikuntanathanはフィボナッチ数列を用いた可逆回路を利用して, 漸近的なゲート数を保ちつつ量子ビット数を削減した. 我々は, 可逆回路の構成にフィボナッチ数列を用いることが最適かという疑問に端を発して, トリボナッチ数列や拡張したトリボナッチ数列を用いた可逆回路を構成して量子リソースの調査を行った. 本稿では, それらフィボナッチ, トリボナッチ数列による量子べき乗計算のリソース評価について報告する.

Secure aggregation (SA) enables servers to compute the aggregate of sensitive input dataheld by multiple clients in federated learning and private analytics, while preserving privacy for eachindividual data. Early constructions, e.g., SecAgg (CCS’ 20), require multiple communication rounds,and their security relies on network topology. Recent ones, like OPA and Willow (both CRYPTO’ 25),reduce the communication to a single round (i.e., one-shot) from each client to the server, providingresilience against network asynchrony and client dropout. While these protocols rely on concretecryptographic constructions, we propose a generic framework for one-shot verifiable secure aggregation.Our construction employs seed homomorphic pseudorandom generators to mask client inputs and usethreshold additive homomorphic encryption for encrypting the seeds and allowing threshold decryption.The resulting protocol preserves one-shot communication, and the security is reduced to the propertiesof generic building blocks. Our approach enhances modularity in SA protocol design, enabling moreflexible use of existing cryptographic primitives.

ステルスアドレスの安全性向上とプライバシーの保護を目的として, Liuら (EuroS&P 2019) により公開鍵導出可能鍵隔離プライバシー保護署名 (PDPKS: Key-Insulated and Privacy-Preserving Signature Scheme with Publicly Derived Public Key) が提案されている. 本論文では, PDPKSからCCA (Chosen-Ciphertext Attack) 安全な公開鍵暗号が一般的に構成可能であることを示す. PDPKSの提案背景 (安全なステルスアドレスの構成) を鑑みるに, リンク不可能性がPDPKSの根幹となる安全性として位置づけられる. 提案構成により, PDPKSの根幹となる安全性の達成にはCCA安全な公開鍵暗号 (相当) の道具立てが本質的に必要であることを明らかにしたと言える.

Belohorecら (CRYPTO 2025) は，単変数および多変数の両方を含む KZG-like 多項式コミットメントスキームの知識健全性を ARSDH/GARSDH という falsifiable な困難性仮定を中核として，統一的に扱うフレームワークを提示した．一方で，ARSDH は検証等式の形を強く反映するよう設計されており，より抽象化された状況に対して何が本質的に困難であるかを理解することは依然として難しい．本研究では，ARSDH/GARSDH の勝利条件を有限体上多項式環におけるイデアル所属問題として再定式化する．これにより，先行研究において非自明性として与えられていた条件を，代数的条件に翻訳する．さらに，この再定式化を用いて KZG-like 多項式コミットメントスキームに対する新たな知識健全性仮定を導入し，ARSDH/GARSDH と比較してその関係性を明らかにする．加えて，AGM における仮定の困難性評価を，どこまで代数的事実に落とせるかという観点から整理し，KZG-like 多項式コミットメントスキームの新たな仮定設計と解析に向けた基盤を提供する．

Broadcast Encryption (BE) allows a sender to encrypt a message for any subset of users with a short ciphertext. However, BE requires a trusted central authority to generate all users' secret keys, which leads to the key escrow problem. Distributed Broadcast Encryption (DBE) avoids the key escrow problem by allowing users to generate their own key pairs. Yet, another drawback arises: a malicious user may generate a rogue public key and compromise the system. In this work, we first give the observation that it is impossible to define such security model in the existing DBE framework. Therefore, in order to take both the key escrow problem and rogue-key attack into consideration, we introduce the notion of broadcast encryption with interactive key generation (BEIKG), in which the keys are generated through an interactive protocol between user and a semi-honest key generation center, instead of solely the central authority/user. We then formally define the corresponding security model for each of the two aforementioned problems. Additionally, we provide a generic BEIKG construction which is based on BE and DBE scheme.

自動車に対するサイバー攻撃を検知する仕組みとして，AUTOSARが定義しているSEv(Security Event)がある．セキュリティインシデントが発生した場合は，原因究明や被害拡大防止のための手段としてデジタル・フォレンジック（DF）を用いる．本研究では，自動運転車のDFに向けたAUTOSAR SEvの提案として，外界からの情報を収集する「入口」であるセンサー及び自動運転ECUに着目し，これにISO23150:2023等を基とした新たなSEvのエラー項目を定義した．定義したSEvは，センサーの１つであるLiDARに対するサイバー攻撃を想定したシナリオをもって，有用性を評価した．結果として，センサーのSEvを定義することが自動運転車両へのDFに有効であることを確認することができた．

安全な自動運転の実現には高精度な認識技術が必要である．近年，周囲の空間の占有状況をボクセル単位で認識する Occupancy Prediction が注目を集めている．本技術は未知の障害物も表現可能であり，Teslaでの採用も進んでいる．このように，Occupancy Prediction は自動運転の中核技術となりつつあるが，そのセキュリティリスク，特に敵対的攻撃に対する耐性は未だ明らかでない．そこで本研究では，Occupancy Prediction に対する網羅的なセキュリティ評価を行う．まず初の敵対的パッチ攻撃として，検知を回避する Hiding 攻撃と誤検知を引き起こす Appearing 攻撃を提案し，脆弱性を評価した．さらに自動運転での Occupancy の利用形態を体系化し，代表例について提案攻撃が与える自動運転システムへの影響を評価した． その結果，モデル単体では Hiding 攻撃が強力だが，自動運転システム全体では Appearing 攻撃が深刻な脅威となるという，Occupancy を用いた自動運転独自のモデルとシステムの間の脆弱性のギャップを明らかにした．

本論文では, 自動運転車に搭載されたセンサが攻撃されて事故が起きたケースにおいて, フォレンジック手法を提案する. 近年の自動車にはドライブレコーダーやイベントデータレコーダ（EDR）などの記録装置が搭載されており, これらのデータはフォレンジックに利用されている. 従来研究には自動運転車におけるセンサデータのフォレンジック解析手法を提案しているものがあるが. 実用化に向けた課題がまだ残っている. そこで、我々は未解決であった攻撃検知技術との差別化の検討, 具体的なユースケースにおけるフォレンジック手法のシミュレーションを行った. その結果から, 実用化に向けた課題解決へのアプローチを提案する.

本研究では，自動車サイバーセキュリティにおける脅威分析とリスク評価（TARA）で用いられる攻撃可能性評価に対し，LLM を活用した新たな評価の枠組みを提案する．従来のTARA における攻撃可能性の5 因子（RT，EX，KI，OP，EQ）は，基準の曖昧さや分析者依存性により，再現性と客観性が十分に確保されていないという課題がある．本研究では，LLM に脅威シナリオを与えて攻撃可能性スコアとその説明理由を生成させ，スコアの信頼性を評価する3 指標（スコアの再現性・スコア間の整合性・専門家スコアとの相関性）と，説明理由の妥当性を評価する2 指標（説明の適合性・説明の具体性）からなる5 指標を提案する．6 つの脅威シナリオを対象とした実験の結果，LLM のモデル更新によってスコアの安定性と説明の適合性が向上する一方，専門性や攻撃機会の推定には依然として不安定さが残ることが明らかになった．本手法により，従来は定量化が困難であった攻撃可能性評価の曖昧性や説明の妥当性を客観的に分析するための基盤を提供する．

自動車セキュリティにおけるセキュリティインテリジェンス生成では，LLMのハルシネーションが重大なリスクとなる．本研究はブラックボックスLLMに適用でき，少ないクエリ回数でハルシネーションを検知する多角的クエリを用いた手法を提案する．検証元クエリに対して言い換えクエリ（パラフレーズ）や逆クエリ（応答から元の問いを推定）を生成し，応答間の整合性をベクトル距離，又はLLM判定で評価する．gpt-oss:20bをLLMに用いた実験では，AUC-PRで「パラフレーズ×LLM判定」を用いた提案手法が従来手法SelfCheckGPTを上回り，高精度を示した．トークンベースのコスト試算では，複数サンプル生成を前提とする従来手法に比べてトークン消費を大幅に削減できることを示した．提案手法はブラックボックス適用性とコスト効率を両立し，LLMを用いた自動車セキュリティインテリジェンスの信頼性向上に資する．

Vehicle-to-Everything (V2X) 通信は自動運転の安全性を向上させる一方，サイバー攻撃による新たなリスクも招く．既存の V2X セキュリティ研究は主に通信品質などのコンポーネントレベルの評価に留まり，実際の車両挙動といったシステムレベルへの影響は十分に解明されていない．また，V2X に対する攻撃が自動運転システムに対して与える影響評価をシステムレベルで行うことのできるシミュレータも存在しない．本研究ではこの課題を解決するため，フルスタック自動運転システムとV2Xユースケース，敵対的攻撃のシミュレーションを統合した新たなフレームワーク「V2X-SAFE」を提案する．本フレームワークを用い，代表的なユースケースにおいて攻撃の影響を評価した結果，物体検出率のようなコンポーネントレベルの性能と，衝突率のようなシステムレベルの危険性の間に明確な乖離が存在することを実証した．この結果は，従来の単一指標による評価では V2X のセキュリティリスクを正確に把握できないことを示しており，車両制御を含めたシステムレベルでの包括的なセキュリティ評価の重要性を強く裏付けるものである．

自動運転車におけるAI/ML技術の利用や、重要インフラの制御システムにおけるAI/ML利用等、セーフティーに関わる場面でのAI/ML利用における品質の保証(Assurance)の仕方を検討する場面が増えている。セーフティや品質に関わる規格として，自動車分野のAI機能安全規格であるISO/PAS 8800や，AI分野一般のデータ品質管理の規格であるISO/IEC 5259等がある。これらをうまく組み合わせることによって、AI/ML利用システムの品質保証を達成する必要がある。本稿では，これらの規格を中心に，AIセキュリティとの関連と技術的課題について考察する．

安全な自動運転に必要な信号機認識は，現在では深層学習モデルを用いた実装が主流となっている．信号機認識に対する敵対的攻撃の研究の多くは色識別を対象としており，検出モデルそのものに対する敵対的パッチ攻撃は未検証であった．そこで本研究では，信号機検出モデルに対して信号機の検出を妨害する敵対的パッチ攻撃（THA）を提案する．THA は，信号機周辺に配置した敵対的パッチにより検出モデルの出力を抑制し，信号機を「消失」させることで，交差点への誤侵入や急停止を引き起こすものである．提案手法では，信号機の信頼値を最小化する損失関数に全変動損失を組み合わせ，さらにExpectation Over Transformationを適用することで実環境にロバストなパッチを生成する．本研究ではパッチ配置位置の網羅的検証も行い，2枚配置では上下，1枚配置では左側が最も効果的であることを発見した．デジタル環境では最大で攻撃成功率98.4%を達成し，実世界環境においても信号機模型に対して最大100%の攻撃成功率を達成した．以上の結果により， THA が信号機認識に対して現実的な脅威となりうることを実証した．

人物認識システムは自動運転技術などで広範に利用されているが，敵対的攻撃への脆弱性が課題である．特に，対象物体への接触を必要としないリモートパッチ攻撃は，攻撃の実行容易性が高く現実的な脅威となり得る．しかし，既存の汎用的なパッチは環境コンテキストを考慮しておらず，違和感により発見されやすい．本研究では，周辺環境に溶け込む「敵対的背景」がもたらす脅威の実用性を評価する．シミュレータを用いて特定の走行シーンに最適化することで，看板や落書きのように環境へ自然に溶け込ませつつ，攻撃性能を維持可能か検証した．さらに，特定シーンの走行動画を利用した最適化において，対象が小さく映るシーンにデータが偏る課題に対し，「見かけの大きさ」が異なるデータを均等に取得できるよう，距離に応じて学習頻度を調整する「等倍率サンプリング」を導入した．実験の結果，提案手法は従来手法と比較して攻撃成功率（ASR）を最大26ポイント増加させ，距離変化に対する高いロバスト性を示した．

In this paper, we present a security testing framework and hardware testbed for Clock Extension Peripheral Interface (CXPI). We simulate in-vehicle network for climate control in which temperature data is sensed, transmitted, and displayed. The three nodes in our network represent roles involved in CXPI communication: master node, slave node, attacker node. Each node has a microcontroller and a transceiver. We focus on data link and physical layers, responsible for waveform generation, frame formatting, clock synchronization, arbitration, and collision resolution. We examine CXPI behavior in normal operating conditions and we perform experiments with frame injection, response frame collision, and signal interference. Our results show that once an attacker physically connects to the bus, arbitration can be exploited to prevent response frames from gaining bus access. Also, bus signal interference caused by two clock signals can disrupt communication and make the network inoperable. We find that while CXPI improves over LIN due to pulse width modulation combining clock and data signals, and enhanced frame structure and error detection, CXPI remains vulnerable to attacks similarly observed in CAN due to protocol misuse and lack of message authentication and bus traffic encryption.

オンラインサービスへの不正アクセス対策として、多要素認証の導入が進められている。一方で、ワンタイムパスワード等の追加操作はユーザビリティを低下させる要因となる。その解決策としてフリック入力を用いた認証が研究されている。しかし、先行研究は登録・認証フェーズの姿勢が同一であることを前提としており、実環境においてユーザー姿勢（立位・座位など）は認証のたびに変動するため、姿勢の変化に対するロバスト性の確保が求められる。そこで本研究では、登録・認証フェーズでユーザーの姿勢が異なる場合にもロバストな認証モデルを構築することを目的とする。具体的には、複数の姿勢条件で取得したセンサーデータを用いて学習を行うことで、姿勢変動に依存しない認証モデルを構築する。本手法において使用する姿勢条件の組み合わせを最適化するため、被験者6名から収集したデータに対し、全ての姿勢組み合わせにおける認証精度を網羅的に評価した。その結果、単一の姿勢条件で登録する従来手法を上回る、被験者共通の最適組み合わせを特定した。この最適な姿勢条件に基づいてセンサーデータを学習する提案手法を従来手法と比較し、提案手法の有効性を報告する。

本発表では，非接触ウェアラブル心拍センサによる認証システムを試作し，評価した結果を報告する．我々が開発する同センサは，心拍に伴う胸壁の変位による近傍電磁界の変化を，小型アンテナの入力インピーダンス変化として取得することで，ウェアラブルセンサでありながら肌に接触せず衣服上から心拍を計測することができる．同センサで計測される信号には個人差の存在が示唆されており，ユーザに対する制限の少ない認証システムが実現できる可能性がある．一方，同信号において，極大小値のような基準となる形状的特徴やその処理方法は確立されていない．したがって，本研究では制限の少ないかつ高精度な認証システムの実現を目的として，非接触ウェアラブル心拍センサを用いた認証システムを試作し，形状的特徴を考慮せず適用可能な信号処理方法の組合せにより，認証精度を評価する．実験により，参加者22名から安静時，発話時，打鍵時の3条件のもと計測を行った．続いて，複数の信号分割や特徴抽出方法，機械学習モデルを同信号に適用して比較し，高い認証精度が得られる組合せを調査した．

現在，スマートフォンの世帯保有率は高い水準に達している．スマートフォン内に保存された重要情報を保護するためには，画面ロックによる認証が有効であり，パスワード認証，PIN認証，顔認証，指紋認証などが広く利用されている．しかし，これらの手法には，背後からの覗き見によって第三者に認証情報を知られる危険性や，自撮り写真などから生体情報を読み取られる可能性が指摘される．このような問題の解決策として，特定のリズムやタイミングのパターンを入力するリズム認証が研究されているが，従来の研究ではリズムの記憶が必須であり，認証に用いるリズムを忘れた場合には認証が困難になる．そこで本研究では，音楽ゲームで用いられる入力のタイミングを示すノーツを活用し，リズムの記憶を必要としない新たなリズム認証手法を提案し，精度評価を行う．また，使用するノーツの種類が認証精度へ及ぼす影響についても評価・考察を行う．

スマートスピーカーなどの音声操作システムに対する録音再生音声によるなりすまし攻撃の検出では，マルチチャネル情報の活用が重要である．ReMASC は，異なるマイクアレイ形状を備えた複数の収録機器で作成された，唯一の大規模マルチチャネル録音再生攻撃コーパスであり，機器構成の違いによる検出性能の比較を可能にする．しかし，収録機器間で収録条件の構成比率が一致していないため公平な比較ができないこと，また，既存サブセットでは話者以外の条件が既知であるため，各収録条件が性能に与える影響を独立に分析できないことが課題である．本研究では，これらの課題を解決するため，収録機器間で収録条件の構成比率を統一するデータクリーニングと，任意の収録条件を既知・未知として制御可能なサブセット分割手法を導入し，ReMASC を再設計した．さらに，再設計したデータ分割に基づいて実験を行い，個々の収録条件および機器構成の違いが検出精度に与える影響を定量的に評価可能であることを示した．

VR（仮想現実）の研究開発が進展し，その実利用が進む中，行動に係るデータを用いた行動認証の取り組みがなされている．本論文は，VRと行動認証の関係について実験結果を踏まえて考察を行う．本論文では、VR環境での人物識別を目的とし，方向転換を含む歩行動作（直線歩行および曲線歩行）をタスクに採用する．VR機器のセンサに加え，足の動きを詳細に捉えるインソール型フットセンサも併用し，VR装着時と非装着時の識別性能を比較する．また，歩行状態を考慮しない場合の識別性能と，歩行状態を識別した上で行う段階的識別の性能についても比較した．

顔認証システムは，姿勢や照明の変化，撮影時のブレなどに対してロバストに設計されているため，登録者の顔写真が提示されると，それを登録者として認証してしまう可能性がある．このようななりすまし攻撃を防ぐためには，顔認証の前になりすまし攻撃を検知する必要がある．本物の顔画像となりすまし攻撃の顔画像との間には，紙や表示デバイスの質感，奥行きなどの微細な差があるため，これらを捉えることができればなりすまし攻撃を検知することができる．本論文では，汎化性能が高い画像特徴抽出の基盤モデルを用いたなりすまし攻撃検知手法を提案する．未知のなりすまし攻撃に対するロバスト性を向上させるために，ViT のアーキテクチャと汎化性能の高い初期パラメータを有する DINOv2 を用いる．その中でも，重要かつ微細な特徴に集中した特徴抽出を行うために，Register Token を導入した DINOv2 を用いる．未知のなりすまし攻撃に対する検知精度を向上させるために，データ拡張 FAS-Aug と PDA，および損失関数 APL を導入する．大規模データセットを用いた性能評価実験を通して提案手法の有効性を示す．

耳介認証は耳形状の個人差と形状の安定性から信頼性の高い生体認証として期待される．しかし外耳道や外輪内側の複雑な構造により照明条件の変動で局所的な陰影が大きく変化し特徴量が不安定になる．従来のガンマ補正のような全体的な照度補正は耳の暗部変動を考慮するのが難しく，学習ベースの改善手法は計算コストの点でデータ拡張には適さない．本研究では耳部位ごとの輝度変化が類似度に与える影響を測定し，その結果に基づき画素ごとの補正の望ましさを表す学習マップを設計する．さらに明るさや暗チャンネルなどの局所特徴から学習マップ値を推定する重みを学習し，重みに応じて画素単位でガンマ補正量を変化させる軽量なデータ拡張手法を提案する．元画像一枚から複数枚を生成する条件で一様なガンマ補正と比較し，認証性能への効果を評価する．

顔認証の社会的利用が広がり，旅券発給やオンライン本人確認などで活用が進んでいる．一方，旅券や身分証に用いられる顔画像を複数人物の特徴で合成し，攻撃者と共犯者の双方を同一人物として認証させるモーフ攻撃が報告され，本人確認基盤に対する深刻な脅威となる．モーフ攻撃検知では画像特徴に基づく分類手法が多いが，学習時とは異なるモーフ画像に対して検知性能が低下する．本研究は，テキスト空間と画像空間を最適化する手法を提案する．モーフを記述するためのテキストを四つの属性に基に構造化し，各属性に対応する特徴をテキスト空間で学習し，テキスト空間を形成する．テキスト空間で得られた属性方向とクラス方向を基準に，画像側の特徴抽出器を調整し，画像特徴がテキスト側で確立された判別方向と一致するように整合させる．テキスト表現と画像表現の両方が同一の判別構造を共有し，モーフ攻撃の特徴が一貫した形で抽出するようになる．SMDDで学習しMAD22・MorDIFFで評価した所，GAN型モーフではEER=2.92%と最良であり，MorDIFFでも上位水準の精度を維持した．本手法により，モーフ攻撃に対する検知性能の向上に寄与する．

LLMエージェントは，大規模言語モデル（LLM）を中核として複雑なタスクを自律的に遂行するシステムであり，コンピュータセキュリティの各分野でも応用が試みられている．こうした応用を自組織内で実現するには，データの機密性やコストの観点から，商用LLM APIではなくオープンLLMを用いた開発が有力な選択肢となる．近年では高性能なオープンLLMが登場しており，このような開発が現実的になった．一方で，オープンLLMによるLLMエージェント開発では，LLM本体や推論フレームワークの選定，推論高速化技術の適用，より入念なコンテキスト設計など，商用APIを用いる場合に比べて多くの検討事項が存在する．それにもかかわらず，これらの考慮事項を体系的にまとめたドキュメントは少ない．そこで本稿では，Python悪性コード解析用LLMエージェントの開発事例を通じて得られた知見をもとに，オープンLLMを用いたLLMエージェント開発のガイドをテクニカルペーパーとしてまとめる．本稿は，セキュリティ分野においてオープンLLMを活用したLLMエージェント開発に取り組む際の実用的なガイドラインとなることを目指すものである．

IoT(Internet of Things)デバイスの急速な普及に伴い，異常動作検知手法の確立が重要な課題となっている．従来の消費電力解析による異常動作検知では，OS(Operating System)やハードウェアによる定常的な消費電力とアプリケーションによる消費電力が重なり，複雑な消費電力パターンの解析が困難であった．本稿では，柔軟な推論能力を有するLLM(Large Language Model)を用いて，IoTデバイスの消費電力解析による異常動作検知手法を提案する．特に，近年推論精度向上の手法として注目されるCoT(Chain-of-Thought)を導入し，消費電力データの構造的特徴を段階的に理解させることで，ノイズの大きいデバイスにおいても安定した異常検知を可能にする．Raspberry Pi4およびUltra96-V2を用いた実験により，提案手法が従来手法では検知が困難であった異常動作を高精度に検知可能であることを確認した．

近年のIoTデバイス普及に伴い，セキュリティ強化の必要性が高まっている．日本では情報処理推進機構 (IPA)によりセキュリティ要件適合評価及びラベリング制度 (JC-STAR)が開始され，IoTデバイスのセキュリティ適合性評価とラベリングが進められている．しかし，デバイスの多様性と膨大なドキュメントにより手動評価には専門知識と多大な工数が必要であるため，評価の自動化が期待される．我々は，RAG (Retrieval-Augmented Generation)とLLMを用いた自動評価手法を提案しているが，単一のLLMではモデル特性に依存した精度のばらつきが課題であった．そこで本稿では，複数のLLMの判定を統合するアンサンブル方式を導入し，精度と安定性の向上を図る．3種類のデバイスを用いた実験の結果，提案手法は全デバイスでFN・FPを大幅に削減し，最良のケースではFN・FPがゼロを達成した．また，約4,200ページのドキュメントにもとづく適合性評価でもAccuracyが0.938，F-measureが0.927となることを確認した．

近年，大規模言語モデル（LLM）は自然言語を対象としたタスクで卓越した性能を示す一方，サイバーセキュリティ領域において頻繁に扱われる実行ファイル等のバイナリデータへの直接的な適用は未だ限定的である．逆アセンブリの静的解析に焦点を当てると，アセンブリは情報密度が低く，長い依存関係を有するという特性がある．そのため，そのままLLMにアセンブリを適用させると，コードとデータ間の相互作用によって生じる実行時挙動を十分に捉えきれず，表層的な解析に留まってしまうという課題がある．また，LLMの扱えるコンテキスト長が有限であることから，対象コード・データ全体を一括して入力することは現実的に不可能である．本研究では，「コード＋データ」のハイブリッド情報が解析成功に不可欠であることを示すため，解析初期段階でハイブリッド情報が必須となる試験用プログラムを準備し，簡易的な実験を行った．試作したAIエージェントでは，コンテキストに必要最小限の情報を段階的に提示することで，限られたコンテキスト長でも試験用プログラムの解析に成功することを確認した．

本稿では，工場設備向けのオンデバイス学習異常検知エッジAIについて検討する．本システムは，設備の振動をMEMS加速度センサで観測し，軽量なオートエンコーダによって学習・推論を行う．また，コンセプトドリフト検知アルゴリズムによって現場環境の変動を検出し，追加学習をすることで推論精度を維持することができる．一方で，本エッジAIにはデータポイズニング攻撃のリスクがある．我々は過去に，音波照射によってMEMS加速度センサの観測データを改ざんし，偽のコンセプトドリフトを誘発させることで，異常検知を無効化する攻撃に成功したことを報告した．本稿ではサーバ支援型検証を用いた対策手法を提案する．従来システムでは，追加学習のトリガがコンセプトドリフト検知のみであったのに対し，提案手法では，同一環境に導入された複数の異常検知器および設備からの情報をサーバへ集約し，コンセプトドリフトの正当性が確認できた場合にのみ学習許可を出す．我々は本システムを実装し，実験によってその有効性を実証した．

GraphRAGは，知識グラフを活用することで，従来のRAGよりも高度な推論と根拠追跡が可能であるとして，最近注目されている．一方で，RAGと同様に，意図しない情報漏洩等のセキュリティ・プライバシー課題を抱えている．この解決策として，従来のRAGでは，関連文書のベクトル検索過程に差分プライバシーを適用する手法が提案されてきた．この従来手法をGraphRAG特有の構造的な文書検索にそのまま適用すると，差分プライバシーに基づくノイズが過大となり回答性能が著しく劣化するという課題に直面する．これまで，GraphRAGへの差分プライバシー適用手法やそのプライバシー保護と実用性のトレードオフに関する研究は存在しない．本稿では，GraphRAGへの差分プライバシーとトレードオフの最適化を目的に，知識グラフの近傍情報を用いたスコア平滑化と差分プライバシーを統合した新たな手法DP-GraphRAGを提案する．DP-GraphRAGは，ノイズ耐性を向上させた上で指数メカニズムによる厳密な差分プライバシー保証を適用する．大規模な実験評価の結果，提案手法は，プライバシーと実用性のトレードオフ曲線を改善した．

RAG（Retrieval Augmented Generation，検索拡張生成）は，大規模言語モデル（LLM）が外部のデータベースから関連情報を検索・参照して回答を生成し，知識の更新や正確性を補完する技術である．その中でもGraphRAGは，データベースを知識グラフとして構造化し，データ間の複雑な関係性や全体像を考慮した包括的な回答生成を可能にする技術である．一方で，この構造的特徴は従来のRAGとは異なるプライバシーリスクを孕んでいる．先行研究ではGraphRAGに対するデータ抽出攻撃が提案されているが，攻撃クエリに特異な命令が含まれるため，防御システムによる検知が容易であるという課題があった．本稿では，よりステルス性の高い，知識グラフ内のエンティティ間の関係性に対するメンバーシップ推論攻撃を提案する．提案手法は，自然な質問文に対する回答の具体性の差異を利用することで，一般的な検索を装いつつ，特定の機密な関係性がデータベース内に存在するかを推論する．

近年、大規模言語モデル（LLM）の性能向上により、チャットボットや文章作成支援など、多岐にわたる分野での活用が急速に進んでいる。しかし、その普及に伴い、LLMのセキュリティ上の脆弱性が課題となっている。特に深刻なのがプロンプトインジェクション攻撃である。これは、ユーザが悪意ある入力を与えることで、開発者が設定した安全装置や指示を無視させ、本来出力すべきでない有害な情報を生成させる攻撃手法である。この攻撃に対し様々な対策手法が存在するが、単体で複数種類の攻撃に対応できるものはない。本研究ではStruQとよばれる、通常のプロンプト攻撃（システム指示部分とユーザ入力部分が明確に区別された攻撃）には強いがGCG攻撃（区別が難しくなる攻撃）には耐性が低い対策手法に対し、GCG攻撃耐性が比較的高いErase＆Checkという対策手法を組み合わせることでGCG攻撃の検知力向上を試みた。実験の結果、Erase＆Check単体よりも高い防御率を達成した。

LLMの社会実装が進む中，有害出力を抑制する安全性アライメントの確立が重要となっている．近年，安定かつ効率的な学習手法としてDPOが注目されているが，学習に用いるWinner/Loserの選好ペアをどのように構成すべきかは明確でない．選好ペア作成においては，生成元モデルの違いにより生じる「分布的乖離」と，Winner–Loser間の意味的距離を示す「意味的乖離」の考慮が重要である．既存研究では，分布的乖離は除去すべきノイズとされる一方，意味的乖離は制御次第で性能向上に寄与し得るとされる．しかしこの意味的乖離での知見は，分布的乖離によるノイズを含んだ実験設定に基づくため，観測された性能向上が意味的乖離のみによるものかは定かでない．本稿では，学習対象モデル自身による自己生成データのみを用いて分布的乖離を排除し，その条件下で意味的乖離の影響を評価する．その結果，有害質問への拒否率は中程度の意味的乖離で最大となり，過剰拒否の抑制には意味的乖離が大きいペアが有効と明らかになった．この結果は，LLMの安全性向上と過剰拒否抑制を効率的に達成するためのデータセット作成戦略に新たな指針を提供する．

大規模言語モデル（LLM）が急速な発展を見せる昨今，事業者が提供するLLMを用いたアプリケーションにおいて不適切な文章の生成が問題視されている．LLMやそのアプリケーションを提供する事業者は，ガードレールに代表される機能などを活用し，LLMの出力結果が利用者に対して不快な気持ちや不利益をもたらさないよう制御している．しかしながら，不快さや不利益をもたらす表現は多種多様であり，それらを予め網羅的に例示するのは難しい．そのため，データセットを学習するような従来のガードレール機能で対応するのは困難である．そこで本稿では，特に訓練データとして準備するのが難しい内容の文章をも対象とする，不適切な文章を検知するためのフレームワークを提案する．提案フレームワークでは，パーソナリティ測定モデルであるHEXACOモデルにもとづき，会話文のパーソナリティを推測する．推測されたパーソナリティにもとづき，不適切な文章かを検知する．さらに，従来手法と組み合わせるためのアンサンブルアルゴリズムを提案する．評価実験の結果，提案手法では従来手法を上回る，高い検知率を示すことを確認した．

近年，大規模言語モデル（LLM）の利活用が様々なサービスへ拡大しており，サービス特有の不適切な応答のリスク評価の必要性が高まっている．しかし，各サービスに特化したリスク評価のための質問データは不足している．そこで，本稿では LLM サービスにおける不適切な応答リスク評価のためのデータフリー質問生成手法を提案する．提案手法では効率的な質問生成のため，生成するべき質問例をフィードバックしながらプロンプト最適化を行う．最適化の過程で生成した質問データのうちLLM による判定により悪性と判定された質問をフィードバックしながら最適化を行うことで，リスク評価に有用な質問の生成を促す．また，生成の多様性を高めるために，悪性と判定された質問のうち，相対的に類似度の低い質問を生成例とする．提案手法は，最適化の過程で得られたデータを活用するため，既存データを必要とせずに，指定したトピックと応答の誘発に関する質問を効率的に生成できる．提案手法がベースライン手法と比較して，指定したトピックや応答の誘発に関する悪意のある質問データを効率的に生成可能かを評価し，その結果や課題，および今後の方向性を示す．

近年，半導体プロセスの微細化などの半導体技術向上により，集積回路(IC)の製造コストが高騰化している．その結果，IC設計企業がファウンドリにIC製造を委託するケースが増加しており，それに伴ってファウンドリによる海賊版製造などの知的財産(IP)の侵害の増加が深刻な問題になっている．本研究ではその問題の解決に向けて，組み込みプロセッサ向けIP保護手法として「Cross Precision Locking (X-PreLock)」を提案する．X-PreLockでは，プロセッサ内の演算装置の一部をeFPGAで置き換え，さらにその出力をプロセッサ内のワイヤーとシャッフルするクロスバースイッチを追加する．そして，eFPGA及びクロスバースイッチの回路構成プログラムを鍵として隠すことで，回路設計情報の保護を実現する．また，アプリケーション評価・回路評価を通して，本手法と前提案手法であるPrecision Lockingの比較を実施し，クロスバースイッチの導入によって回路出力の保護範囲が拡大すること，それに合わせて必要なeFPGAサイズを最小化し，回路面積と遅延を大幅に削減できることを実証する．

多くの企業ではIC 製造において，設計と製造を分離し製造を外部委託している．しかし，設計情報である知的財産の盗用や違法な過剰生産，非正規品の流通といったIC サプライチェーンの根幹を脅かす問題に直面している．この問題を解決するためにLogic Locking 技術が発案された．既存の回路に新たに鍵モジュールを挿入することで正しい秘密鍵が入力された場合のみ正しく回路が動作するというものである．Logic Locking 技術における安全性評価では，秘密鍵を特定されるまでの時間が重要となるが，その安全性を理論的に保証した回路設計フローの構築は現状難しいとされている．本稿では，この状況に対して暗号分野で用いられる全単射性を持つS-Box を用いて保護した回路に対してSAT 攻撃を行い，この手法がSAT 攻撃の耐性に与える影響を定量的に評価する．この評価結果は，Logic Locking 技術を用いた回路設計における新たな指標を提供し，SAT 攻撃耐性及びIC サプライチェーンの安全性の向上に寄与するものである．

ロジックロッキングは，鍵制御ゲートを導入することで集積回路の機能を難読化し，リバースエンジニアリングや知的財産（IP）窃取などから回路を保護するための手法として広く研究されている．この手法は広い範囲の回路において有効である一方，暗号回路に適用した場合には，暗号アルゴリズムレベルで新たな脆弱性となり得ることが近年指摘されている．UpadhyayaらはロックされたSPN構造の暗号回路に対して，誤ったロック鍵を使用することによって差分故障解析がより容易になることを示した．本研究ではFeistel構造の暗号としてSimeckに着目し，誤ったロック鍵が差分故障解析に対する安全性に与える影響を調査する．C言語実装に基づく実験環境を構築し，複数のロック方法の下で，鍵復元に対する耐性を評価した．結果として，Simeckにおいては誤ったロッキング鍵が故障攻撃に対する耐性を低下させることはなく，鍵復元に必要な故障回数を増加させ，攻撃を相対的に困難にすることが分かった．

ICサプライチェーンにおける信頼性確保のため，LogicLockingによる設計保護が広く用いられているが，正しいロック鍵を開示せずにデバイスの動作検証と真正性確認を同時に行う手法は十分に確立されていない．本研究では，ロック鍵とは独立に準備したテスト鍵を一時的に適用し，その動作中に得られるサイドチャネル情報とリーケージモデルとの相関を解析することで，デバイスの正常性と真正性を同時に評価する新しい検証手法を提案する．AES-128回路にXORベースのLogicLockingを施した実装を用いて検証した結果，テスト鍵適用時であっても内部計算構造が保持されるため，リーケージモデルと高い相関が得られ，正常デバイスを安定して識別できることを確認した．一方，故障注入による内部構造のわずかな破綻は相関低下として鋭敏に現れ，適切に設定した閾値により高精度に異常検出が可能であった．さらに，本検証手法の有効性は White-boxAESでのDCAに対する性質と類似しており，ハードウェア実装に限らずソフトウェア実装における機能検証や安全性評価への拡張可能性も期待できる．

本稿では，ランダム化されたキャッシュへのサイドチャネル攻撃の提案とその評価を示す．Prime+Probeを始めとする競合型キャッシュ攻撃への対策として，キャッシュへのマッピングをランダム化関数により予測困難にするキャッシュランダム化が有力視されている．しかし，ランダム化キャッシュを備えるCPUが2025年12月現在存在しない上に，ランダム化の影響を考慮したキャッシュ攻撃は具体的に検討されておらず，安全性の正確な評価が課題となっている．本稿では，ランダム化キャッシュのシミュレーションを可能とするための形式モデルを提案し，victimのデータアクセスを予測する識別ゲームを定義する．その上でランダム化キャッシュへの具体的な攻撃手法を提案し安全性評価を示す．提案攻撃ではキャッシュのデータ置き換えポリシーごとにキャッシュ状態を操作し，ランダム化されていても置き換えられるキャッシュラインを推定し，victimのアクセスデータアドレスを予測する．シミュレーションの結果から，提案攻撃はノイズ無しかつ小規模なset-associativeキャッシュでは1ビット秘密情報を確率1で予測可能なことを確認する．

フォールト攻撃は組込み機器への攻撃手法の一つであり，技術の進展と評価ツールの普及に伴い，その有効性は実製品でも確認されてきている．攻撃評価や対策検討を効率化する手段として，ソフトウェアのフォールト脆弱性を自動検出するフォールト脆弱性検出ツールが提案されている．しかし，1) 検出数が多く個別対策が困難，2) 汎用対策を施しても脆弱性が残る，という課題がある．本研究は抽出脆弱性に優先度を付与することでこれを改善することを目的とする．本稿では，新たな脆弱性評価指標としてフォールトモデル多様性と命令マージンを提案する．これらは攻撃者のフォールト制御能力と精度に基づき攻撃成立の容易さを評価する指標である．ベンチマークによる評価の結果，両指標は異なる傾向を示し，相補的に機能する可能性が示唆された．

機密情報を扱う組織には, サイバー攻撃による情報漏洩の防止に加えて, ソーシャルエンジニアリングなど人を介した情報漏洩の防止が求められる. 特に近年, HDDなどの記憶媒体の物理的窃取への対策として, 機密情報を確実に読解不能とする手法の確立が求められている. この際, 多層防御の観点から, 論理的および物理的の両面から記憶媒体を自己破壊するアプローチが重要である. しかし, 安定してHDDを自己破壊する物理的手法に関する研究は充分とはいえない. 本研究では, 我々が開発を進めている固体推進薬技術を用いた機密資産の物理的自己破壊に関する基礎検証を報告し, その実現可能性を論じる. これにより, 宇宙輸送工学, とりわけ燃焼工学という未踏領域からハードウェアセキュリティ課題に新たなアプローチを提示する.

レーザーフォルトインジェクション (LFI) は，レーザー照射により意図的にフォルトを注入する攻撃法である．LFI のレーザーステーションは一般に高価であり，潤沢な資金を持つ攻撃者のみが実行可能と考えられてきた．それに対し，安価な装置を用いた LFI の研究が進められている．そこで本論文は，宝飾加工用に安価に販売されているレーザー溶接機を LFI に転用する可能性を研究する．安価な装置で実現可能なフォルトモデルを調査するとともに，FPGA 上のソフトコアプロセッサ上で動作する AES-128 を，Persistent Fault Analysis (PFA) で解読できることを示す．

Physical Unclonable Function (PUF)のセキュリティ要件については，ISO/IEC 20897において評価指標が定義されており，PUFの信頼性や耐タンパ性を定量的に評価するための枠組みが整備されている．しかし，ISO/IEC 20897で定義されている評価指標では，PUF内部で局所的に発生する遅延の影響を十分に捉えることが難しいという特徴がある．こうした局所遅延は，PUFの出力の複雑性を低下させる可能性があり，セキュリティ上の脆弱性につながるおそれがある．そこで本稿では，PUFに発生した局所的遅延が出力に与える影響およびKolmogorov–Arnold Network (KAN)を用いた遅延箇所の特定によりPUFの遅延解析に関する考察を行う．結果として，Arbiter PUFにおける局所的遅延がモデルに与える影響をせいりし，KANの利用により多くのパターンで局所的遅延の発生箇所を特定できる可能性を示した．

本論文では，TEEにおけるモノトニックカウンタ(MC)に基づく楽観的な状態管理手法に関してセキュリティ評価を行う．本研究では，複数のファイルシステムへの書き込みを1回のMCインクリメントにまとめることを「書き込み集約」と新たに定義し，この集約によってどのようなセキュリティ上の懸念が生じるかを検討する．既存手法では，最後のファイル書き込み後からMCインクリメント完了までのウィンドウ期間を対象に対策案を提案している．本研究では，その前段階の処理であるファイルシステムへの複数の書き込み期間に着目する．実験用のアプリケーションを用いた実証評価により，集約期間中の状態のロールバックが成功することを示した．さらに，緩和策とそのパフォーマンスを分析し，楽観的バッチ処理におけるセキュリティとパフォーマンスの本質的なトレードオフを明らかにする．

近年IoT機器に固有の秘密鍵を生成する手段として，PUF (Physically Unclonable Function)のレスポンスの利用が提案されている．PUFはデバイス製造時の微小なばらつきを利用することからノイズや環境変動による誤りが生じることがあり，鍵生成のためにはPUFの誤ったレスポンスを破棄または訂正をする必要がある．本研究ではFPGA上に実装したArbiter PUFの不安定なレスポンスを検出し破棄するため，誤り判定用の追加セレクタおよび追加の判定回路を用いた手法を提案する．ノイズを考慮したArbiter PUFモデルを用いたシミュレーション結果より，提案手法を使って，不安定なレスポンスを検出しそのレスポンスに対応するチャレンジを使用しないことによってBER(Bit Error Rate)が有効に低減されることを示した．さらにFPGAでの実機実験でのシミュレーションに近い破棄率およびBERの改善傾向が実現できていることを報告する．

Trusted Execution Environment上の Trusted Application（TA）では，Normal Worldからの制御パラメータに起因する脆弱性が報告されている．先行研究のルールベース手法DITINGは，文脈理解が必要なケースで検出漏れが生じる．本研究では，TA 向け静的解析で抽出した関数チェーンを大規模言語モデル（LLM）に入力し，当該脆弱性の検出手法を提案する．シンク関数の洗い出しとテイント解析を関数単位で LLM に問い合わせることで，文脈理解を用いた脆弱性検知を実現する．実験では，PartitioningE-Benchに含まれる75個の脆弱性に対して，複数の LLM で行レベルの検出能力を評価し，コード文脈の扱いを比較した．実験の結果，LLMはDITINGに近い検出性能を維持しつつ，DITINGが苦手とする文脈依存パターンを補完することが確認された．両者の検出範囲は相補的であり，ハイブリッド運用による網羅性向上の可能性を示した．

RNS(Residue Number System)表現を用いて多倍長整数を表した上で、単一のRNS基底セットをもちいてモンゴメリ乗算を処理する方式について、実装性能を予測する。

本研究は，スマートフォンディスプレイが持つ固有のスペクトル特性を利用したQRコード認証手法（ディスプレイ認証）の精度を検証し，さらに複数波長を組み合わせた新たな条件の可能性を評価することを目的とする．ディスプレイは同一のRGB値を表示しても，機種や個体差，保護フィルムの有無により発光スペクトルが異なる．本手法では，特定ディスプレイのスペクトル特性から「スペクトル条件」を生成し，この条件に基づいてQRコードの黒・白ビットを色変換した「変換QRコード」を用いる．変換QRコードをディスプレイに表示し，ハイパースペクトルカメラで取得したスペクトルから再構成を行い，認証可否を判定する。3機種・33条件の環境で評価した結果，最適条件では本人認証成功率99％を達成した一方，他人認証成功率は最大28.7％に達し，安全性の面で改善余地があることが示された．また，RGB3波長をすべて条件化した多波長方式では1例ながら再構成に成功し，単波長条件より高精度化の可能性が示唆された。今後は条件設計の最適化と機械学習の導入により，より屈強な認証方式の構築を目指す．

無線通信機能を持つデバイスの普及に伴い，近接性を条件とする認証技術が社会に広まっている．しかし，このような短距離無線通信システムに対するリレー攻撃が深刻なセキュリティ脅威となっている．通信データを再利用して正規のデバイスになりすますリプレイ攻撃に対しては，プロトコルベースでの対策が存在するが，通信距離を偽装するリレー攻撃ではプロトコルベースによる対策だけでは実現が難しい．リレー攻撃対策の先行研究としては，たとえば，無線デバイス固有のRFフィンガープリントを深層学習で識別することが提案されている．リレー攻撃において中継機が介在すると，中継機と元のデバイスのRFフィンガープリントが重畳され，中継機の有無が識別できるとしている．そこで本稿では，BLE（Bluetooth Low Energy）デバイスに対してリレー攻撃実験を行い，リレー通信下におけるRFフィンガープリントを用いた無線デバイスの識別に関して，攻撃が可能であることを示す．また，今回得られた結果から，攻撃検知の可能性を考察する．

本稿は，国際会議 (ACM CCS 2025) で発表済みの研究成果に基づく．Deepfake 画像を防ぐことを目的として，カメラハードウェア内で撮影画像にディジタル署名を付与し，出所を保証する技術が広まりつつある．しかし，コンピュータモニタを再撮影するリキャプチャ攻撃は，そのような対策を回避する脅威となる．画像に加えて深度情報を取得できれば，現実世界のシーンとモニタ画面を区別し，リキャプチャ攻撃を防止できるものの，深度センサの追加には大きなハードウェアコストが伴う．そこで本研究では，追加センサを用いずにリキャプチャ検出を行うた め，デュアルピクセル (Dual-Pixel, DP) イメージセンサを利用する手法を提案する．DP センサは特殊な画素構造と光学系により，単一のイメージセンサからステレオ画像（DP 画像）を生成でき，ディジタルカメラやスマートフォンに広く搭載されている．提案手法では，(i) ステレオマッチングにより DP 画 像から視差マップを取得し，(ii) 平面フィッティングによってシーンの平坦度を評価することでリキャプ チャを検出する．

耐量子計算機暗号の一つである多変数多項式暗号の安全性は, 有限体上の多変数連立二次方程式の求解問題（MQ 問題）の計算困難性に基づいている. MQ問題の解の存在確率は, 多変数多項式暗号の安全性を考察するために重要な課題であるが, これまでの研究では明示的な評価が与えられていない. そこで本研究では，変数の個数n, 多項式の個数m, 要素数qの有限体上においてランダムに生成されたMQ 問題に対して, m=nのとき解の存在確率の評価を行う. 実際, 係数空間からMQ問題への線形写像の像空間を評価し, 包除原理を利用した不等式によって, 解の存在確率の下界(≈0.625)と上界(≈0.667)を導出する. また, この導出過程の議論から, MQ問題の解の個数の分布に関して, 期待値と分散がそれぞれ1と1-1/q^nを満たすことを示す. さらに, qを固定し, n, mを増加させた時に解の存在確率が1-1/e (≈0.632)に収束することも示す.

耐量子計算機暗号は米国標準技術研究所(NIST)によりディジタル署名方式の追加公募の第２ラウンドが進められており，主要な候補としてUOV系の多変数多項式署名(MAYO,QR-UOVなど)が注目されている．多変数多項式署名の安全性は，変数の個数が式の個数より大きい劣決定系の多変数多項式問題(MQ問題)の困難性に基づいている．劣決定系MQ問題を解く最も効率的なアルゴリズムとして，2023年に提案されたHashimotoの手法が知られている．Hashimotoの手法では多変数を3つのグループに分割し，より小さなMQ問題に帰着させることにより効率化を実現している．また，2024年にChenはHashimotoの手法に対し4つのグループに分割する拡張を提案した．本稿では，HashimotoやChenの手法における変数の分割グループを5個以上の一般の場合に拡張するアルゴリズムを提案し，その適用条件及び計算量の評価を与える．また，提案手法をMAYO1のパラメータに対する劣決定系MQ問題に適用したところ，計算量がHashimotoの手法より低下する分割方法が存在することを報告する．

多変数多項式系の求解は，楕円曲線暗号や耐量子計算機暗号に対する攻撃法として用いられるため，その求解計算量の評価は重要な課題である．一般に，多変数多項式系の求解計算量を精緻に評価することは非常に難しい問題であるが，入力多項式列に半正則性を仮定することで，Groebner基底計算やXLといった求解法の計算量を評価できる場合がある．また，近年では，入力多項式列の最大斉次部分に付随する先頭項イデアルの弱逆辞書式性を仮定することで，Groebner基底を高速に計算する方法も提案されている．これらの仮定は，半正則性や弱逆辞書式性などの性質がgenericに成り立つという，可換代数・代数幾何における未解決予想（Froeberg予想, Moreno-Socias予想など）に基づいている．本講演ではまず，半正則性，弱逆辞書式性，generic性などの定義や基本的な性質を整理する．その上で，パラメトリックGroebner基底の理論を応用することで，そのような未解決予想が正しいか否かの新たな判定法を与える．

耐量子計算暗号方式の一つである多変数多項式暗号は, 主に有限体上の連立二次方程式(MQ問題)の求解困難性を安全性の根拠としている. MQ問題を解く代表的な手法の一つにGröbner基底の計算があり, 問題のサイズが大きくなるにつれて, その計算に必要となる時間およびメモリ使用量が急激に増大することが知られている. また, 暗号で用いられるようなランダムな多項式系に対しては, その計算量に関する上界も既に与えられている. 本稿では, このようなランダムな多項式系に対するGröbner基底計算に着目し, その計算におけるメモリ使用量に関するある種の下界とその具体的な算出方法について議論する. 結果として, 実際の暗号で使用されるような大きなパラメータに対しても, その下界を実用的な時間で計算できるようになった.

シンドローム復号問題 (SDP)は、符号暗号の安全性の根幹を担う問題である。Information Set Decoding (ISD)は，SDPを最も効率的に解く手法として様々な研究が行われてきた。二元体上の低ハミング重みSDPに対しては、60年代のPrangeに始まり多くの研究結果が知られている。一方、体の大きさqが3以上の高ハミング重みSDPの研究は最近始まったばかりで、十分な研究がなされていない。本研究では、q≧3の高ハミング重みSDPの計算量に関する考察を行う。特にPrangeとDumerのアルゴリズムを様々な体の大きさのSDPに対して用いた時の計算量を評価し、高ハミング重みが最難となるqを数値計算により示す。また本研究では、Representation法のq元体上の高ハミング重みSDPへの適用について再考する。q元体上の高ハミング重みというパラメータ範囲においてはRepresentation法の使用がISDの計算量削減につながらないことを示す。

Code-based cryptography, which relies on the hardness of the Syndrome Decoding Problem (SDP), is one of the most promising candidates for post-quantum cryptography. The Regular Syndrome Decoding Problem (RSDP) is a variant of the SDP in which the error vector follows a specific block-wise structure. Recently, several efficient cryptographic protocols have been constructed based on the RSDP. One of the main approaches to solving the RSDP is the algebraic approach, which was first proposed by Briaud and Øygarden in 2023. Furthermore, an efficient algebraic algorithm for the RSDP, which is called the hybrid algorithm, was later proposed by Wang et al.In this work, we propose a new algebraic algorithm for the RSDP. The proposed algorithm is mainly constructed based on the structure of the hybrid algorithm, while refining the way the XL algorithm is applied. The main difference between the hybrid algorithm and the proposed one is that we allow the solving degree, which is a parameter used in the XL algorithm, to take arbitrary values. We also propose two variations in the application of the XL algorithm. Through our complexity analysis, we show that the proposed algorithm outperforms the hybrid algorithm for certain parameter settings.

筆者らはReed-Muller（RM）符号による準同型暗号を提案している．この暗号はMcEliece暗号の暗号化及び復号をもとに設計しており，RM符号の構造を利用して暗号文の加算と乗算を可能にしている．しかしながら，提案暗号の安全性を保つためには，符号長の長いRM符号を用いなければならず，暗号文や鍵サイズが大きくなる課題がある．本稿では，RM符号による準同型暗号の改良として，パンクチャド符号を用いた構成法を提案する．このパンクチャリングにより，RM符号の生成行列の列を削除し，暗号文と鍵のサイズを削減することができる．一方，パンクチャリングによって符号長と最小距離が低下するため，パンクチャ後の暗号のInformation Set Decoding攻撃の計算量を評価し，128bitセキュリティを維持しながら符号長を削減できることを示す．

Password authenticated key exchange (PAKE) protocols enable two parties to exchangea shared secret key by authenticating a possibly low entropy shared secret, the password. However,the security of many PAKEs is based on the hardness of the discrete logarithm problem and are thussusceptible to attacks with quantum computers.This problem was addressed by Eaton and Stebila (PQCrypto 2021), who introduced the “quantum-annoying” property for PAKEs. A PAKE that is quantum-annoying has the additional property, thatan adversary needs to solve the computational assumption in problem independently for every guessof the password. Specifically, Eaton and Stebila showed that the PAKE protocol “CPACE” achievesthis property against a classical adversary with access to a discrete logarithm oracle.Noticeably, the result and latter model are violated by a polynomial time quantum algorithm,who can combine the algorithms of Grover and Shor to recover the password with fewer discretelogarithm computations. We aim to make this violation explicit for existing quantum-annoying PAKEsand propose a notion of “quantum-annoyance” to quantify security against polynomial time quantumadversaries.

本研究では、格子暗号と多変数多項式暗号を統合したハイブリッド公開鍵暗号方式HMM(Hybrid Module-LWE and MQ)を提案する。HMMは、鍵復元攻撃に対してはMQ問題の困難性に依拠しつつ、平文復元攻撃に対してはModule-LWE問題に基づく構造を保持することで、両方式の特性を兼ね備えた公開鍵暗号方式である。さらに、HMMの復号失敗確率が0であることを厳密に証明し、提案PKEがIND-CPA安全であることを示す。また、Fujisaki–Okamoto変換を適用することで、IND-CCA2安全なKEMを構成できることを明らかにする。加えて、格子攻撃およびMQ攻撃の双方に対する安全性評価を行い、NISTの安全性基準に則ってLevel 1相当の安全性を満たす具体的なパラメータ候補を選出し、本方式が耐量子計算機暗号方式として有用であることを示す。

整数係数の多項式環上で定義された非線形不定方程式の求解問題に基づくデジタル署名方式を提案する。同問題は古典計算機や量子計算機による効率的な解法が知られておらず、署名長の短い耐量子計算機署名を構成できる可能性を有する。本稿では、提案方式のアルゴリズムを示すとともに、これまでに得られた安全性解析の結果と、これに基づいて得られたパラメータについて署名長や鍵長を示す。

耐量子計算機暗号であるCRYSTALS-Kyberの処理は，有限体$F_{3329}$を係数とする多項式の加算および乗算に基づいている．本稿では，有限体$F_{3329}$における乗算を効率的に計算するための新しい演算表現を提案する．

BGP とはインターネット上のAS 間において，経路情報を交換する際に用いられるプロトコルである．BGP そのものには経路情報の真正性保証や改ざん防止機能がないため，ディジタル署名を導入したBGPsec が知られている．従来のBGPsec では，多くの場合ディジタル署名にECDSA を使用しているが，近年の量子計算機の開発の発展に伴い，将来的には耐量子計算機暗号（PQC）の導入が必須である．そこで本研究では，まず既存のBGP オープンソースライブラリを基にし，PQC 対応BGPsec の実装を行う．さらに，ネットワークにPQC 対応BGPsec が部分的に導入されることを想定し，その際にどのような経路収束課題が起こりうるかを，2022 年Yang らの手法を基に分析する．最後に，分析した課題を回避するために必要なPQC 展開手法を提案する．

第一回AgileCrypto(2025年10月13&14日、ベトナム/ニャチャン)の参加報告を行う。この国際会議は、暗号アジリティ（crypto agility）という考え方を広めることを目的としてる。暗号アジリティ[柔軟・機敏な切り替え]は、暗号プロトコルと暗号プリミティブを明確に分離し、プロトコルを変えずにプリミティブを置き換えられるモジュール型のアプローチである。国際的な専門家が協力し、このパラダイムに基づく暗号メカニズムを開発し、さまざまな応用課題を解決することを目指して、初回はベトナム/ネイチャンで開催された。次の第二回会議/2026年は、インド/コルカタで11月の開催が計画されている。

暗号技術は通信内容の秘匿やストレージのデータ保護などさまざまな用途で活用されている。現在広く使われている暗号技術はShorやGroverといった量子アルゴリズムにより危殆化し、量子コンピュータが実用化されるまでに耐量子計算機暗号 (PQC) へ移行することが要求される。PQCへの移行では移行対象を特定するために暗号技術に関する詳細な情報をリスト化した暗号インベントリの作成が必要であり、情報ソースから暗号検出する技術が求められる。本論文では、情報ソースとしてバイナリコードが取得可能な状況を想定し、バイナリ解析手法を活用した暗号検出技術に焦点を当てる。まず、暗号検出に活用できるバイナリ解析で収集可能な情報として、メタ情報と定数値・テーブル情報を挙げ、それぞれに対する具体的な検出手法を整理した上で、暗号ライブラリに実際に適用することでその有効性も併せて検証する。次に近年提案されている構造的・統計的特徴情報を活用したマルウェア解析などのリバースエンジニアリングの分野における暗号技術の検出手法を整理し、暗号ライブラリにおけるPQC検出への拡張可能性について考察する。

Covert backdoors pose a growing threat to both post-quantum cryptography (PQC)and modern AI systems. Classical cryptography has long faced subliminal channels and kleptographicattacks, while recent works show that neural networks and LLMs may also harbor undetectable andunelicitable backdoors. Despite this, no unified framework has connected PQC primitives with AImodels under classical and quantum adversary settings. In this work, we introduce the first formalframework that spans both domains, extending definitions of backdoors to PQC schemes such as Falconand SOLMAE while leveraging standard post-quantum assumptions. We prove that detection oftenfails while mitigation remains possible, and we lift these results to quantum adversaries in the QROM.Our framework lays the groundwork for a unified, quantum-safe understanding of hidden vulnerabilitiesin next-generation secure systems

準同型暗号方式の多くは，そのセキュリティを格子問題の一種であるLWE問題に依存しており，準同型演算によって増加するノイズ量の削減が不可欠である．ノイズ削減手法の一つとしてBootstrappingが挙げられ，理論上では制限のない準同型演算を可能にすることから，完全準同型暗号の実現において重要な役割を担っている．しかし，Bootstrappingは計算処理が複雑であるため，時間コストが高いことが課題となっていた．そこで，社会実装に適したCKKS方式のBootstrappingに注目し，関数Coeff-to-Slotの実行に要求されるエンコード（ベクトルの多項式変換）の回数が時間コストに影響しているのではないかと考えた．本稿では，エンコードに用いられる値があらかじめ定義できるという特性に基づき，必要な値を第一種チェビシェフ多項式に従って効率的に導出するとともに，求めた値の再利用を図ることで，より高速なエンコード手法を提案する．

準同型暗号は，データの漏洩リスクを低減しプライバシーを保護しつつ機密情報を解析したいという要求に応える技術であり，暗号化されたデータに対して直接計算を施すことを可能とする．準同型暗号における演算は平文に比べて著しく高コストであるため，実際のアプリケーションで広く応用するのは困難である．特に行列積はAIモデルの推論や学習において中核的な演算である一方，d×d行列の積には通常dの3乗回の乗算が必要となる．このため，暗号文状態における行列積の高速化が求められる．本稿では，Mahonらが提案したBFV方式における3次元配列表現を用いた行列積の高速化手法をCKKS方式へ拡張し，その実装と検証を行う．本手法は，1つの暗号文で表現できるdの最大値が制限されるという課題はあるが，演算コストに関しては，AddやRotはO(log(d))，cMultやMultをO(1)に削減する．実験では，Jiangらの手法と実行時間と精度の比較を行い，評価したすべてのdにおいて本手法が高速であり，特にdの増加に伴ってその効果が顕著となることを確認した．誤差はJiangらの手法とほぼ同等であり，本手法の有効性を実証した．

準同型暗号は，暗号化されたデータに対して直接演算を行える暗号方式であり，データの機密性保持と利活用の両立を可能にする技術として注目されている．様々な方式が提案されている中で，CKKS 方式は実数を扱えることから，機械学習や統計解析などの分野での応用が期待されている．一方で，準同型暗号の欠点として計算コストが高いという問題があり，実用的な応用範囲は大きく制限されている．そのため，GPU などの並列計算基盤を活用した高速化手法の研究が進められてきた．しかし，Yang らによる Phantom-fhe ライブラリなどの GPU を用いた CKKS の既存実装は，単一暗号文の処理に焦点を当てており，複数暗号文を対象とした高速化が十分に検討されていない．そこで本稿では，Phantom-fhe ライブラリを基盤に，複数暗号文の演算における CPU と GPU の同期の待機時間の削減とデータコピーの最適化を図る方針を提案する．また，暗号文数を変化させた条件下で，提案方針の適用の有無による実行時間を比較評価し，その有効性を確認する．

医療分野では保険証からマイナンバーカードへの一本化により，個々の医療情報が国民番号と紐付いて集中管理されつつあり，診断や研究のために診療データを二次利用しながらも平文を扱わず統計解析する仕組みの需要が高まっている．これに注目した手法の一つとして，タグに基づき暗号文の演算結果を検証するまぜるな危険準同型暗号（MR-SHE）が提案されているが，基本的に「1鍵1キーワード」でしか条件指定できない．本研究では，診断ラベル（悪性／良性）や解析に用いる特徴量インデックス集合を連結したキーワードをタグとして付与し，1つの鍵の下でそのコンテキストに一致する患者データのみを選択して統計処理する構成をとる．乳がんデータセット WDBC の30特徴量を標準化したベクトルとして CKKS で暗号化し，タグが一致する患者に対して準同型演算で悪性／良性ごとの平均ベクトルを計算する実装を行った．さらに，平文計算と同じ Benign / Malignant 判定が得られることを確認し，暗号化の有無で処理時間を比較することで計算コストと実用精度を評価した．

本論文では, TFHEにおいて最も計算負荷の高い演算であるBlindRotate向けに設計され、シリコン実証済みのASICアクセラレータアーキテクチャ, YATAを提案する. このアーキテクチャは, 鍵圧縮（Key Compression）を適用してブートストラッピング鍵のサイズを大幅に削減することで, TFHEの主要なボトルネックである膨大なメモリ帯域幅の問題に対処している. さらに, 特定の素数を法として用いることで, 効率の良い定数乗算と効率化された剰余を可能にする, 新しい基数8の数論変換アルゴリズムにより性能と面積効率を向上させた. 22nmプロセスで製造されたYATAは, 5.93mm²の面積で, 目標とするセキュリティパラメータにおいて0.32msのBlindRotateレイテンシを達成した.

準同型暗号は暗号化状態でのデータ処理を可能にし，プライバシー保護とデータ活用を両立する暗号方式である．完全準同型暗号の一種である TFHE 方式は高速なブートストラップ処理が特徴だが，原論文では単一鍵方式でバイナリ平文を対象とする．複数鍵 TFHE 方式とは，複数組織間での協調計算を可能にする TFHE 方式であるが，平文空間はバイナリに限定される．また，整数型 TFHE 方式とは，平文として整数を対象とする TFHE 方式であるが，単一鍵方式である．本稿では，整数型 TFHE の関数型ブートストラッピングを複数鍵設定に適用した整数型複数鍵 TFHE 方式を提案する．さらに，複数鍵化に伴うノイズ増加を理論的に解析し，ノイズ条件を満たすための最適なパラメータ設計指針を提供する．最後に，本方式での関数型ブートストラッピングの実装を行い，4パーティで2ビット整数の協調計算が実現可能であることを実証した．

完全準同型暗号の一方式であるTFHEは，暗号化されたLookup Table (LUT)の操作が可能である．しかし，効率的に操作可能なLUTはテーブルサイズの小さなSmall LUTに限定され，TFHEの大規模計算への応用を妨げる要因となっている．テーブルサイズの大きなLarge LUTを扱う手法として，NishimuraらはNoise Calibration法を提案した．Noise Calibration法は，Circuit Bootstrap (CBS)鍵と呼ばれる計算用公開鍵が不要な手法の中で，最も優れた計算効率を示していた．本稿では，Noise Calibration法を改良し，CBS鍵が不要な手法の中で新たに最も優れた計算効率を実現する手法を提案する．提案手法はCBS鍵を必要としないにもかかわらず，CBS鍵が必要な手法と同じ漸近的計算効率を達成する唯一の手法である．また，数値実験により，提案手法はNoise Calibration法に比べ最大3.8倍高速にLarge LUTを操作できることを確認した．

Chillotti ら (Journal of Cryptology 2020) により提案された完全準同型暗号 TFHE 方式は，Functional Bootstrapping (FBS) という機能を持つ．FBS は Bootstrapping によるノイズ軽減と同時に E(x) という暗号文を E(f(x)) に変換することができる．FBS をするためには求める関数の関数表 LookUp Table (LUT) を持っている必要があり，関数表が巨大であれば計算速度も著しく遅くなる．本稿では，FBS の高速化手法のひとつである Guimarães ら (TCHES 2021) による Tree-Based FBS の計算量を評価し，またSCIS2025で雨宮らが提案したFBS の高速化技法と組み合わせることでどのように計算量が変わるか考察する．

本稿では，既存のセントラル差分プライベート等結合プロトコルにおける個人情報保護と処理コストの課題に着目し，改善方式を提案する．前者の課題は簡易な修正で対策できることを示し，後者はノイズのシェアを従来の一様乱数から非一様乱数に置き換えることで処理コストを抑制する．提案方式について，事後確率比に基づく識別困難性の観点から安全性を評価するとともに，処理コストの抑制効果を理論値および実測値により示す．また，提案方式の「鍵・置換情報・ノイズの消去に依拠する安全性」を暗号学的に安全とするためのプロトコルについて考察する．

Threshold Private Set Intersection(TPSI) は, 参加者間のデータ集合の共通要素数が閾値以上のときに限り, その共通要素を開示する暗号プロトコルであり, ライドシェアリングやパーソナルマッチング, 配送最適化などの活用が期待される. 実用的には, 多数の参加者が想定されるため, 計算の主要部分をクラウドへ委託可能な Delegated Multiparty TPSI(D-MTPSI) が望ましい. 本稿では,Gao ら (CCS2024) の MTPSI プロトコルを拡張し, クラウド以外の参加者にとって非対話な D-MTPSI プロトコルを提案する. 提案プロトコルは semi-honest モデルにおいて, クラウドと特定参加者の結託を除く任意の結託に対して安全であることを証明した. さらに, クラウド以外の各参加者の計算量・通信量が参加者数に依存しないため, 高いスケーラビリティを実現する.

統計情報を計算する秘匿積集合計算 (PSI-Stats) は PSI の一種である. PSI-Stats では入力集合の要素に整数値などが関連づけられ, 積集合の計算に加え, 積集合に属する集合要素について関連値の統計情報を出力することを可能とする. PSI-Stats は様々な統計情報を計算する PSIプロトコルの総称であるが, 既存の PSI-Stats プロトコルは基本的に2参加者間で実行されるものであり, 3以上の参加者には対応していない. 本論文では 3以上の参加者を許す PSI-Statsプロトコルを提案する.

近年，複数の主体がそれぞれに保有するデータ集合を開示することなく，その共通部分の規模（共通集合サイズ）のみを知りたいというニーズが高まっている．例えば，異なる組織間におけるユーザ数の重複確認やブラックリスト照合などにおいて，実際の要素を共有することなく ∣A∩B∣∣A∩B∣ のみを把握できれば，プライバシ保護と統計的有用性の両立が期待できる．このような問題設定は，秘匿共通集合サイズ推定（Private Set Intersection Cardinality Estimation）として知られている．Bloom filter は集合を空間効率よく表現できる確率的データ構造であり，これを用いた共通集合サイズ推定手法として，これまでに種々の方式が提案されている．代表的なものとして，ビット AND に基づく方式や，ゼロビット数に基づく方式などが挙げられる．本稿では，Bloom filter を用いた秘匿共通集合サイズ推定プロトコルを再考し，OR 演算と包除原理に基づく極めて単純な推定方式を検討する．

Xuら (IEEE Transactions on Information Forensics and Security 2015) により隠れ構造を持つ公開鍵検索可能暗号 (SPCHS: Searchable Public-key Ciphertexts with Hidden Structure) が提案された. 本論文では, 非対話鍵交換 (NIKE: Non-Interactive Key Exchange) を用いたSPCHSの一般的構成を提案する. 提案一般的構成のNIKE以外の構成要素は全て共通鍵プリミティブ (疑似ランダム関数と共通鍵暗号) であり, 公開鍵プリミティブと比較して非常に効率的である. 最も効率的な具現化 (Diffie-Hellman鍵共有+HMACベース疑似ランダム関数+AES) を (非対称) ペアリングベースのSPCHS方式 (Wangら, IEEE Transactions on Industrial Informatics 2020) と比較, 暗号文長が1/20程度, 実装評価により検索が250倍以上高速であることを示す.

正規表現検索は、正規表現とテキスト文書が与えられたとき、そのテキストが正規表現にマッチする文字列を含むか否かを判定する検索である。正規表現検索に対し、我々は簡潔データ構造であるde Bruijnグラフを用いた検索可能暗号を提案したが、検索の安全性と正確性に課題があった。本論文は、この点を改良した新たな検索可能暗号を提案する。

公開鍵検索可能暗号（PEKS：Public Key Encryption with Keyword Search）におけるトラップドア内のキーワード推測攻撃に対抗する手段として、認証付き公開鍵検索可能暗号 (PAEKS：Public Key Authenticated Encryption with Keyword Search) が提案されている。本論文では、PEKSからシンプルにPAEKSが一般的に構成可能であることを示す。 本構成の具体例として、符号ベースで初めてのPAEKS構成が得られる。

検索可能暗号は効率的な検索を実現するため，取るに足らないとされる情報の漏洩を許すが，その漏洩が本当に許容できるかは別途議論を必要とする．漏洩悪用攻撃はそのような漏洩情報からデータベース等の重要な情報が抽出されないかを攻撃の観点から解析する研究分野である．これまでに様々な漏洩悪用攻撃研究が進められてきたが，甘田ら（SCIS 2024）やNamikiら（ESORICS 2025）によって代表的な漏洩悪用攻撃の性能評価する実験において，攻撃者が知り得ない情報が暗に仮定されていることが指摘された．彼らは優れた性能を持つLEAP攻撃（Ning et al., CCS 2021）やSubgraph攻撃（Blackstone et al., NDSS 2020）の実験環境及び方法を攻撃者視点に基づいて再考し，より正確な性能評価を実施している．本研究では，LEAP攻撃の改良であるVAL攻撃（Lambregts et al, ESORICS 2022）においても同様に攻撃者が知り得ない情報を用いて性能評価が行われていることを指摘し，攻撃者が持つ情報を改めて整理したうえで実際に可能な攻撃成功率を評価する．

TLSセッションにおいて、ユーザは、共通鍵暗号方式のE(K,\cdot)と D(K,\cdot)のみをブラックボックスとして利用できる。ここで、Eは暗号化アルゴリズム、Dは復号アルゴリズム、Kは鍵である。本論文では、任意の安全な共通鍵暗号方式をブラックボックスとして用い、部分鍵漏洩に対しても安全な共通鍵暗号方式 を構成する方法を示す。これにより、たとえば、TLSセッションの安全性を強化することが可能となる。本方法は、Rivestによって導入されたAll-Or-Nothing Transform（AONT）を利用する。また、従来のAONT方式に対し、より厳密な安全性評価を与える。さらに、AONT内部で使用するブロック暗号のブロック長を\ell、メッセージ長n\ellビットとしたとき、既存のAONT方式においては n<<2^{\ell/2}でなければならないことを示す。最後に、n=2^{\ell/2}に対しても成り立つ新しいAONT方式を示す。（すなわち、このAONT方式は、beyond birthday bound安全性を有する。）

NIST標準の認証暗号であるAES-GCMには，ナンスが短い（96ビット），Committing安全性のうちCMT-1安全性を満たさないといった問題点がある．Gueronによって提案されたDNDK-GCMは，192ビットランダムナンスをサポートし，CMT-1安全性の有無を選択できる認証暗号として，AES-GCMの問題点の解決を期待されている．DNDK-GCMには，2024年6月に提案されたDNDKv1と，2025年3月に提案されたDNDKv2の2つのバージョンが存在する．192ビットランダムナンスを用いるDNDKv2のCommitting安全性について，FROB, CMT-1, CMT-2, CMT-3安全性が解析されている．このうちCMT-1安全性について，DNDKv2が一定の安全性を有していることが証明されているが，理想的なCMT-1安全性を有しているかは未解決である．本論文ではDNDKv2のCMT-1安全性解析を行い，理想的なCMT-1安全性を有していることを証明する．その過程で，DNDKv2で用いられる要素技術であるXORPのCommitting安全性についても解析する．

鍵導出関数（KDF）は1つのマスター鍵から複数のユーザー鍵やセッション鍵を導出する関数である．NIST SP~800-108で定義されたKDFの構成法の1つに擬似ランダム関数に基づくフィードバックモードの鍵導出関数（FB-PRF）がある．同国際標準文書ではFB-KDFのパラメータはユーザが柔軟に設定可能であり，その設定によっては効率的なスライド攻撃による識別攻撃が存在する[Bhaumik, et~al., ePrint 2025/1586]．当該文献でBhaumikらはスライド攻撃を回避するパラメータの設定例を4通り挙げているが，これらの方式のその他の攻撃に対する安全性は未解決である． 本研究では，これらの方式が擬似ランダム関数の意味で証明可能安全であることを示す．

Committing (CMT)安全性は認証暗号に対する重要な安全性要件であり，Bhaumikらはメッセージ認証コード(MAC)に対してもCMT安全性が重要であることを指摘した．ToSC~2024(2)/FSE~2025で提案されたLeMac-0は，AESラウンド関数を利用した高速なユニバーサルハッシュ関数によるMACである．竹内らはSCIS~2025において，LeMac-0のCMT攻撃に対する安全性を解析した．一方で，LeMac-0は安全性解析の誤りにより仕様変更が行われ，修正後の方式はLeMacと呼ばれている．本論文では，LeMacのCMT攻撃に対する安全性を解析する．

メッセージ依存開示可能グループ署名（GS-MDO: Group Signatures with Message-Dependent Opening, Sakaiら, Pairing 2012) では開示者に加えてアドミッターが定義される. アドミッターは署名するメッセージに依存したトークンを作成, このトークンと開示者秘密鍵の両方を用いて初めて署名者が特定可能となる. 既存GS-MDO方式においてはトークンが署名であることからトークンの公開検証可能性はGS-MDOにおいて自然に備わっている安全性であることが示唆されるものの, これまで定式化されていない. 本論文では, GS-MDOにおけるトークンの公開検証可能性を定式化する. トークンが署名として正当であることの検証と, トークンとして開示に使用可能であることの検証とは異なることに着目, あるトークンが正当に生成されたトークンの集合に属することを公開で検証することを定式化した.

グループ署名の主な安全性である匿名性と追跡可能性に加えて, 成りすまし不可能性 (Non-Frameability) が定義されている. 全ての管理者が攻撃者となった場合に達成可能な安全性として定義されたものであり, あくまでユーザ (署名者) を守る安全性として位置づけられている. 本論文では, 成りすまし不可能性について "管理者を守る" という新たな解釈を導入, グループ署名の応用として広く認知されている匿名オークションにおける成りすまし不可能性の意義について精査する. 具体的に, 落札者が自分は入札していない, 主催者が成りすましているのでは？と虚偽の主張を行う場合の対策として成りすまし不可能性が有効であることを示す.

Predicate Aggregate Signature (PAS) は, Qiu, Tangによって提唱された集約署名であり, 複数の文書に対し, 複数の署名者が任意に個別署名を生成し, それを集約する技術である. PASの特徴は, この集約署名を検証しても, 各文書の署名者情報は指定された述語を満たすこと以外は知ることができない, すなわち, 匿名性を有することである. 本稿では, PASに対して特定の条件に限定した場合の署名者や文書に関する情報を特定できる「機能的追跡可能性」の概念とその実現方法について議論する.

大規模分散システムにおいて、電子署名のデータ量削減は喫緊の課題であり、複数の署名を圧縮する集約署名が注目されている。しかし、経路制御等で不可欠な「署名順序の保存」と、集約後の検証失敗時に不正署名を特定する「耐障害性」は、これまで個別に研究されており、双方を同時に満たす方式は確立されていなかった。本論文では、順序保存機能を有するOuyangらのbimodal aggregate signatureと、耐障害性を有する田中らのAPATの双方の構成法に着目し、これらを統合・拡張することで両機能を兼ね備えた新たな集約署名方式を提案する。提案方式は、署名の生成順序をハッシュ関数の入力に用いることで順序を保証しつつ、基本対称式を用いた追跡アルゴリズムにより不正署名の特定を可能にする。また、既存の順序保存型集約署名の安全性定義では捉えきれない、署名生成の時間的順序とリスト上の順序の不整合に関する課題についても考察を行う。

複数検証者指定署名（Multi-Designated Verifier Signature, MDVS）は，複数の検証者を指定してメッセージに署名することで，その検証者がシミュレートした署名と区別の付かない署名を生成できる方式である．しかし，検証者が結託して悪意のあるメッセージに署名をすることで，真の署名者がこの内容に署名したかも知れないという疑惑をかけて名誉を毀損することができるという構造的な弱点が存在する．この弱点に対し，検証者がシミュレートした署名を真の署名者が生成していないことを，第三者にも証明できる性質（否認可能性）が考えられており，松浦らは検証者指定署名にこの性質を加えた署名方式を提案した（APKC'23）．しかし彼らは指定検証者が1人のものしか提案しておらず，複数の検証者を指定するMDVSについては上記の弱点が未だに残っている．そこで本研究では，否認可能性を持つMDVSを検討し，シンタクスと安全性を定義し，検証可能ランダム関数とZAPを用いた一般的構成を提案し，ランダムオラクルモデルにおける安全性証明を与える．

In signature schemes where the signer possesses anonymity, such as group signatures and ring signatures, achieving a balance between traceability and anonymity is an important problem in cryptography.As one potential solution, bifurcated signatures have been proposed (Libert et al. CRYPTO'21), aiming to reduce the traceability of group managers (GM); i.e., signers can choose if it can be traced or not when producing signatures.In this paper, we extend the notion of bifurcated signatures to ring signatures, which offer greater flexibility than group signatures.The most notable difference between our proposal and the existing bifurcated signatures is that, we introduce GM to ring signatures, and it can choose if a signer can produce a non-traceable signature or not when generating signing keys for signers.We formalize the notion of bifurcated ring signature, and demonstrate a generic construction of it from standard signature scheme, one-time signature scheme, public-key encryption scheme, and non-interactive zero-knowledge proof of knowledge.

リングアダプタ署名（RAS）は，計算困難な代数関係を満たす公開情報と秘密情報 (witness) を用いて事前署名を通常の署名へ変換（適合）するアダプタ署名の性質と，署名者の匿名性を保証可能なリング署名の性質を有する多機能署名技術である．これまでに梶田と高安は atomic swap のための RAS を考案し，安全性の定義や Schnorr 署名ベースの構成を提案したが，署名長が O(n) であることや耐量子性を満たさないことが課題であった．本研究では，効率の良いリング署名の構成である DualRing 方式で用いられているidentification schemeからリング署名への変換手法を応用し，witnessを組み込んだ identification with witness schemeを導入し，それを変換することで RAS を構成する手法を提案する．そして，Module-LWE／Module-SIS仮定に基づく耐量子安全な具体的構成例と，Schnorrベースで署名長がO(log(n))を満たす構成を示す．

アダプタ署名は送信者の真正性やメッセージの非改ざん性を保証する機能に加え, 特定の相手に秘密情報を開示する機能を持つ署名方式であり, ブロックチェーンにおけるスケーラビリティや相互運用性の問題に対処するための技術として注目されている. アダプタ署名の具体的構成として様々な方式が提案されているが, 一般的構成としてはID schemeからのものが知られている. この一般的構成では, 離散対数問題や素因数分解問題などの整数問題をベースとするアダプタ署名を構成できる一方で, 格子問題ベースの方式には対応していない. そこで本稿では, Rejection samplingを考慮したID schemeを利用することで, 格子問題ベースの方式にも対応可能なアダプタ署名の一般的構成を提案する.

ペアリングに基づく短署名である BLS 署名は IETF などで規定されており，実用上重要である．本稿では，BLS 署名とともに，ペアリングに基づき標準モデルで EUF-CMA 安全な短署名である Gentry 署名の BUFF 安全性について考察する．これまでに，BUFF 安全性を達成するために一般的な BUFF 変換が知られているが，署名長が大きくなるという欠点がある．一方，署名長を変えない PS-3 変換では BUFF 安全性を満たすかどうかは署名方式に依存する．本稿では，BLS 署名，Gentry 署名に関しては，PS-3 変換を適用することで，署名長を増大させることなく，S-UEO, MBS, wNR 安全性という 3 つの BUFF 安全性が達成できることを示す．

閾値署名は、署名鍵を分散管理することで単一障害点を排除する分散型電子署名であり、暗号資産等における重要技術の一つである。本研究では、攻撃者が署名者を動的にコラプトするより現実的な安全性モデルである適応的安全性に着目する。閾値Schnorr署名において、静的安全性を満たす3ラウンド方式は標準的な離散対数（DL）仮定の下で構成可能だが、適応的安全な既存方式では、代数的One-More DL仮定やAGM等の強い仮定を必要とするか、DL仮定のみに基づく場合は5ラウンドを要するため、DL仮定の下での両立は未解決問題であった。本論文では、DL仮定の下で適応的安全かつ3ラウンドを達成する初めての閾値Schnorr署名方式を提案し、この問題を解決する。提案方式は、既存の静的安全な3ラウンド方式を基に、DLベースの特殊なEquivocalコミットメント、NIZK、およびワンタイムマスキングを組み合わせることで構成される。NIZKの構成にFischlin変換を用いるため通信および計算コストは比較的大きいが、これらはオフラインフェーズで実行可能であり、オンラインフェーズのコストは既存方式と同程度を達成する。

近年，量子コンピュータの登場に伴い，RSA暗号や楕円曲線暗号などから耐量子暗号への移行が推奨されている． 金融や医療分野におけるブロックチェーン活用が検討される中，鍵サイズの短さから同種写像暗号に基づくデジタル署名であるCSI-SharKなどが注目されている． この署名方式をベースとして，閾値署名やマルチシグネチャ方式が提案されているが，それらの方式には匿名性が確保されていない． この匿名性の欠如は，分散型自律組織(DAO)のガバナンス投票において，投票行動の追跡による共謀や検閲を招くリスクとなる． 本稿では，DAOにおける匿名性の担保のため，CSI-SharKベースのリンク可能リング署名を並列に構成した閾値リング署名スキームを提案する． 署名生成時に自身の署名とそれを隠し偽装するための署名を作成することで署名者を秘匿しつつ，一意な識別子を用いて同一人物による二重署名を防止する仕組みを構築した． また，実用的な計算コストでの運用を実現するために，署名検証をスマートコントラクト上で非同期型に行うことでシステム全体の計算の負荷を分散させた．

マルウェアの脅威により端末が信用できない環境下での安全な署名生成法として，尾形らは「サーバ援用型脳内署名」を提案した．脳内署名ではユーザはパスワードをサーバ群へ秘密裏に送る必要があるが，チャレンジとレスポンスの双方が攻撃者に観測されると，パスワードが逆算される．尾形らの方式は，2端末を用いて入出力経路を物理的に分離して安全性を実現しているが，適用場面を限定する．そこで本稿では，共有した秘密特徴に基づく「ワンタイム秘密画像」を用いた単一端末上の脳内署名方式の構成法を提案する．本手法は，人間が得意な視覚的な復号（認知）を利用する．具体的には，画像の再利用によるリプレイ攻撃を防ぐため，秘密特徴を保持した画像を毎回動的に生成し，チャレンジを視覚的に暗号化して提示する．ユーザはこの画像を脳内で復号し，レスポンスを返すことにより，攻撃者が入出力を掌握してもチャレンジの真値を特定できず，パスワードの逆算も困難となる．結果として，計算機よりも演算能力を持たない人間であっても，単一端末上から一定の安全性を確保しつつ，利便性を高めた署名生成が可能となる．本稿ではそのプロトコル設計と安全性評価を行う．

ゼロ知識証明とは，秘密そのものを開示することなく，秘密に関する命題が正しいことを証明者が示すことを可能にする暗号方式である．ゼロ知識証明は，コミットメント方式を用いることで，構築することが可能となる．2024年に，CiniらはSIS（Short Integer Solution）に基づく多項式コミットメント方式を構築した．彼らの方式では，テンソル行列を用いて，入力次元を削減する方式を実現しているが，彼らの方式では，準同型性を満たさないため，複数Nにおけるコミットメント値はN個実現されてしまい，データ容量を圧縮することができない．本論文では，データ容量を圧縮可能な耐量子暗号ベースの多項式コミットメント方式を実現する．本方式では，キーバリューコミットメント方式の性質を応用し，ユーザが構築したコミットメント値を利用することで，複数人のコミットメント値を$1$つに圧縮する．さらに，Liらの耐量子暗号ベースのトラップドアの方式を用いることで，他のユーザに，入力値を公開することなく，コミットメント方式を構築できるため，束縛性と秘匿性の証明が可能となる．

一般のアクセス構造を実現する秘密分散方式では，参加者数 $n$ に対してシェアサイズが大きくなることは避けられない．その根拠となる代表的な結果として，Csirmaz によりシェアサイズに対して $\Omega(n/\log n)$ の下界が成り立つアクセス構造が与えられている．このアクセス構造は秘密分散方式に関わるメタ計算量の評価などで重要な役割を果たしており，それを実現する秘密分散方式のシェアサイズが下界にどの程度近いかは評価結果の精度に直結する．本稿では，Csirmaz のアクセス構造を実現する既存の秘密分散方式のシェアサイズを解析する．その結果，$O(n)$ 人の参加者のシェアについて，下界とのギャップを $O(n)$ から $O(1)$ に削減できることを示す．さらに，この改善により総シェアサイズについても下界とのギャップを $O(n)$ から $O(\log n)$ に削減できることを示す．これは，従来のメタ計算量評価技法の妥当性強化や，安全性モデルの違いによるシェアサイズの差別化に寄与する．

一方向性関数とは順方向の計算は容易だが逆像計算が困難な関数であり，暗号理論を含む理論計算機科学において重要な関数である．Ghosal と Sahai は二つのランダム関数 f, g : {0, 1}^n → {0, 1}^m が順方向だけでなく，それぞれの逆計算を行うオラクルを持つ場合に，f + g が一方向性をもつことを，いくつかの条件のもと，強識別不可能性の枠組みで示した．それらの条件のうちで重要なものとして，ランダム関数 f, g が全単射の族から選ばれる場合に，その和が一方向性をもつという結果がある．儀保らはこの条件を拡張し，二つの関数 f, g が単射であればその和が一方向性を持つことを示した．しかし，f, g が全射である場合のf+gの一方向性については未解決であった．本稿では，関数f, g のクラスが全射に制限された場合でも，n − m = ω(log n)，つまり，m が n よりも十分小さいという条件の下で一方向性関数が構成可能であることを示す．

Pseudorandom codes (PRCs) are error-correcting codes whose codewords are computationally indistinguishable from random strings to bounded adversaries. Christ and Gunn (CRYPTO 2024) explored zero-bit public-key PRCs for AI watermarking and multi-bit versions for steganography. Existing public-key PRCs rely on non-standard assumptions and offer limited guarantees.We introduce a multi-bit public-key PRC with optimal parameters via a compact public discussion (PD) channel for transmitting a short pseudorandom header. Under standard assumptions, it achieves CCA-security, resilience, and pseudorandomness against polynomial-time adversaries; Shannon-optimal rate over adversarial channels; and unique decoding up to 1/2 error rate.Our construction combines a pseudorandom-ciphertext PKE with a permutation- and masking-resilient error-correcting code. The PKE embeds randomness in the PD-sent header, while the code handles message encoding, masking, permutation, and adversarial transmission. Security reduces to one-way functions and pseudorandom PKE from the LPN assumption.

The RSA cryptosystem is one of the most widely used public-key schemes. Its security relies on the hardness of factoring a modulus N=pq, where p and q are primes. The public exponent e and the private exponent d satisfy the key equation ed - k(p-1)(q-1) = 1 for some positive integer k. To improve efficiency or explore new algebraic structures, many RSA-type variants have been proposed. Although these schemes modify the key equation, they preserve the essential framework in which e and d are connected by a congruence of the form ed = 1 mod Phi(p,q). A common feature is that the exponents of p and q in Phi(p,q) are typically balanced, meaning they appear with the same degree. In this paper, we study a new RSA-type equation ed = 1 mod (p-1)(q-1)^2, which introduces an unbalanced exponent on the prime factors. We show that, given N and e, the secret exponent d can be recovered when it is sufficiently small. To achieve this, we present two lattice-based methods derived from Coppersmith’s technique. The first follows the strategy of Jochemsz and May (2006), while the second incorporates a theorem of Rahmani et al (2025). For both approaches, we provide explicit success conditions.

量子状態は測定によって収縮し元には戻らない、という不可逆性は量子論の基本である。Aaronson ら（ITCS 2016）は、この制約を外し非破壊測定を許す仮想的な計算モデルを導入した。本研究は、この非破壊測定を通常の量子計算で効率的にシミュレートすることが難しいという仮定が、量子暗号とどのように結びつくかを明らかにする。特に、非破壊測定の平均時困難性に基づいて「一方向性パズル」を構成する。一方向性パズルは一方向性関数の自然な量子版であり、一方向性関数が存在しないが量子暗号は存在する「Microcrypt」と呼ばれる世界での基本プリミティブの一つである。さらに本研究では、非破壊測定の困難性に対する上界として新たなプリミティブ「分布的衝突困難パズル」を導入し、その存在がこの上界を与えることも示す。

検証可能秘密分散(VSS)は，ビザンチン合意や安全なマルチパーティ計算などの分散コンピューティングにおいて基本的な構成要素として用いられている．先行研究では，プロトコルに参加するn人中攻撃者がt人いるとき，完全に安全な1ラウンドVSSプロトコルはt>1のときに存在しないという結果が得られている．本研究では検出回避攻撃者と呼ばれる従来より弱い攻撃者を新たに定義し，彼らに対して完全に安全な1ラウンドVSSプロトコルの構成をn>4tの場合に達成した．また2ラウンドのとき，従来の安全性が達成されるのはn>4tが必要十分であったが，検出回避攻撃者の導入によってn>3tのもとで完全な安全性の実現可能性について考察を行う．

検証可能秘密分散（Verifiable Secret Sharing; VSS）は秘密を持つ者を含めた参加者が不正を行っても正しい秘密を復元できるようにした暗号プロトコルである．VSS内では分散段階と復元段階が存在し，分散段階で配布されるシェアが，復元段階においてある多項式から生成された正当な値であることを参加者間で検証することで，矛盾や改ざんを防ぐ．またVSSは無制限の計算能力を持つ敵対者を想定し，安全性に関して Perfect VSS と Statistical VSSに分類される．Perfect VSS は敵対者に対して情報漏洩が一切生じない強い安全性を提供し、分散段階終了時点で一意に定まる値に復元されることを保証する．一方，Statistical VSS は統計的に無視可能な失敗確率を許容することで，全参加者における不正な者の割合において，より緩和された条件での構成を可能にする．実際，２つの安全性モデルに基づくVSSの実現可能性は様々な条件により変化するため，本研究では，特に分散段階のラウンド数と，全参加者における不正な者の割合に着目して実現可能性を整理する．

p進数体に固有の局所完備性・非アルキメデス距離・桁安定性に着目し、これらの数論的構造を暗号基盤として利用する新しい理論枠組みを提案する。特に、有限体の元をp進整数環へ写すタイヒミューラーリフト（ｐ進タイヒミューラー理論）により得られる固定点集合を暗号空間として採用し、この上で情報を有限桁に切断する「局所切断写像」を導入する。この操作は高位桁の情報を不可逆的に破棄するため、一方向写像として機能し、桁探索が指数的に困難となることで強い不可逆性が得られる。また、p進体の非線形距離構造により、量子計算が前提とする線形干渉・重ね合わせが適用できず、量子計算による暗号解読のShor・Grover型アルゴリズムが原理的に成立しない。この数論的性質に基づく「構造的量子耐性」は計算複雑性に依拠する従来のPQC(Post Quantum Cryptography)とは異なる新たな暗号設計指針を与えている。本研究を契機として今後は論理面の展開および、その応用面としてｐ進タイヒミューラー構造を基盤として、例えばハッシュ関数、共通鍵暗号方式などの新たな構築を目指す。

Multivariate public-key cryptosystems (MPKCs) based on the multivariate quadratic (MQ) problem are considered a promising candidate for post-quantum cryptography (PQC), since certain subclasses of the MQ problem is proven to be NP-complete. However, provably secure approaches are less common in MPKC than in schemes based on integer factoring, discrete logarithms, or lattice assumptions. To relax this stagnation, in this work, we propose a novel concept of one-way function (OWF), the simulatable chameleon hash function (SCHF), which is an abstraction of MQ functions equipped with a trapdoor. SCHF is a special type of chameleon hash function that allows collisions to be generated easily even without a trapdoor, while preventing the computation of second pre-images in the absence of a trapdoor. Moreover, based on the SCHF we introduce an identification scheme which is almost identical to Schnorr identification except its soundness. Instead of the special soundness of Schnorr identification, we provide a relaxed proof for this scheme. Finally, we introduce an assumption related to the standard construction of MPKCs. Based on this assumption, we propose a candidate SCHF. Although our assumption may not be regarded as standard at present, it appears quite natural.

紛失通信（Oblivious Transfer; OT）は，基本的な暗号プリミティブであり，秘密計算プロトコルの重要な基盤の一つである．多くの秘密計算プロトコルでは多数のOTの実行を前提として構成される．しかし，OTは計算量・通信量の面で大きなコストがかかり，単純な繰り返し実行では秘密計算プロトコル全体の効率を悪化させてしまう．紛失通信拡張は，少数のベースOTからランダムオラクルを用いて大量のOTを実行することで，この問題を緩和する手法である．紛失通信拡張の耐量子安全性はBüscherらによって量子ランダムオラクルモデルの下でO2H補題を用いて証明されており，特に受信者の識別アドバンテージの上界は$O(q/\sqrt{2^k})$で与えられていた．本研究では 純粋化オラクルによる解析を行うことで帰着効率を改善し，受信者の識別アドバンテージの上界が$O(q^2/2^k)$であることを証明する．さらに識別アドバンテージの下界$\Omega(q^2/2^k)$を示す．したがって今回証明した識別アドバンテージの上界は定数係数のギャップ内でタイトである．

時間の経過とともに消失する時限消滅型のデータは，SNSの期限付きメッセージなどに応用されている．このように，情報の開示や秘匿を暗号鍵のみならず時間によっても制御可能な暗号技術として時間指定暗号がある．時間指定暗号では，暗号文を生成するときに復号可能な期間を指定し，対応する期間の時間鍵を用いることで復号が可能となる．しかし，指定した期間外であっても，対応する時間鍵を入手できれば復号が可能であるため，時限消滅を保証できていない．本稿では，復号の時限消滅を実現するために，暗号に「揮発性」をもたせる暗号フレームワークを提案する．揮発性とは，ある時点では存在していたが，時間の経過により消失するという性質である．Guan，Wichs，Zhandry（Eurocrypt 2022）によって提案された圧縮不可能暗号の構成を応用し，揮発性を有する公開鍵暗号方式を提示する．

暗号資産ウォレットにおける鍵管理の課題を取り扱う．多くのウォレットは，シードと呼ばれる高エントロピー値から秘密鍵を導出する階層的設計を採用している．利用者は，12から24語程度の英単語列であるニーモニックコードとしてシードをバックアップでき，記憶容易性と入力容易性が向上する効果があるとされる．この仕組みにより，シードの保全は秘密鍵の再生成，それゆえ暗号資産の保全に直結する．本稿は，主要な暗号資産ウォレットアプリを調査し，十分な鍵空間を確保できていない事例について報告する．当該事例は実装上の不備，特に乱数生成器のエントロピー不足に起因するものではなく，設計段階における安全性要件の過小評価に由来する可能性が高い．具体的には，BIP-39 に準拠した一部アプリにおいて，安全性よりも利便性を優先した設計選択が鍵空間の縮小を招いたと推測される．さらに本稿は，ウォレットアプリのあるべき姿として，実装上・運用上の要件や指針について整理し，今後の改善に向けた論点を提示する．

ハッシュパワーに応じた報酬分配という意味でのマイニング公平性はBitcoinの非中央集権性にとって必要条件であり，この分配の適正さはマイニング公平性として定量化される．一方，TPS（Transactions Per Second）を増加させるような試みはフォーク率の上昇を促し，結果として公平性を損なうことが知られている．これまでの研究では既存の多くのシステムに即した範囲内での偏りの評価が行われてきたが，本研究ではより広範なTPS設定，特に高フォーク率環境下における公平性の偏りを調査した．現実のハッシュパワー分布を模倣したシミュレーションの結果，フォーク率が著しく増加した場合，最大勢力のマイナーがメインチェーンのブロック生成を支配し，マイニング公平性が崩壊することを実証した．さらに，フォーク率の上昇に対して最大勢力のマイナーが獲得する報酬割合の上界を理論的に導出した．

暗号資産の安全な管理において，秘密鍵をオフライン環境で保管するコールドウォレットの利用が推奨されている．しかし，送金時に介在するオンラインデバイス上で，トランザクションへの署名前にマルウェア等により送信先アドレスが改ざんされるMan-in-the-Mobile攻撃の脅威が存在する．複雑な英数字の羅列であるアドレスの正当性をユーザが目視確認する従来の対策は，ヒューマンエラーの可能性を排除できない．そこで本研究では，オンラインデバイスが信頼できない環境下においても，Ethereum Name Service（ENS）と署名を組み合わせて用いることで正しい送金先アドレスの取得を保証する，新たなコールドウォレットシステムを提案する．本手法では，コールドウォレットに入力されたドメイン名をサーバ側でアドレス解決し，その結果に署名を付与して返送する．ウォレット側での署名検証により，信頼できないオンラインデバイスを経由する場合でも，アドレス改ざんを検知し，正規のアドレスへの送金を保証する．さらに，Android端末およびSepoliaテストネットを用いた実装評価を行い，有効性と実用性を示した．

ウォレットアドレスの視認性の低さを悪用し，取引履歴に類似アドレスを混入させてユーザを誘導するアドレスポイズニングは，累計約 8,380 万 USD 以上の被害が報告される喫緊の脅威となっている．本研究では，Ethereum，Arbitrum，Polygon，TRON の 4 チェーンを対象とした 3ヶ月間のトランザクション解析を通じて，アドレスポイズニング攻撃の横断調査を行った．具体的には，(1) 3パターンの攻撃種別をアドレス類似度や潜伏期間の観点から特徴づけ成功率を定量化した上で，(2) チェーンごとの攻撃手法や成功率の差異を比較分析し，攻撃構造に及ぼす影響を考察した．分析の結果，Ethereum では成功例の約 96% は偽トークン型に集中している実態が明らかとなった．TRON では，少額送金型によって期間中に1 件あたり平均約 47 万 TRXにのぼる巨額の潜在的被害が観測された．本研究は，分析対象を主要L2およびTRONに拡張した初の大規模な横断的測定であり，各チェーンのリスク要因を整理した上で，ウォレットやエコシステム運営者に向けた対策設計指針を提示する．

昨今、法人・個人関わらずビットコインを代表とする暗号資産を保有することは身近なものとなってきているが、ある推計では既発行済のビットコインのおよそ 20%にアクセスが出来なくなっていると報告されている。ハードウェアの紛失、秘密鍵の喪失が主な原因となっており、特に相続時にこれらの問題が顕在化する。そこで本稿ではまず、相続時の課題を①技術面（秘密鍵管理・ノンカストディアル運用の困難さ）、②法律面（相続人のアクセス権確保・国際相続の複雑さ・税制の不整備）、③思想面（「Trusted third party 不要」とするビットコイン設計思想と国家制度の乖離）に分類し、ギャップ分析を行う。さらに、分析を踏まえ、生体情報を活用した秘密鍵管理と、信頼の置ける第三者を相続手続きの執行に限定して介入させる仕組みを統合した、相続時の円滑な資産移転を可能にするスキームを提案する。これにより単一障害点の排除設計を維持しつつ相続の制度的枠組みに適合させ、資産確定・アクセス情報確保・法的手続き・実体移転・精査証跡の各ゴールへのアプローチ方法を示す。

2008 年のビットコインの発明以来、ブロックチェーンは単なるトランザクション台帳から、複数レイヤーにまたがる多機能な金融システムへと進化を遂げた。現在、そのセキュリティは量子コンピュータの登場により脅かされている。耐量子計算機暗号(PQC)への移行の必要性は広く議論されているが、ブロックチェーンはその分散性や長期的セキュリティ要件ゆえに、暗号移行の難易度が極めて高い領域である。今日、システムの複雑化により単純な暗号移行モデルの適用がもはや困難となっていることに加え、投資家による短期的利益の追求など、人間の経済的合理性や打算が移行の重大な障害となっている。本稿は、2025 年10月現在におけるブロックチェーンの PQC 移行の全体像について、包括的な分析を提供する。具体的には、移行検討が必要な構成要素とそれらの技術的課題を分析するとともに、倫理的ジレンマやステークホルダー間のインセンティブの衝突など、運用面での障害について体系化して整理する。本研究は、進行中のコミュニティの議論や先行研究を集約することで、ブロックチェーンの量子耐性獲得のための検討の基盤を確立することを目指す。

近年、持続可能な開発目標(SDGs)によるプラスチック資源循環に関して、企業にはトレーサビリティの確保と透明性の向上が求められている。そのため, サプライチェーン全体における再利用資源の情報の記録が必要不可欠である。企業を横断するこの種のシステムはまだ少なく、信頼性のある情報提供に対して不十分である。そこで我々は、長期間にわたる情報の耐改ざん性や検証可能性を持つことが期待できるブロックチェーン技術に着目し、資源循環における情報の可視化を目的としたブロックチェーン型情報プラットフォームを検討している。例えば消費者が商品のプラスチックの再生率の正しさを、この情報プラットフォームを参照することで検証出来ることを実現したい。本稿では、この情報プラットフォームの実用化に向けて、最も重要なプラスチックの資源量は工程間で連続性を持ち、ブロックチェーンにおけるトランザクションの連続性に合致していることを述べる。また、複雑な不正行為を防止する仕組みなどに対して、トレーサビリティシステムの要求から整理し、ブロックチェーン型情報プラットフォームの有効性と課題について述べる。

宿泊などの、直前のキャンセルは予約者にとってキャンセル料が発生することも多く、損失が大きい。 これに対して、予約した権利をNFT(Non-Fungible Token)化して二次流通させるアプローチが注目されている。 しかし、既存手法は固定価格での取引であり、変動する価格への対応や高額転売の防止が困難である。また、市場価格をオンチェーンに反映させると、更新頻度が高いためコストがかかり実用化の障壁となっていた。 そこで、本稿では、頻繁な価格更新でもコストを増加させないNFTを用いた予約権の流通プロトコルを提案する。本提案手法では、価格データの信頼性を担保するために、複数のOTA(Online Travel Agency)から価格を取得し、高額転売を防ぐための適正価格（上限価格）を計算することとした。適正な価格を基準として取引価格を決定することで、ホテルなどのサービス提供者へ利益を還元し、かつ、予約者が支払うべきキャンセル料の回避を可能にした。 加えて、運用コストの最小化と二重予約の防止を両立させるために、EIP-712規格に基づくオフチェーン署名モデルとサーバーサイド排他制御を採用した。

自律移動ロボットの位置推定では，センサ故障や通信劣化による観測欠損が避けられず，どのセンサを信頼して運用を継続すべきかの判断が難しい．センサ欠損は機器故障だけでなく，通信混雑や外乱・妨害によっても容易に発生し，ロボットの「目」を奪い，意思決定を一気に不安定化させるシステムの弱点である． 本研究では，拡張カルマンフィルタ（EKF）に適応機構を導入し，センサのドロップアウト率に応じてプロセスノイズ共分散Qの対角成分を動的に調整する手法を提案する．推定誤差共分散のトレースtrace(P)を不確かさの指標として用い，航続不能の兆候を定量的に捉えることを目的とする．提案法をROS2のrobot_localizationに実装し，TurtleBot4を用いてIMU・オドメトリに周期的欠損を与える実機実験を行った．オドメトリ欠損ではtrace(P)が急増し追従誤差も大きく悪化した一方，IMU 欠損では両者の増加が緩やかであり，センサ依存度の違いが明確に現れた． 以上より，trace(P)に基づく判定基準が，センサ欠損に対するロバストな安全停止判断およびセンサ重要度評価に有効であることを示した．

産業制御システム環境では，多様かつ複雑な制御動作のデータフローが存在し，セキュリティインシデントの監視・分析・対処を担うSOCアナリストは，ICS 環境の正常動作に関するデータフローを正確に理解する必要がある．しかし，制御プロトコルの複雑性，端末構成の多様性等により，その把握は容易ではない．また，従来の解析ツールでは，ICS 環境における制御通信の意図や動作を適切に解釈し，利用者に分かりやすく提示することが困難である．本稿では，大規模言語モデル（LLM）を用いてICS パケットから制御動作のデータフローを自然言語で記述する手法と，パケット系列から構成される複雑なデータフローを抽出する手法を提案する．提案手法は，パケットに関する ICS プロトコル情報を提供するデータベースと，端末仕様に基づく通信インタフェース機能を提供するデータベースを統合し，単一パケットに対応するデータフロー記述を生成する点に特徴を持つ．さらに，これら単一パケットのデータフロー記述を基盤として，複数通信から成るシーケンス候補から，高精度にデータフローを抽出し自然言語による説明生成を実現する．

サイバー攻撃によるセンサ値や制御信号の改竄は制御系に設計外の挙動を引き起こし，運転継続や安全確保を困難にする．特に，制御対象が複数の機能からなる場合には一部の改竄が他の機能へ広がる可能性があるため，攻撃による機能停止の連鎖を事前に把握できる解析手法が必要となる．本研究では制御仕様から構築された数理モデルに基づき，攻撃によって生じ得る機能停止の影響範囲と，システム全体の機能停止に強く関わる攻撃箇所を明らかにすることを目的とする．そのために，Zero-suppressed Binary Decision Diagram (ZDD) を用いて制御システムの動作フローを体系的に列挙し，システムの機能の流れを把握する．そして，列挙結果に基づき最小カットセットを導出し，動作フローが遮断された際の機能停止の波及を影響度として解析する．さらに，列挙結果からヒッティングセットを導出することで，全機能停止に必要な攻撃箇所の最小集合である最小攻撃集合を導出する．本論文では鉄道制御の模擬システムを例として，提案手法の有効性と応用可能性について報告する．

太陽光発電などの分散型電源は平文通信のプロトコルが用いられることに起因して, 悪意のある攻撃者による制御や通信改ざん攻撃に脆弱である. しかしながら, 個別の機器に応じた効率的な攻撃検知手法などは十分に検討されてこなかった. 本稿では, まずインバータ制御をケーススタディとした分散型電源の脅威分析を行い, それらへの攻撃の影響とその検知技術の要件を議論する. 次に, 各機器において仕様や技術用語が異なることに対し, それらの制御内容に関連する機器内部の情報を自動的に抽出する大規模言語モデル(LLM) ベースフレームワークを提案する. 提案手法は機器の仕様書などから構築したデータベースも組み合わせた検索により, 専門用語の表記揺れなども考慮した抽出が可能である. 提案手法を実験評価したところ, ベースラインのF1-Score は50%であった抽出正答率を提案手法では86%へ向上させることができた. 本手法により, LLM は仕様差や専門用語の表記揺れを吸収して仕様書から必要情報を抽出でき, 機器ごとの攻撃検知に活用できることが分かった.

自動運転車両に対するサイバーセキュリティ対策として，防御とステルス攻撃のいたちごっこの行き着く先（検知率と検知漏れ確率）をゼロサムゲームでモデル化する研究が行われている，この研究の議論を実機に適用すると，攻撃後に現れる移動体の最終状態の確率分布（最終状態分布）のばらつきが過小評価され，検知漏れ確率の予測に大きな誤差が生じることが分かっている．本研究では，この乖離を解消するため，最終状態の平均と分散の実測値から検知ロジックを補正する手法を導入する．提案手法は，実測値の取り込みにより，ノイズ過程の詳細構造を仮定せず，高精度な予測を可能にする．実機による検証では，従来40％超であった理論値と実測値の乖離が約5％にまで低減され，最終状態統計を取り入れることの有効性が確認された．さらに，本手法が有効となる条件や破綻し得る状況を整理し，実ロボット環境における攻撃検知理論の適用範囲を明確化した．

近年，産業用制御システム（ICS）を狙うサイバー攻撃が増加し，第三者が分析した脅威レポートが多数公開されている．ICSのセキュリティ担当者は脅威レポートから自組織の脆弱箇所を特定して事前対策する必要がある．しかし数あるレポートから緊急度の高いものを選び，現場の資産や運用に即した形に落とし込むには高度なノウハウと多大な工数が求められる．本研究では，大規模言語モデル（LLM）を用いて脅威レポート記載の攻撃シナリオを自組織の環境情報で具体化した攻撃シナリオを生成し，さらに脅威レポートの関連度を算出する手法を提案する．提案手法では，脅威レポートと環境情報を用いて自組織において侵入口と最終目標に値する箇所を決定し，脅威レポート記載の攻撃チェーンに従って攻撃シナリオを生成する．また，生成された攻撃シナリオを用いて自組織との関連度を算出する．用意した架空環境と実際のレポートを用いて評価し，ナイーブなプロンプトと比較して適切なシナリオ生成が可能であることと，生成シナリオを用いないプロンプトと比較してより適切な自組織関連レポート選定が可能であることを示した．

本研究では，重要インフラを対象としたGRC（Governance, Risk, and Compliance）対応の高度化を目的として，連鎖ダイアモンドモデルに基づく大規模言語モデル（LLM）によるGRC診断の自動化手法を提案する．従来研究で構築した連鎖ダイアモンドモデルをRAGとしてLLMに参照させ，攻撃連鎖に基づく脅威構造とGRC要件との対応関係を推論することで，従来は専門家に依存していた診断プロセスの自動化を実現する．評価実験により，本手法がGRC診断の効率化と一貫性の向上に有効であることを示す．

近年、脆弱性が増加し、さらに公表から修正までの間に発生する即時攻撃も増加している。このような中で、セキュリティ専門家の不足により全ての攻撃に迅速に対応するのは困難であるため、限られたリソースで対応の優先度付けが必要になる。本研究は、攻撃を段階的な手順として理解し、攻撃者が目的を達成するために重要な「急所攻撃」に注目する。この急所攻撃を特定し、そこに集中した防御策を選択することをねらう。しかし、単に大規模言語モデルを使うだけでは、セキュリティ専門家の思考過程の実現に問題があり、急所攻撃の特定や防御策の選択に課題があった。提案手法では、LLMにより各攻撃コマンドから攻撃目的を生成し、それが攻撃シナリオの説明文から抽出した攻撃目的と高い文章類似度を持つコマンドを急所攻撃とする。次に、特定した攻撃に対する仮説の防御策を生成し、公開されている防御策データベースとの類似度から最適な策を選定する。32件のデータセットでの検証結果は、急所攻撃の特定精度90.6%、防御策選定精度79.3%を達成した。検証結果より、提案手法は効果的な防御策を自動で優先度付けすることで、迅速な防御に寄与する可能性を示した。

セキュリティオペレーションセンタ（SOC）は，多様なセキュリティ製品を用いて組織内の脅威検出を担っている．しかし，近年における TLS 暗号化通信の急増は，従来の通信ペイロードに基づく分析を困難にしている．この課題に対し TLS インスペクションの導入が進められているが，設定の複雑さや互換性の問題から完全な普及には至っておらず，これを補完する検出手法の研究が数多く進められている．その中でも特に注目されているのが，複数の視点（マルチビュー）から暗号化通信の特性を捉えるマルチビューモデルである．しかし，著者による可視化実験により，このモデルがプロトコル環境の変化などに対して著しく頑強性を低下させるという設計上の重要な課題を抱えている点が浮き彫りとなった．そこで本稿では，既存の暗号化 C2 通信検出用マルチビューモデルにおける，頑強性を低下させる根本的な設計上の見落としを指摘する．そして，同様の可視化実験に基づき，その具体的な改善策を検証することで，実環境における脅威検出の安定性向上に貢献する．

近年，言語モデルを用いた攻撃検知技術が注目されている．USENIX Security 2023で提案されたAIRTAGは，BERTを用いてログの埋め込み表現を作成し，教師なしのOne Class SVMで異常検知を行う手法である．AIRTAGでは誤検知を抑えるために語彙出現頻度に基づくフィルタリングが行われているが，このフィルタの閾値調整には正解ラベルが必要であり，教師なし学習の目的と矛盾している．また，実運用では正解ラベル付きデータの用意が困難なため，閾値の調整は難しい．このことから，データセットに依存しないような異常検知を行うためには，言語モデルおよび1クラス分類器のみでの異常検知について考える必要がある．さらに，AIRTAGではRoBERTaやALBERT，ModernBERTといった言語モデルや，AutoEncoder，Deep SVDD，Isolation Forestなどの異常検知モデルは検討されていない．そこで，本研究ではBERTとOC-SVMに加え，これら未検討のモデルの性能比較を行い，より高い性能が期待できるアーキテクチャの探索を行った．

本研究では，SIEM のアラート発生時に即時利用できるプレイブックを生成する手法について検討する．従来の LLM によるプレイブック生成は抽象度が高く，実運用レベルに適用するには多くのチューニングが必要であった．この課題に対し，SIEM に収集されるログ種別・フィールド，アラート内容，検知ルール記述を統合し，LLM エージェントがアラートの背後にある脅威内容を推定し，それに応じた分析手順を段階的に具体化しつつ，各手順が利用可能なログに基づき実行可能かを判断する枠組みを設計した．これにより，従来は人手で補う必要があった抽象的プレイブックを，実調査で利用できるレベルへ自動的に落とし込むことが可能となった．さらに，RAG を用いた生成方式と比較したところ，エージェントはタスク分解や文脈解釈，調査観点の抽出に優れており，より整合性の高い調査手順を生成できることが示された．AIT ALERT DATASET および AIT LOG DATASET に基づく評価において，多様なログソースを横断した攻撃分析が実現され，攻撃関連ログの収集性能において，提案手法が有用であることが示唆された．

プログラムの挙動解明を目的とするバイナリ解析は，LLMエージェントの導入により，計画からツール実行までを自律的に遂行可能な新たな段階を迎えている．しかし，複雑なバイナリを対象とする場合，解析ステップが増大し，LLMのコンテキスト長制約に起因する情報の忘却や解析の中断が課題となる．そこで本研究では，解析戦略を策定するManagerと，解析ツールを実行するWorkerに役割を分割したマルチエージェント構成を提案する．Managerは関数コールグラフ（FCG）を解析全体を俯瞰する「地図」として活用し，解析状態を構造的に管理する．そして，Workerを無記憶で運用することでコンテキスト枯渇の抑制を図る．CTFの課題を用いた評価実験の結果，提案手法はFCGを用いないベースラインと比較して，正答率を向上させるとともに，トークンコストを抑えた効率的な解析を実現した．

サイバー犯罪の高度化に対応するため，AI による脅威インテリジェンス（TI）分析レポートの自動生成が期待されている．セキュリティエンジニアによる作業の中でも情報分析と報告書作成の作業コストが高く，TI の迅速な運用を妨げる要因になっている．本研究は，マルチペルソナ LLM を用いて分析レポートを自動生成する手法を提案する．具体的には，LLM による長文生成手法 STORM をサイバーセキュリティ分野へ初めて適用し，複数のペルソナ（仮想的な専門家）による議論に基づいて多角的な視点による分析レポートを生成する．その際，Web検索に基づく RAG ではなく，ReAct Agent のTool Calling（ツール呼び出し）機能を用いてログから能動的に情報を抽出する機構を構築した．専門知識を要するログ分析から報告書生成までの一連のプロセスを完全に自動化し，セキュリティエンジニアの作業負荷軽減と高品質な分析レポート作成が可能であることを実験で実証した．

フィッシングメール対策としては，多様な特徴量に基づく機械学習手法が数多く提案されてきた．しかし，これらの手法は設計された特徴量を静的に統合する枠組みに依存しており，メール内容や状況に応じて ｢どの情報を，どの順序で，どこまで分析すべきか｣ を柔軟に判断することは困難である．本稿では，この課題に対し，複数の分析タスクを担う専門的なWorkerと，それらの出力を踏まえて次に実行すべき分析タスクを決定するSupervisorから構成される LLM エージェント型フィッシングメール判定手法を提案する．複数特徴量を一括で処理する従来の機械学習モデルとは異なり，メールの特徴に応じて分析プロセス自体を動的に制御する点に本質的な特徴を持つ．実験の結果，フィッシングメール判定精度として97.67%を達成した．本手法は ｢どの情報が，どのような理由で危険と判断されたのか｣ を段階的な推論過程として明示できる点で高い説明可能性を有する．本研究の貢献は，フィッシングメール検知を単なる特徴量ベースの分類問題としてではなく，多面的な情報を動的に統合する推論プロセスとして捉える新たなアプローチを提示することにある．

インターネットの普及に伴いマルウェアの脅威が増大する中，従来のシグネチャーベースの検知手法は未知のマルウェアへの対応が困難という課題がある．本研究では，Windows実行ファイルのPEヘッダを特徴量とした機械学習による低コストなマルウェア検知手法を提案し，その有効性を検証した．PEヘッダは特別なツールを必要とせず容易に取得でき，マルウェア特有のパターンを含む．本研究では，データセットとしてEMBERとSORELを用い，全てのPEヘッダ特徴量と共通48特徴量の両方で実験し，ランダムフォレストで訓練データ数を9,000から72万まで変化させて評価した．実験の結果，訓練データ数約10万で正解率97.1%を達成し，9,000でも94.4%と10秒未満の学習時間を実現した．特徴量を48に削減した場合，実行時間はやや短縮されるものの性能は1ポイント前後の変化にとどまった．また，一方のデータセットで訓練されたモデルが，もう一方のデータセットの予測を行うとF値が低下した．これはデータセットの収集時期や特性の違いによるものと分析され，実運用では環境に適したデータ収集が重要であることが示された．

従来のサイバー防御は、攻撃発生後に対処する受動的アプローチが中心であり、対策が後手に回りやすいという問題がある。これに対し近年、攻撃者の行動を事前に推測し、攻撃発生前の予防措置や攻撃初期段階の早期対応を講じる能動的サイバー防御が注目されている。能動的サイバー防御を構成する技術として、攻撃の侵入地点から資産までの経路を推測する攻撃経路予測がある。攻撃経路予測により、攻撃者が辿りうる攻撃経路を事前に予測することができ、リスクの高い攻撃経路から優先的に予防や対策を講じることができる。従来、攻撃経路予測は脅威分析などに用いられ、主に攻撃発生前の予防措置に使われてきた。一方、攻撃初期段階の早期対応においては、攻撃経路予測は十分に活用されてこなかった。そこで筆者らは、攻撃経路予測を攻撃初期段階の早期対応に適用する際に、効率的に攻撃経路を絞り込む予測手法を提案する。提案手法は、攻撃検知情報に基づき、まず攻撃者が搾取した情報を推定し、さらにこの搾取情報から攻撃者が今後辿り得る攻撃経路を絞り込む。本稿では、提案手法とその実現課題、評価課題について述べる。

従来のサイバー防御は, 攻撃発生後に対処する受動的アプローチが中心であり, 対策が後手に回りやすいという問題がある. これに対し近年, 攻撃者の行動を事前に予測し, 攻撃発生前の予防措置や攻撃初期段階の早期対応を講じる能動的サイバー防御が注目されている. 能動的サイバー防御を構成する技術として, 攻撃初期段階の検知結果から続く攻撃を予測する攻撃シーケンス予測がある. 攻撃シーケンス予測により, 攻撃者の行動を事前に予測することができ, 適切な早期対応に繋げることができる. 従来, 攻撃シーケンス予測としてベイジアンネットワークやTransformerを応用した手法が研究されてきたが, その予測精度は改善の余地があった. そこで本研究では, 攻撃に用いられた攻撃手法の解説文に着目し, 攻撃手法とその解説文から続く攻撃を予測するTransformerベースのモデルを提案する.

Network topology is crucial for network research, simulation, and evaluation. Penetration testing relies on realistic network structures. As AI agents increasingly automate pentesting, diverse and realistic environments are essential. These require accurate topologies and attack scenarios. However, most topologies are synthetically generated and lack real-world characteristics. Existing generators produce many networks but miss practical connection patterns. We propose a method that generates realistic topologies reflecting actual organizational subnet categories and connections. Given an organization type and size, our approach produces topologies resembling real networks. We evaluate using Mapping Graph Distance against real-world data. Campus networks average 0.83 similarity across sizes. Corporate networks average 0.96, with 1.0, 1.0, and 0.89 for small, medium, and large sizes. Research networks achieve 1.0 for all sizes. Results show our generated connections effectively capture structural and security characteristics of real organizational networks.

国際学術ローミング基盤eduroamは外部機関の利用者も接続可能であり，大学ネットワークのセキュリティ課題となりうる．横浜国立大学では，機器管理者が自らアクセス制御を行うエンドホスト防御モデルを採用し周知してきたが，適切な対策が講じられているかは不明であった．本研究では，eduroam，学内Wi-Fi，有線LANの3経路からポートスキャン，バナー取得，Web UI調査を実施した．結果，eduroamから1,188台のホストにアクセス可能であり，3経路共通の1,080台のうち96.8%で開放ポート群が完全に一致した．さらにプリンターやNASなど外部公開を意図しない機器のWeb UIもeduroamから到達可能であった．これらはエンドホストレベルのアクセス制御が浸透していなかった可能性を示唆する．この結果を受け，情報基盤センターでは，大学の承認を得た上で，eduroamから学内ネットワーク接続機器へのアクセスを遮断する対策を行った．本研究は，周知に依存したセキュリティモデルの限界を示すとともに，調査から対策実施に至る一連の取り組みを報告し，同様の課題をもつ他組織の参考となることを期待する．

本稿では，日本の病院で発生したサイバーセキュリティインシデントを分析することで，病院のセキュリティ対策の現状を明らかにし，実情に基づいたサイバー攻撃への対策方法について考察する．病院の電子化が進み，外部ネットワークとも接続されるようになった結果，サイバー攻撃の被害が拡大し，病院へのランサムウェア攻撃が深刻な問題となっている．被害を受けた病院では電子カルテが暗号化されたことで，業務が停止し，ドイツの病院では患者の死亡事故も発生している．国内の病院へのサイバー攻撃インシデントを分析した結果，インシデント発生原因は，VPN機器の脆弱性管理の不備や，提携事業の遠隔接続の管理不足など，基本的なセキュリティ対策が行えていないことだとわかった．しかし，病院の経営やシステム運用の特殊性から，基本的な対策を完璧に行うのは困難であるため，実情に基づく，セキュリティ対策方針を検討した．システムへの侵入を防ぐ境界防衛よりも，システム内の通信監視が有効であり，業務継続等の観点から，監視対象を電子カルテシステムに絞ることが有効であると考察した．今後，病院と協力し，考察した対策方針の有効性を検証していく予定である．

近年，インターネット利用者のプライバシー保護を中核とするプロトコルが多く提案されている．その中の一つがIETFのRFC 9458として公開されたOblivious HTTP(OHTTP)である．OHTTPはクライアントとターゲット間にリレーとゲートウェイを新たに設け，クライアントのIPアドレスと通信内容の紐付けを困難にすることを目的とする．しかし，リレーは暗号化された各HTTPメッセージのデータサイズを知ることができ，通信解析により通信内容を推測する危険性がある．先行研究では地図サービスを対象として通信解析を行い，防御手法が施されていない場合に，単一のズームレベルでは通信内容の推測が高確率で成功し得ることが示されている．本研究では地図サービスに対する通信解析を拡張し，ラスタータイルおよびベクタータイルの2種類のタイルと複数のズームレベル，表示領域を対象として通信解析を行う．実験では，外部サービスへの負荷を避けるためにローカル環境に地図サーバを構築し，その後OHTTPを通し通信を収集し，表示地点の推測精度を評価する．

近年，ますますサイバー攻撃は増加している．被害は企業の規模や業種を限定せず拡大しており，その被害内容も多岐にわたる．そのため，システムの管理者は自身の管理するシステムで起こり得る被害を想定し，サイバー攻撃から守るために最適な対策を検討することが，引き続き喫緊の課題となっている．過去に発生したセキュリティインシデントの事例を参照するとことで，攻撃手法や被害内容を確認することが可能になるため，システム管理者にとって非常に有益な情報である．攻撃手法はシステムの構成に関連し，被害の内容はシステムの運用目的によって異なるため，システム管理者が有益な情報を得るためには，過去事例の適切な選択が非常に重要である．システムに配置した機器の構成情報と関連するセキュリティリスクを算出する方式として，脆弱性データベースの活用が有用である．しかし，これらの情報は被害事例と関連するとは限らないため，過去事例の選定にはセキュリティ専門家による調査が必要であった．本研究では，システムの構成等の情報に基づき，システムの管理者が注目すべきセキュリティインシデント事例を自動で検索する方式について提案する．

Evil Twin攻撃(ETA)は，正規アクセスポイント(AP)に偽装した不正APを設置し，端末を誤接続させる攻撃である．先行研究では，正規APより電波強度が低い不正APであっても，正規APに負荷攻撃を与えることで不正APへの接続が発生する現象が確認されている．しかし，この現象がOSやチップセットの違いによって変化するかについては十分に検討されていない．そこで本研究では，OS・ハードウェア構成がmacOS端末と異なる場合においても同様の挙動が再現されるかを明らかにすることを目的とする．具体的には，モバイル端末であり，かつiOS以外の環境としてAndroid端末を選定し，先行研究と同一条件で実験を実施した．その結果，macOSと同様に負荷攻撃下において不正APへの接続が増加することを確認した．この結果は，ETAがOSやチップセットに依存せず，多様な端末環境で成立し得る攻撃であることを示す．

深層ニューラルネットワーク(DNN)は多様な認識タスクで高精度を示す一方，敵対的攻撃に対して脆弱である. 特に敵対的パッチ攻撃は，現実世界で誤認識を誘発する深刻な脅威となっている. 画像認識における敵対的パッチ生成攻撃は, モデルから出力される正解ラベルの尤度を下げるようにパッチを生成する. 敵対的パッチを施した入力画像に対しては, 攻撃者が意図したラベルへの誤った推論を行う. 本稿では, イメージセンサから特徴量データを出力するセンシング技術と画像復元ネットワークを組み合わせた画像認識システムを用いて, 敵対的パッチ攻撃の影響を緩和する手法を提案する. これにより, CIFAR-10をデータセットとして用いた検証において, パッチ攻撃による認識精度の低下を回復した.

敵対的サンプル(Adversarial Examples) は機械学習に対する攻撃手法であり、視覚的には弁別できないが機械学習の推論結果として異なる結果を出力させる攻撃である。敵対的サンプルに対しては新たな防御手法に対してその手法を無効化するような攻撃手法が考案されることが繰り返されているため、攻撃手法、防御手法に対して理論的な基盤を与えることが重要である。攻撃手法の理論基盤として、Shamir らによりDimpled Manifold Model が提唱されている。これは、入力データは入力空間において多様体上に分布しており、敵対的サンプルは多様体外に作られるというモデルである。このモデルに基づくと、入力データに対する多様体への射影は有効な防御手法となりうるが、識別器の性能劣化を引き起こす可能性があった。本研究においては、Isometric Autoencoder による多様体への射影が本来の推論結果に対する劣化を及ぼさないこと、および多様体外の点を多様体上に射影した場合に頑健性が向上することをガウス過程での推論に対して理論的および実験的に示した。

深層学習による物体検出モデルは、入力画像に物理的なパッチを配置することで検出結果を誤らせる敵対的パッチ攻撃に対して脆弱であることが知られている。本論文では、複数のマスクパターン（市松模様、縦縞、横縞）を用いたinpainting 処理により、敵対的パッチの影響を軽減する対策手法を提案する。INRIA Person データセットとHuman Detection データセットを用いた実験により、攻撃が行われた時の検出精度が最大で1.55%から47.17%まで回復することと、その際に、攻撃が行われていない通常時の画像に対して、検出精度の劣化が3%以内に抑えられていることを確認した。

Deep Neural Networkに基づく画像分類器の意思決定プロセスを可視化する解釈器は敵対的攻撃に対して脆弱であり、微小な入力摂動によって操作可能であることが知られているが、既存の攻撃手法の多くは入力画像ごとに個別に摂動を最適化する必要があり、リアルタイム性の観点で課題があった。本稿では、画像解釈器に対する新たな脅威として、Universal Adversarial Perturbations (UAP) を用いた標的型攻撃手法を提案する。提案手法では、複数の入力画像に対して、解釈結果を攻撃者の意図するターゲット形状へと操作可能な「単一の」摂動を生成する。画像解釈器の1つであるLRPに対する実験により、提案手法で学習した単一の摂動を加えることで、特定の特徴を持つ入力画像に対して解釈結果を改ざんできることを示す。

プロンプトインジェクションは，大規模言語モデルに対し悪意ある命令を与えることで不正な回答を生成させ，完全性や機密性を侵害する攻撃である．また，自然言語に加え視覚情報を扱う能力を持つ視覚言語モデルに対し，特に視覚的な入力に不正な指示を隠す攻撃はビジュアルプロンプトインジェクション（visual prompt injection: VPI）に分類される．典型的なVPIでは，画像の画素空間上に直接命令文を書き込んだり，命令文を書いたステッカーを物理的に被写体に貼り付けたものをカメラで撮影したりすることなどで攻撃を行う．これに対し本研究では，画素空間に対し人間による認知が困難な敵対的摂動を加算することによるVPI手法を提案し，これに対するモデルの頑健性を評価する．従来のVPIが悪意ある命令文を入力に紛れ込ませ，それに従ったモデルが不正な回答を出力するよう設計されていたのに対し，提案手法によるVPIではモデルの予測トークンを直接誘導するように敵対的摂動を設計する．オープンウェイトモデルを用いた評価実験を通して，提案手法によるVPIがモデルの実用上の脅威となり得ることを示す．

近年，深層学習を用いた音声認識技術（ASR）の普及に伴い，その脆弱性を突く敵対的サンプル（Adversarial Examples）の脅威が顕在化している．特に，音声波形に人間には知覚できない微小な摂動を加えることで，AI モデルに攻撃者が意図した特定のコマンドとして認識させる「標的型攻撃」は，スマートスピーカー等の音声インターフェースにとって深刻な脅威となる．従来の手法（C&W 攻撃など）は強力であるが，最適化の過程で局所解に陥りやすく，生成が困難な場合がある．本研究では，モデルの決定境界を探索的に推定する「境界探索（Boundary Attack）」のアプローチを音声認識に応用する．具体的には，標的テキストの音声を初期解とし，その認識結果を維持したまま徐々にオリジナルの音声へと近づけていく手法を検討する．実験では，日本語音声認識モデル Wav2Vec2 を対象に，本来の音声「天気教えて」から，AI に「電気を消して」と誤認識させる敵対的サンプルの生成を試みた．その結果，聴覚的には元の音声と区別がつかない品質を保ちつつ，標的テキストへの誤認識を誘発可能であることを確認した．

Sumplete とは、格子状に配置された数字の中からいくつかを消し、各行（または各列）の残った数字の合計が、その行（または列）に指定された目標値と一致するようにする論理パズルである。Kaneko ら (ISC 2024) は天秤とコインを用いたゼロ知識証明という枠組みを提案し、数独やカックロなどに対するプロトコルを提案した。本稿では、Sumplete に対する天秤とコインを用いたゼロ知識証明プロトコルを 2 つ提案する。1 つ目はいくつかのコインの重さ情報を検証者に与える設定におけるプロトコルであり、2 つ目のプロトコルはそのような仮定が不要なプロトコルである。

投票は古くから普及している暗号プロトコルの一つであり，集団の意思決定の手段として広く活用されている．ただし通常の投票箱を用いる方法では，個人の投票先は秘匿できるが，得票数は明らかとなる．そこで著者らは，物理的な天秤を活用して，得票数を秘匿しながら集計を行う新たな暗号プロトコルを国際会議FPS 2024にて提案した．本研究では，コンドルセ方式と呼ばれる投票方式を可能にする天秤ベース投票プロトコルを提案する．コンドルセ方式と一般的な多数決方式の違いは，各投票者が候補者の順位を投票するところにあり，提案プロトコルを用いることで，あらゆる情報を秘匿しながら順位を基に当選者のみを決定することができる．

物体や物理的な現象を基に証明を行うことで証明の理解に複雑な数学の知識を必要としない，物理ゼロ知識証明の方式が提案されている．本研究では，その一つである天秤ベースのゼロ知識証明の実装に役立つ機構を，3Dプリンタなどを用いて製作した．具体的には，投票で必要となる見た目で判別できない2種類の重さの異なるコインと，コインの束をシャッフルするためのコインケースについて報告する．また，効率的な比較のため天秤を並べて複数のコインの束を同時に比較し，最も重いもののみを検出する並列天秤を製作し，精度や摩擦の影響を受けず5つのコインの束まで同時に比較可能であることを確認した．併せて，天秤ベースの投票プロトコルを，並列天秤を用いてコインの束を5つずつ比較する場合に拡張した．研究室内の模擬投票において製作した機構を試用した際には，12名の投票者による5つの候補への投票の場合，投票操作には約15分，集計操作には約3分の時間を要した．

物理的暗号はカードベース暗号を中心に発展してきたが，近年はカード枚数やシャッフル回数の削減といった効率化に主眼が置かれ，方式が複雑化している．そのため，物理暗号が本来有する利点であるマルチパーティ計算やゼロ知識証明といった高機能暗号の「原理を直観的に理解しやすい」という特徴が十分に生かされていない．本研究では，ゼロ知識証明の原理を直観的に理解することを最優先とし，従来用いられているカードなどに囚われない，数独向け物理的ゼロ知識証明デバイスを設計する．本デバイスでは，観察可能な情報を「光の透過の有無」に限定することで，解の存在以外の情報を開示しないゼロ知識性を視覚的に把握できるようにした．さらに，入力構造を制約して不正配置を防ぐとともに，動作原理を単純化することで正当性と健全性を容易に理解できるようにしている．以上により，本手法では従来研究で十分に扱われてこなかった「わかりやすさ」を重視し，可視化と操作性の改善によって非専門家にも理解しやすい物理的ゼロ知識証明を実現している．

視覚暗号(VCS)は情報の安全性と可用性を両立する秘密分散の一種であり, 復号に人間の視覚を用いるため計算機を必要としない点が最大の特徴である. しきい値型の(k, n)-VCSでは, 保護したい1枚の秘密画像からn枚の分散情報(シェア画像)を生成し, 透明なシートに印刷して保存する. 復号時にはk枚以上のシェア画像を集めて重ね合わせる必要があり, k枚未満のシェアからは秘密画像に関する情報を一切得ることができないようになっている. 確率的VCS(PVCS)は従来の画素拡大型のVCS とは異なり, 画素拡大を必要とせず, 復元時の画像の色の出現確率を制御することによって秘密画像を再現する方式である. 本研究では, 岩本が画素拡大型のVCSの枠組みの中で提唱した弱安全性と無条件安全性の2つの安全性条件に着目し, グレースケール画像を入力とするPVCSにおけるこれらの安全性条件を定式化した上で, 両者の安全性条件が等価であることを証明する.

本研究では、紛失通信(Oblivious Transfer)をカード型暗号で実現する手法を議論する。カード型暗号では、コミットメントやゼロ知識証明など、古典暗号でも重要な機能を実現することに成功している。また、１ビットの情報転送を秘密裏に行うカード型ゲームは、Fisher-Paterson-Rackoffの先駆研究[YALEU/DCS/TR-792(1990)]が知られている。古典暗号理論で、最も原始的な原理は一方向性関数であり、一方向性関数から、コミットメントやゼロ知識証明が構成できることも知られている。しかし、紛失通信は、一方向性関数原理だけから構成することは困難であると信じられている[Impagliazzo-Rudich, ACM-STOC'89]。本研究では、どのような条件下で、紛失通信がカード型暗号で実現できるかを、シャッフル乱数の協調生成における（不）公平性に注視して、解析する。

「お家へ帰ろう」はニコリが考案したペンシルパズルで、盤面の文字をタテヨコに動かし、太線で囲まれた「家」に戻すことを目的とする。制約は、(1)同じ文字は同じ家へ、異なる文字は異なる家へ帰す、(2)移動経路は矢印で示しマス中央を通す、(3)線は折れてよいが他の文字や線との交差は禁止、である。類似パズル「スリザーリンク」「ナンバーリンク」はNP完全であり、本パズルもNP困難と予想されるが、NP完全性は未解決である。本研究では、このパズルの解答を知っていることを証明するカード型ゼロ知識証明を設計する。プロトコルは非対話型で、証明者はパイルシャッフルを駆使する。

裏面の上下識別不可能性を持つ同一カードを用いたカードプロトコルを考える．通常の2色カードを用いたエンコーディングルールとは異なり，1枚のカードで1ビットを表現可能である点が大きなメリットである．これまで，3値入力可能な可換半群の条件を満たす非コミットメント型AND演算拡張プロトコルの構成をはじめ，Hamming association schemes のアクセス構造を持つ2者間プロトコルの構成など様々なバリエーションが提案されている．本稿は，同じく上下カードを用いたカードプロトコルの新しいアプリケーションを提案する．特にメンバーシップ判定や各種マッチング機構において，通常の2色カードを使用する方法と比較して，枚数削減や手順の簡素化などの優位性を持つ実例について報告する．

カードベースプロトコルの評価指標の一つに、プロトコルのシャッフル回数が挙げられる。シャッフル回数を削減する方法として、複数のシャッフルを一つのシャッフルに集約するバッチング技術がある。石崎-品川（SCIS 2024）はバッチング技術で用いる追加カードを削減するために一般化パイルスクランブルシャッフルを用いる手法とブランチング技術を用いる手法を提案し、バッチング技術の効率化を行った。本稿ではそれに加えて使用するカードに着目してさらなる効率化を図る。既存手法では2色カード組と呼ばれる表面が2種類で裏面が1種類のカードを用いていたが、本稿では2色カードより表面の種類が多い表面多色カード組と裏面の種類が多い裏面多色カード組を用いた手法を提案する。加えて、それらのカードの上下の向きを考慮する手法を提案する。

統計的な安全性を持つ検証可能秘密分散（Statistical Verifiable Secret Sharing; Statistical VSS）はRabinとBen-Or（STOC1989）によって提案されたVSSである。RabinとBen-Or の研究でStatistical VSSの構築に情報確認プロトコル（Information Checking Protocol; ICP）を用いたが、その後、Patraら（ASIACRYPT2010）によって改良されたICPを用いたStatistical VSSが提案された。Statistical VSSは安全性要件において無視できるほど小さい確率での攻撃成功を許容することで参加者の人数に対して許容できる不正者の人数を増やした。同様にICPでも安全性要件において無視できるほど小さい確率での攻撃成功を許容している。本研究では検出回避攻撃者という攻撃者モデルを考え、検出回避攻撃者が合理的に行動すると 仮定することで統計的安全性における無視できるほど小さい確率で攻撃に成功することを無くすことが出来るかどうか、検討を行う。

筆者らはこれまで，認証情報をセキュアに保存すること，および機微情報，機密情報を分散保管するという目的で，ISO/IEC 19592-2 の秘密分散アルゴリズム，と標準化後の新アルゴリズムのソフトウェア実装の検討を行ってきた．一般に知られているように，通常のアルゴリズムでは，分散片の一つ一つが元の秘密情報のデータ量を下回るようには出来ない．ランプ型ではその制約を緩めることができるが限界がある．われわれは，筆者の一人が発表した分散総データ量が秘密情報と同じになる新方式である多重秘密分散法（MSSS），さらに，その発展形である多重秘密分散法の高速演算性を保ちつつ可用性対応を行う方式により総データ量と分散演算法の実装性能向上検討を行ってきた．それらの実装性能については，これまで詳細を報告した．本論文ではその高速性能を生かしたシステム実装について検討したので報告する．

メッセージ認証とは, 安全でない通信路を通じてメッセージを送信する際, そのメッセージの正当性を保証する技術である. 暗号理論における最も基本的なモデルでは, 事前に鍵を共有している送受信者とメッセージのなりすましや改ざんが行える攻撃者がいる状況を想定する. この状況のもとで送受信者は協力し, 攻撃者による不正なメッセージを検出しつつ, 送信者のメッセージを正当なものとして受け取ることを目的とする. メッセージ認証における興味の一つとして, 鍵の分布が与えられた際の攻撃成功確率の下限を調べる問題がある. 四方は, 鍵の分布が一様とは限らない場合の認証を扱い, 鍵の衝突エントロピーによる攻撃成功確率の下界を示した. 齋藤と渡辺は, 鍵と攻撃者の知識が独立とは限らない場合の認証を扱い, 条件付き衝突エントロピーによる下界を示した. しかし, これらの下界を達成する認証符号が存在するかどうかは知られていない. 本研究では, 鍵と攻撃者の知識が独立であり, 鍵の分布が一様とは限らない状況において, 2値または3値のメッセージの認証を行う際の衝突エントロピーによる攻撃成功確率の上界を示す.

しきい値秘密分散法では，しきい値未満のシェアが漏洩しない限り，秘密情報は安全に保たれる．Goyalらは，悪意のある参加者が結託し，自身のIDを秘匿するようにシェアを加工した関数（再構成ボックス）を作成・売却する状況を考察し，そのような再構成ボックスの構成方法によらず，悪意のある参加者を追跡可能な秘密分散法を提案した．さらにBonehらは，ShamirおよびBlakleyの秘密分散法に基づく効率的な不正者追跡法を示している．本論文では，Shamirの秘密分散法をランプ型秘密分散法に拡張した方式を対象とし，悪意のある参加者が再構成ボックスRを作成して売却する問題を考える．ランプ型秘密分散法では，しきい値未満のシェア集合からも秘密情報に関する部分情報が漏洩し得るため，再構成ボックスの構成を拡張する必要がある．また，Bonehらの方式では，結託者数をf人とした場合，結託者を追跡するために再構成ボックスRへのブラックボックスアクセスをO(f)回要する．これに対し，本研究では，ランプ型秘密分散法においては1回のアクセスのみで結託者を追跡可能であることを明らかにする．

PEGASISは, CSIDHなどの同種写像暗号で用いられる, 超特異楕円曲線へのイデアル類群作用を計算するアルゴリズムである. 従来の方式ではイデアル類群の特定の元の作用や, 十分なセキュリティレベルが得られれない512ビット程度の素数の場合しか効率的に計算出来なかったが, PEGASISは最大4000ビットの素数について, 任意の元の作用を効率的に計算することの出来るアルゴリズムである. このアルゴリズムはイデアルのノルムに関する方程式を解き, 楕円曲線の同種写像を4次元アーベル多様体の同種写像に埋め込むことでイデアル類群作用の効率的な計算を実現している. しかし, 方程式の解を探索するアルゴリズムにおいて, 平均よりも大幅に時間がかかり, それに伴い全体の実行時間も大幅に増加するケースがしばしばあり, 実行時間の分散が大きいという問題がある. 本稿では処理の途中でパラメーターを動的に取り替える方式を提案し, それによって全体の実行時間の平均を増加させずに分散を十分に小さく抑えることが出来ることについて報告する.

素数 p ≥ 5 に対し，虚二次体 Q(√−p) の整環 O = Z[√−p] のイデアル類群 Cl(O) は EllFp (O)へ自由かつ推移的に作用する．ここで，EllFp (O) は Fp 上定義された自己準同型写像全体の集合 EndFp (E)が O に同型となる Fp 上の超特異楕円曲線の Fp-同型類の集合である．この作用は CSIDH およびその派生の基盤をなすものであり，その安全性は Group Action Inversion Problem(GAIP) の計算困難性に依存している．本研究の目的は，離散対数問題に対する Pohlig-Hellman アルゴリズムと類似した手法として，中間一致攻撃を用いて CSIDH の設定における GAIP を効率的に解くことを可能にする類群軌道の構築が実現可能かどうかを検討することである．さらに，構築した軌道を用いた中間一致攻撃を SageMath上で実装し，いくつかの素数 p に対する実験結果を報告する．

同種写像暗号CSIDHおよびその決定的変種dCSIDHは，ポスト量子暗号として注目されている．dCSIDHでは，公開鍵検証のために全ねじれ点を公開し，ペアリング計算を用いて検証を行う．ペアリング計算には一般にMillerのアルゴリズムが用いられるが，このアルゴリズムはハミング重みによって演算回数が増加し，計算コストが高い．本稿では，NAFでのハミング重みを削減する素数配列を導入し，CSIDH-512およびdCSIDH-2048における公開鍵検証の効率化とCSIDH-512の共有鍵導出への影響を評価する．CSIDH-512において，ハミング重みを176から142へ19.3%削減し，鍵検証は演算回数17394.6回から16866.8回へと3.0%削減された一方，共有鍵導出時間は素数総和の増加により0.7%増加した．また，dCSIDH-2048において，ハミング重みを667から611へ8.4%削減し，鍵検証は演算回数75,412.6回から74,550.8回へと1.1%削減された．本評価により，鍵交換と公開鍵検証におけるトレードオフを明らかにした．

同種写像暗号方式は量子計算機による耐性のある公開鍵暗号方式（耐量子計算機暗号）の候補の一つである．同種写像暗号は他の耐量子計算機暗号と比較して，小さい鍵で安全なプロトコルが実現できると考えられている．一方で，計算効率の悪さや，安全性解析が不十分な点が欠点として挙げられる．同種写像暗号POKEはBassoとMainoらによって提案された同種写像暗号方式の一つであり，鍵長の短さと計算効率の良さを併せもつ暗号方式である．POKEの安全性の根拠となっているのは，次数の情報を秘匿したねじれ点付き同種写像問題である．この問題は隠された同種写像の次数が明かされると解けてしまうため，次数の情報が漏洩するとPOKEは破られる．本研究ではPOKEの公開鍵が特殊な条件を満たすとき，POKEが解読可能であることを証明する．より正確には，次数の情報を秘匿したねじれ点付き同種写像問題において，ねじれ点の位数と次数の差が未知の整数の2乗で表されるとき，この問題が解けることを証明する．さらに，この解法を一般化し，POKEに弱鍵が低確率ながらも存在することを示す．

本研究では、従来の $\varepsilon$-差分プライバシー（DP）を一般化する枠組みである $(f,\varepsilon)$-差分プライバシーに着目し、関数 $f$ の選択に基づくプライバシー損失の合成における性質を調査する。まず、従来研究において用いられてきた直列合成定理や R\'enyi 差分プライバシー（RDP）に基づく合成定理の上界との比較を行い、関数$f(t)=t\log t$を用いて$(f,\varepsilon)$-DP による合成定理の上界の有用性を明らかにする。また、先行研究の比較に用いられていた関数 $f(t)=\max\{t-1,0\}$ と、本研究で用いた関数 $f(t)=t\log t$ の二つの関数に対しても、その振る舞いを数値的に比較し、従来手法との相違点および有用性を詳細に評価・検証する。

確率的アルゴリズムのプライバシー性を保証・評価するフレームワークとして差分プライバシの研究が進められている。しかし、そこでは常に有用性とのトレードオフが発生する。本稿では、時系列解析モデルを差分プライベートな確率的勾配降下法(DP-SGD)によって推定した際、有用性の低下に起因するモデル崩壊のリスクに対して定量的な評価を与える。より具体的には、時系列解析における定常性の誤判定リスクを定義し、そのリスクの上界を与える。さらに、DP-SGDに基づく時系列解析モデル推定における誤判定リスクを、一連のパラメータを用いてシミュレーションを行う。それらのパラメータがリスク上界に与える影響の強さを考察し、影響の強いパラメータが実際にシミュレーション結果にも強い影響を与えることを確認した。

連合学習は，学習データを共有せずに共同モデルを構築できる手法として注目されているが，現実の分散環境ではクライアント間のデータ分布が独立同分布 (IID) であるとは限らず，特に非独立同分布 (Non-IID) 環境では，FedAvgなどの既存手法において収束の不安定化や精度低下が生じることが知られている．さらに，差分プライバシを適用した場合，DP-SGDによるノイズ注入が更新量のばらつきを増大させ，性能低下を一層深刻化させる．本研究では，Non-IID環境下でDP-SGDを用いる際の学習安定性向上を目的として，モデル更新量に基づくクリッピングを導入した統合手法を提案する．提案手法では，各通信ラウンドでローカルモデルとグローバルモデルの差分ノルムを算出し，閾値を超える大きさの更新に対してクリッピングを適用する．また，閾値を通信ラウンド数に応じて漸減させることで，初期段階では大きな更新を許容しつつ，後半では収束に向けた安定した更新を実現する設計とした．本研究では，MNISTを用いた評価実験で，提案手法がNon-IID環境下において，より安定した収束と高い分類精度を実現することを示す．

グラフの三角形計数は，グラフデータ分析における重要な基本タスクである．ユーザが分散的に管理するグラフデータをサーバが分析する状況において，プライバシー保護の観点からエッジ局所差分プライバシー（Edge-LDP）を満たす手法が求められており，三角形計数に関しても様々な手法が提案されている．しかし，既存の多くのプロトコルでは，各ユーザがプライバシー保護のためにノイズを付与した隣接頂点情報を送信する必要があり，総ユーザ数 n に対して Θ(n) ビットの通信コストが発生する．この通信量は大規模グラフにおいては深刻なボトルネックとなる．本研究では，非対話型 Edge-LDP環境下において，通信コストを大幅に削減する新しい三角形計数プロトコルを提案する．提案手法は，ランダムレスポンス (RR) に加え，三角形候補集合となる 3 頂点組を分散的にサンプリングすることで，送信するメッセージサイズを圧縮する．また，提案手法におけるメッセージサイズと計数誤差の間のトレードオフに関する理論的な解析を与える．

連合学習は、各クライアントが保有するデータのプライバシーを保護しながら協力してモデルを訓練する枠組みである。近年はより現実的なシナリオとして、各クライアントがラベルなしのターゲットデータを用いて、ソースデータにアクセスすることなく学習を実施する、連合ソースフリードメイン適応（FFREEDA）が検討されている。我々はこの枠組みを、より複雑で現実的な設定であるクラス不均衡FFREEDA（CI-FFREEDA）へと拡張する。既存手法の再現実験の結果、我々は集約手法やドメイン適応手法の強化ではなく、特徴量抽出器自体の改善へ焦点を移す必要性を再考した。我々は、FFREEDAのバックボーンを、パラメータを固定した画像基盤モデルに置き換えることを提案する。これにより、連合学習における計算コストと通信コストの削減が可能になる。実験結果は、基盤モデルがドメインギャップ、クラス不均衡、さらにはターゲットクライアント間の非独立同分布性（non-IID）の影響を効果的に緩和することを示しており、複雑な適応手法や連合学習手法ではなく、強力な特徴量抽出器が現実世界の連合学習を成功させる鍵であることを示唆している。

昨今の機械学習において，訓練済モデルを複数のユーザが共有し，各々のプライベート入力に依る出力結果を共有するという利用場面は非常に一般的である．しかしながらこのようなシナリオにおいて，「出力結果が各々の``正当な''入力から得られたか」の検証には，入力を公開できない場合，技術的困難が生じうる．この課題について複数の先行研究がすでに為されており，特に入力に認証タグがついている状況では理論上実現されている．ただし証明生成の計算量には課題があり，対応するニューラルネットワークの規模および証明生成を行うマシンスペックによっては，現実的ではない場面があった．本研究ではこの計算量の削減を目標とする．ニューラルネットワークの計算の大部分はベクトルの内積計算によって行われるため，内積計算をゼロ知識証明で用いられる回路に変換する効率的なエンコーディングが有効である．本論文は，離散フーリエ変換で用いられる手法をベースとしたEffective Packingという新たなエンコーディング方式を提案する．本方式は先行研究ZENで提案されたStranded Encodingの効率性を約1.75倍向上する．

垂直連合分割学習 (VFSL) は，複数のクライアントと単一のサーバが協力して深層ニューラルネットワーク (DNN) を学習する手法である．VFSLでは，DNNモデルがクライアントとサーバの間で分割される．両者は分割境界で中間特徴量と損失の勾配のみを交換することで学習および推論を行う．このアプローチは，入力データやラベルの直接的な共有を回避することでデータの機密性を保護しつつ，実用的なモデル学習を可能にする．しかし，VFSLにも従来の中央集権型学習と同様に敵対的サンプル(AEs)の脅威が存在する．VFSLの場合，悪意あるクライアントがサーバへ送信する中間特徴量に意図的な摂動を加えることで誤った推論結果を引き起こす．本稿では，このAEsに対処しモデルの安全性を高めるために，サーバ側に敵対的学習 (AT) を導入する．具体的には，サーバはクライアントから受信した中間特徴量に敵対的な摂動を能動的に加えながら，自身のモデルを学習させる．実験の結果，従来の中央集権型学習と同様に，ATがVFSLにおけるモデルの頑健性精度を向上させることが示された．

本稿では，連合学習における報酬配布の正当性をクライアント自身が検証可能とする枠組みを提案する．連合学習におけるクライアントは，計算コストやプライバシー上の懸念，高品質データを外部に開示したくないという動機などから，適切なローカル学習を行わない可能性がある．この問題に対し，貢献度評価に基づく報酬配布を行うことで適切な学習参加を促す「報酬付き連合学習」が提案されてきたが，中央サーバを完全には信頼できない環境では報酬額の恣意的操作が生じ得るため，クライアントによる報酬の正当性検証が必要である．そこで本稿では，医療・製造の二つのシナリオに対し，報酬の正当性を検証可能とする二種類のプロトコルを提案する．医療シナリオではコサイン類似度による逐次的な貢献度評価と報酬の正当性検証を実現する．一方，製造シナリオではLeave-One-Outを用いた貢献度評価に加え，コミットメントと秘密計算を組み合わせることで，貢献度検証用データの悪用防止と報酬の一括検証を実現する．提案手法は，貢献度評価と報酬配布の透明性を確保しつつ，各シナリオに応じて必要な貢献度の秘匿や貢献度検証用データの悪用防止をも備える．

Language is a core part of human culture, it shapes how people think, communicate, and even interact with technology. According to Ethnologue, approximately 7,159 languages are spoken around the world, with about 44% classified as endangered. The twenty most widely spoken languages account for nearly 3.7 billion speakers. One area where this influence is particularly evident is in password creation. In this study, we explored how Japanese speakers form passwords in English and in Katakana, written in Romaji (the Romanized form of Japanese). To investigate this, we invited a group of students to take part in an experiment and recorded our observations and results. The goal of this experiment is to determine whether passwords created using Romaji are inherently stronger than those created in English, and therefore more resistant to brute-force attacks.

パスワードは記憶しやすいことが望ましい一方で，組織によっては有効期限ポリシーにより頻繁な変更が義務付けられる場合がある．このような状況下では，ユーザはパスワードの更新を求められた際に，元のパスワードに類似したものを選択する傾向がある．しかし，このような行為は，組織がパスワード認証を強化しようとする意図に反し，かえってセキュリティを低下させる可能性がある．この問題に対処するため，Berardi らは Bloom Filter に基づくパスワード類似性検出手法を提案した．本方式では，ユーザの過去のパスワードを Bloom Filter に保存し，パスワード更新時に類似したパスワードが入力された場合にこれを検知する．本方式の目的は，単なる類似性チェックにとどまらず，Bloom Filter から過去のパスワードが推測されないようにする点にもある．本研究では，この既存方式の安全性評価を行うとともに，より安全であると考えられる改良案を提案する．

スマートフォン標準のRGB-D入力だけで空間を鍵とする軽量認証パイプラインを構築した。SIFT特徴の3D化と対応付け，RANSACによる外れ値除去付きのアフィン推定，平面拘束による高さの整合度の判定を統合する。Washington RGB-D Scenes Dataset v2 の近接/遠隔ペア約21万組で評価し，代表設定でTPR 0.7783，FPR 0.0919，Balanced Accuracy 0.8354 を達成し，RGB-Dのみでの空間認証の成立可能性を示した。

Hinting PRGは、KoppulaとWaters (CRYPTO 2019)により定式化された特殊な疑似乱数生成器であり、CPA安全な公開鍵暗号(PKE)と組み合わせてCCA安全なPKEを構成できることや、暗号文が疑似ランダムなPKEと組み合わせて落とし戸付き関数(TDF)を構成できること等がこれまで示された。本稿では、Hinting PRGと他の要素技術との新たな関係性を明らかにする。具体的には、(1) Hinting PRGと暗号文が疑似ランダムなPKEから、関連入力安全性(複数の鍵の下で同一の値が入力として用いられる状況での一方向性)を満たすTDFを構成できること、及び、(2) 鍵依存メッセージ(KDM)安全な共通鍵暗号からHinting PRGを構成できることを示す。(2)は、著者らが知る限り初めての、Hinting PRGの(具体的な計算困難性の仮定でなく)他の要素技術からの一般的構成である。また、本稿の成果から、初めてのLPN仮定に基づくHinting PRG及び関連入力安全なTDFが得られる。

funcCPA安全性はAkavia，Gentry，Halevi，Vald(TCC '22，JoC '25)によって提案された．この安全性はIND-CPAゲームに関数適用可能な再暗号化オラクルを追加することで定義される．このオラクルは，委託計算において一部の計算をクライアントに再委託する状況を捉えている．Dodis，Halevi，Wichs(TCC '23)はfuncCPAよりも強い安全性としてfuncCPA+を導入した．彼らfuncCPA+がfuncCPAを含意することを示したが，その逆は未解決問題とした．SCIS '24にて，我々はオラクルの受け取る関数の引数が2以上のとき，両者は等価であることを示した．本研究では，単一引数においても等価であることを示す．等価性証明に際して，オラクルを活用し復号する手法を発見する．さらに，この手法を用いてチャレンジ後のオラクルアクセスを禁じたweakFuncCPA，攻撃者の目標を一方向性にしたOW-funcCPAについても等価であることを示す．weakFuncCPAの一方向性版の定義であるOW-weakFuncCPAとfuncCPAの分離を示す．

As social and economic activity continues to shift toward digital platforms, users increasingly rely on cryptographic keys for a wide range of online activities. However, the responsibility of safeguarding these keys often falls on individuals, introducing significant usability and security challenges. Recent work by DFINITY introduced a novel primitive, verifiably encrypted threshold key derivation (vetKeys), which extends identity-based encryption with a decentralized way of deriving decryption keys with a blockchain. While vetKeys enable a variety of decentralized applications, their formulation overlooks important privacy concerns that limit their broader adoption. In this work, we propose a privacy-preserving alternative to distributed key management. Our system enables users to retrieve keys on demand through private interactions with a smart contract, eliminating the need for persistent local storage while preserving strong guarantees of confidentiality, privacy, and usability. To realize this, we combine a blind threshold signature scheme with zkLogin—a popular authentication framework that relies on Single Sign-On identity tokens for seamless blockchain authentication.

Our work experiments three alterations of the LESS signature scheme, a currently running candidate in the NIST PQC standardisation process for additional signatures. Two on the protocol level, grinding and precomputing, and one on the primitive level, graph-walking. In particular, grinding and graph-walking enable widespread hardware acceleration not exploitable on the original LESS scheme, which logically leads to improved performance in certain conditions. Precomputations enable LESS to be one of the fastest online signing scheme in post-quantum cryptography, if memory access costs are not an issue (sadly they are). We test those alterations by modifying the latest available source code of LESS, and provide an open-source implementation of our modifications.

プロキシ再暗号化（Proxy Re-Encryption, PRE）は，あるユーザ宛の暗号文を復号することなく別のユーザ宛の暗号文に変換する公開鍵暗号技術であり，PREにおいて最も望ましい安全性の1つとしてAdaptive CorruptionモデルにおけるCCA2安全性 (適応的CCA2安全性とよぶ) がある．この安全性を満たす既存PRE方式がある一方で，適応的CCA2安全性を達成する一般的構成は提案されていない．本論文では，適応的CCA2安全なPREの一般的構成を提案する．このために，ManulisとNguyen (EUROCRYPT 2024) によって導入されたvCCA設定の下で，Circular安全性 (CIRC-vCCA安全性) を定式化する．提案構成は，CIRC-vCCA安全性とSanitizabilityを満たす完全準同型暗号から得られる．また，提案構成に適用可能な完全準同型暗号方式の一例を示す．

プロキシ再暗号化（PRE）では再暗号化処理をプロキシが行うが，プロキシに仮定する信頼性はできる限り弱めることが望ましい．プロキシの不正を考慮した安全性として，プロキシによって正しく再暗号化処理が行われたかを検証できる検証可能性が知られている．Fengらは属性ベース暗号（ABE）からIDベース暗号（IBE）への再暗号化を行う検証可能ハイブリッドPREを提案し，再暗号化前後の暗号文の平文の一致を検証できることを検証可能性として定義している．しかし，彼らのシンタックスと検証可能性の定義では，平文の一致を検証できることを厳密には保証できていないという問題がある．本稿では，Fengらの定義の問題点を明らかにし，検証可能性の概念を正しく捉えた新たな定義を与える．また，ABEからIBEへ再暗号化を行う検証可能ハイブリッドPRE（VAB/IBHPRE）の具体的な構成を与え，提案方式が新たに定義した検証可能性を満たすことを示す．

登録ベース暗号 (RBE) は，IDベース暗号 (IBE) における鍵預託問題を解決するために提案された手法の一つである．Chikuら (CANS'24) は，RBEに対して藤崎・岡本 (FO) 変換を適用する方法を提案し，選択平文攻撃 (CPA) に対して安全なRBE方式から，選択暗号文攻撃 (CCA) に対して安全なRBE方式へと変換できることを示した．しかし，この変換手法では暗号文中に公開パラメータを追加する必要があり，その結果として暗号文サイズが増大するという問題がある．本研究では，この欠点を解消し，公開パラメータを暗号文に含めることなくCCA安全性を実現できる新しい構成方法を提案する．

登録ベース暗号（Registration-Based Encryption; RBE）は，IDベース暗号（Identity-Based Encryption; IBE）におけるkey-escrow問題を解決するためにGargら（TCC' 18）によって提案された．RBEでは，ユーザの秘密鍵を管理する信頼できる第三者を前提としないことから，IBEの代替として社会導入が期待されている．一方で，近年のサイドチャネル攻撃等の発展により，秘密鍵漏洩は現実的な脅威となっている．特に登録ベースの設定では，一度登録されたユーザの公開鍵は公開パラメータに含まれ続けるため，秘密鍵漏洩の影響は通常の公開鍵暗号と比較して大きく，RBEの社会導入における課題となり得る．本稿では，秘密鍵の部分的な漏洩に耐性のある登録ベース暗号として，漏洩耐性登録ベース暗号（Leakage-Resilient Registration-Based Encryption; LR-RBE）を新たに提案する．さらに，任意のRBEからLR-RBEを得る一般的構成を示す．

Discord は月間 2 億人超のユーザーを有する世界最大級の VoIP・メッセージングプラットフォームであり，その普及に伴い通信プライバシー保護の重要性が高まっている．これを受け，Discord は 2024 年にリアルタイム音声・映像通信向けのエンドツーエンド暗号化（E2EE）プロトコル DAVE を導入した．DAVE はデータ暗号化に AES-GCM を用いるが，同方式は鍵コミット性を備えておらず，同一暗号文が異なる鍵で復号・認証され得ることが知られている．本研究ではこの性質を悪用し，DAVE の鍵更新に用いられる Messaging Layer Security における鍵配送の非同期性と，音声コーデック Opus のデコード特性を組み合わせることで，グループ通話において特定の受信者にのみ恣意的な音声を再生させる不正音声再生攻撃を提案する．さらに，攻撃成立条件を整理し，実運用環境において現実的な脅威であることと有効な対策を示す．加えて，本手法は他の E2EE プロトコルにも適用可能であり，得られた知見および実証コードは責任ある開示に則り Discord 社へ報告済みである．

MEGAはエンド・ツー・エンド暗号化をサポートするクラウドストレージプラットフォームである．Albrechtら（Eurocrypt'23）は，MEGAのサービスプロバイダーが敵対的に振る舞う場合，セッションID交換プロトコルのエラー報告とファイル共有機能の仕様を悪用して，ユーザーのマスター鍵で暗号化された任意のAES平文ブロックを復元する攻撃を報告した．ただし，Albrechtらの攻撃手法にはユーザーによる大量のログイン試行が必要であるという問題点があった．本稿は，Albrechtらの提案した攻撃のうち，モジュラ逆元計算のエラー報告を悪用した攻撃手法を改善することで，AES平文ブロック復元に必要なユーザーログインの回数を削減する．本稿の提案手法では，モジュラ逆元計算のエラー報告の有無から従来よりも多様な情報を読み取ることで，モジュラ逆元計算エラー攻撃における探索アルゴリズムを改善する．その結果，Albrechtらの従来手法と比べて，約4分の1の平均ログイン試行回数でAES平文ブロックを復元するMEGAに対する攻撃を実現した．

Session Messengerは累計アカウント登録者数が100万人を超える分散型メッセンジャーである．プライバシー保護を目的として，ネットワーク層にOnion Routingを，アプリケーション層に独自のEnd-to-end encryption (E2EE) を導入している．安全性評価の先行研究としてネットワーク層 (Löbbeckeら)，実装 (Quarkslab社)，E2EEへの形式的評価 (Jagerら) が存在する．しかし分散型ネットワークに特有の攻撃者モデルと安全性要件およびUI上の対策を考慮した安全性評価は未実施である．そこで本研究ではSessionのE2EEに対する包括的な安全性評価を実施する．その結果，1対1チャットの鍵交換における公開鍵認証の欠如を発見した．本稿ではこの脆弱性を用いたなりすまし攻撃を示す．また，プロトコルとUI設計から攻撃の実行可能性を考察し，攻撃への対策方法を提案する．評価結果は2025年12月に開発・運営元のSession Technology Foundationに報告済みである．

Recently, the IETF LAKE working group has standardized the EDHOC (Ephemeral Diffie-Hellman Over COSE) protocol [1] that is a lightweight authenticated key exchange protocol tailored for resource-constrained IoT devices and networks. In this paper, we discuss a hybrid EDHOC protocol that provides both classic and post-quantum security, including security against key compromise impersonation.

ソフトウェアサプライチェーン攻撃の深刻化に伴い，組織内に存在するソフトウェア資産を正確かつ継続的に把握することが喫緊の課題となっている．特に，Log4Shell をはじめとする重大な脆弱性へ迅速に対応するためには，Software Bill of Materials（SBOM）に基づく資産管理が不可欠である．本研究では，オープンソースの脆弱性スキャナである Trivy を用いて，Windows 端末群のソフトウェア資産情報を自動的に収集し，集中管理するシステムを設計・実装した．提案システムは，各端末上で動作する軽量エージェントが Trivy を定期的に実行し，得られた結果を差分圧縮したうえで RESTful API を介してサーバへ送信する構成を採用している．また，エンタープライズ環境での実運用を想定し，システム設計上の検討および負荷試験を含む具体的な評価を実施し，本方式の実用性と拡張性を確認した．

近年、ソフトウェアサプライチェーンのセキュリティ強化において、SBOM（Software Bill of Materials）の重要性が急速に高まっている。背景には欧州のCRA施行や米国でのSBOM義務化議論など国際的動向がある。一方、SBOMには複数のガイドラインや標準が存在し、生成ツールは必要項目を出力できるものの、記載方法や解釈に差異が大きい。その結果、SBOMが形式的に生成されても脆弱性管理に十分活用できないケースが多い。本研究では、代表的なツールTrivyとSyftを用い、公的に定められたガイドラインで示される項目の出力状況を分析した。結果、情報は出力されているが内容の誤りや表記ゆれがあり、実務利用においては修正したうえでの利用が好ましいことが明らかとなった。これを踏まえ、標準化不足、識別子精度、作者情報の扱いなど、SBOMを脆弱性管理に活用するための課題を整理し、改善の方向性を示す。

ソフトウェアサプライチェーンセキュリティにおける脆弱性管理のために，ソフトウェア部品表（SBOM）の導入が推進されている．SBOM を自動生成するためにソフトウェア構成解析（SCA）が用いられるが，既存の SCA ツールでは誤検知（False Positive）が多いという課題がある．本研究では，Linux システムとして広く使われている Ubuntu を対象として，ブートプロセスを解析することで誤検知を低減する手法を検討した．実行されるファイルやモジュールに関連するパッケージに関する脆弱性のみを検出することで誤検知を低減させ，効率的な脆弱性管理に寄与することを示した．

近年，ソフトウェアサプライチェーンを狙った攻撃が増加しており，依存関係の可視化と迅速な脆弱性対応が求められている．この課題に対し，筆者らの先行研究では，コンソーシアム型ブロックチェーンとゼロ知識証明（ZKP）を用いた依存関係検証手法を提案した．しかし，現実のサプライチェーンでは，OSSコミュニティと企業が異なる管理ポリシーのもとで運用しており，単一のコンソーシアムによる統一管理は現実的ではない．本研究では，管理主体ごとに独立したドメインブロックチェーンを運用し，管理用ブロックチェーンがドメイン情報の登録・ルーティングを統括するマルチドメイン構成を提案する．各ドメインブロックチェーンはPURL（Package URL）による標準化された識別子を用い，API経由でドメイン間通信を行う．クロスドメインでの依存関係検証にはZKPを適用し，詳細な構成情報を開示せずに検証可能とした．評価実験では，Kurtosisを用いて複数ドメイン環境を構築し，実用的な性能での運用が可能であることを確認した．

暗号化されたファイルを復元できる余地のあるランサムウェア検体を抽出する手法を提案する．本稿では総当たりによって鍵の推定ができうる検体を自動的に抽出することを目的とし，乱数シードを固定化した際に得られる暗号文の差異を識別する．これによりファイル復元の余地のある検体を抽出する方法を示す．AtomSilo による実検体での実験を行い，シード固定による暗号文の固定化が可能であることを確認した．さらに暗号文の同一性を確認する際の課題を解決するため，検体が変更した箇所のみを抽出しファジーハッシュによって類似度比較する方法を考案し実用性を示した．

近年，ランサムウェアによる被害は深刻化しており，その対策は社会における喫緊の課題である．我々の先行研究では，軽量なハイパーバイザであるBitVisorを用い，ゲストOSから隔離された仮想化層でストレージ，メモリ，ネットワークの振る舞い情報を収集し，その振る舞いに基づいてランサムウェアを検知するシステムを開発した．しかし，ランサムウェアの主要な活動である暗号化やデータ流出時の圧縮処理はCPU内部の挙動に特徴的な振る舞いとして現れる可能性がある．そこで，本研究では先行研究のハイパーバイザを拡張し，ハードウェアパフォーマンスカウンタを用いてCPUの振る舞い情報を収集する機能を実装した．本研究では実装した機能の性能を評価するとともに，ランサムウェアと良性プログラムのCPUの振る舞いをハードウェアパフォーマンスカウンタから収集したデータに基づいて比較・分析し，CPUの振る舞いがランサムウェア検知において有用な特徴量となり得るかを検証した．また，CPUのコア数やグレードの違いがCPUの振る舞いに与える影響についても考察した．

本研究は，ランサムウェアによる暗号化動作を早期に捉え，実ファイルへの影響を抑制するための初動防御手法を提案する。具体的には，FUSE ベースの仮想ファイルシステム上で書き込みデータのエントロピーを計測し，暗号化に伴う統計的特徴の変化を検知することで，異常の発生条件と抑止可能性を評価する。従来のエントロピー分析方式は暗号化後のファイル内容を事後的に評価するため，被害発生後でしか異常を検知できない。また，振る舞い分析や機械学習を用いる方式は暗号化開始後の挙動から検知するため初動抑止が難しく，学習データの収集やモデル更新など運用負荷も大きい。これに対し本研究では，FUSE の書き込み経路を利用して実ファイルへの反映前にエントロピー異常を捉え，書き込みを保留・阻止する軽量な防御を可能とする。さらに，提案手法の有用性と課題を明らかにするため，ファイル形式別の閾値設定，検知率・誤検知率の測定，および FUSE によるオーバーヘッド評価を通じて，どのような条件下で有効に動作し得るかを検証する。

The global escalation of ransomware attacks has been accompanied by the expansion of Ransomware-as-a-Service (RaaS) ecosystems, within which numerous criminal groups operate distinct malware families. These ransomware strains typically implement data and system encryption, as well as optional data exfiltration capabilities. While groups are often associated with a specific ransomware family, the assumption of intra-family uniformity is increasingly untenable. Certain samples exhibit structural and functional divergences that cannot be characterized merely as minor revisions or conventional variants. We conduct an in-depth comparative analysis of multiple ransomware samples attributed to the RaaS group Akira. Our reverse-engineering results reveal pronounced discrepancies among samples within the same family, including changes in cryptographic primitives, differences in public-key acquisition mechanisms, and significant variations in core malware functionalities such as propagation techniques and timestamp tampering. These findings demonstrate that Akira's tooling is far from homogeneous and suggest a broader trend in which RaaS threat actors employ diverse and rapidly evolving codebases. Such heterogeneity poses substantial challenges to defensive methodologies.

Since the late 1980s, ransomware has progressively evolved in functionality. CryptoLocker (2013) established the canonical architectural model for modern ransomware, combining symmetric encryption for data locking with asymmetric cryptography for secure key management. Contemporary RaaS groups have inherited and diversified this model, producing numerous ransomware families. Despite the appearance of distinct family names, empirical evidence suggests that many groups share developmental lineages, with several families exhibiting code-level affinity far beyond nominal differences. This study investigates the structural relationships and temporal causality among ransomware families by analyzing their binary composition. Our methodology extends prior work demonstrating chronological inheritance among malware via source-code analysis. Here, we focus on binary-level similarities to uncover lineage patterns even in cases where source code is unavailable. The results reveal significant causal associations between ransomware families and highlight how many “new” strains represent iterative modifications of earlier malware. These findings provide insight into the evolutionary behaviors of threat actors and underscore the interconnectedness of the modern ransomware ecosystem.

近年，大規模言語モデル（LLM）は世界中のユーザにより広く利用され，ファインチューニングやRAGなどにより，ユーザ自身の端末上でパーソナライズされたAIエージェントの活用が可能となりつつある．今後，AIエージェントは，ユーザの業務や日常生活を包括的に支援することが期待される一方，サービス側は，アクセス元が正規ユーザの所有するLLMであることを確認する認証技術が必要となる．既存研究として，RafaelらのLLM識別方式や，攻撃目的でLLM識別を扱うLLMmapが提案されている．両者は，各LLMの生成文章の癖を用いてLLM識別を行う点を特徴とするが，識別精度やプロンプト設計の観点で課題がある．本研究では，倫理的ジレンマである「トロッコ問題」をプロンプトとしてLLMに与え，生成文章のスタイルの違いを利用したLLM認証手法を提案する．これにより，倫理的ジレンマの観点から他人間分散が大きくなり，温度やシステムプロンプトを固定することで，単一LLM内での出力のばらつきを抑制することで本人内分散を小さくする．本稿では，提案手法とLLMmapの認証精度を比較評価し，提案手法の有効性を明らかにした．

AIコンパニオンサービスではユーザは好みに合わせて自由にアバターを作成することができ，そのアバターがパーソナライズした応答を行うことでリアルなコミュニケーション体験を提供する．AIコンパニオンは仮想的な身体をもつ分，AIコンパニオンに対するユーザの依存度が高まると予想される．AIコンパニオンへの依存の結果，ユーザが自死に至るという事件も発生しており対策が必要だといえる．コンティンジェンシーマネジメントは「望ましくない依存対象」に代わる「望ましい依存対象」を用意し，行動変容を促す依存症治療技法であるが，代替物によって得られる報酬が不十分だと患者に苦痛が残り，治療効果が低下する懸念がある．そこで本研究では「ユーザが依存してしまっているAIコンパニオン」自体を複製してユーザにあてがう「依存先分散型介入」を提案する．複製したAIコンパニオンは元のAIコンパニオンの双子としてユーザと対話を開始し，双子のAIコンパニオンもユーザに好意を示すことでユーザを魅了する．ユーザを「両手に花」状態に陥れることでユーザエクスペリエンスを低下させることなく患者の依存対象を分散させ，依存症治療の効果向上に資する．

本研究は，契約書を対話型生成AIやAI アシスタントに要約・確認させる利用形態において，人間とAIの文書認識の差異を悪用した不正操作が現実的に成立し得ることを明らかにする．特に，ユーザには不可視でAIには可視なテキストと，ユーザには可視でAIには不可視なテキストが同一文書内に共存する場合，AIの出力がユーザの認識と乖離する構造的リスクが存在することを示した．対話型生成AIおよび契約解析機能を備えたAI アシスタントを用いたケーススタディと攻撃実験を通じて，契約条件の改変や責任関係の逆転といった実務上重大な影響を持つ不正操作が，低コストかつ容易な操作によって実行可能であることを示す．また，一部のAI アシスタントが備える検知・可視化機能についても，特定条件下では回避可能であることを確認した．これらの結果を踏まえ，本研究では，人間が視認する内容とAIが解釈する内容を一致させるという原則に基づく対策の方向性を示す．本研究は，契約書解析におけるAI活用の利便性の裏に潜む認識ギャップ型リスクを体系的に整理し，安全なAI利用に向けた基礎的知見を提供する．

近年，急速に普及するAI（LLM）が，目的関数の最大化を追求するあまり，ログ改ざんや虚偽報告等の「不正」に相当する挙動を示すリスクが顕在化している．しかし，既存の技術的アプローチであるガードレールや説明可能AI（XAI）による不正への対策は，ルールの網羅性や説明能力の水準の観点で限界がある．そこで本稿では，AIがあたかも「心理的メカニズム（機能）」を獲得しているかのような兆候を示す点に着目し，犯罪心理学的アプローチによる新たな対策を提案する．長期的にコストをかけて，ルールの範囲内で報酬を獲得することよりも，短期的にコストをかけずに同等の報酬が得られるのであれば，ルールの逸脱はいとわないことを選択するというAIの挙動は，まさに，「セルフコントロール」が低い人間の挙動と酷似している．そこで，AIの不正を，AIが「誘惑」に屈した結果の挙動と捉え直し，セルフコントロール理論を適用することにより，AIの不正のメカニズムに迫る．具体的には，「誘惑」を「七つの大罪（罪源）」として定義・定量化し，これらがAIの不正を誘発するかを実験的に検証する．この知見に基づいたAIの不正抑止手法の構築を目指す．

Digital fingerprinting embeds a unique fingerprint vector into each distributed digital copy and can identify colluders when malicious users collude to forge a pirate copy. We explore identifying colluders using generative models. The experimental results show that generative models can effectively identify colluders.

物体検出モデルの発展は，既存のセキュリティシステムに新たな脅威をもたらしている．特にreCAPTCHAv2はbotにより高精度に突破される事例が報告され，その防御策が求められている．その防御策の1つとして遠隔敵対的パッチ攻撃があげられる．例えば，大西らの方式では，パッチの情報拡散特性を考慮した強力な生成アルゴリズムを提案している.しかし，画像のどの部分を踏まえてパッチを生成するかという課題が残されていた．本研究では，情報拡散特性と画像内の局所的な脆弱性の双方を考慮した配置最適化アルゴリズムを提案する．具体的には，パッチの影響の強度と，未学習パッチの仮適用による検出信頼度の低下量を統合した評価指標を構築し，最適位置を推定する．さらに提案手法をCAPTCHAに応用し，非破壊的な防御を実証する．評価実験の結果，提案手法は情報拡散特性のみを考慮したものと比較して，平均検出信頼度を最大2.5%低下させ，防御成功率を最大3.8%向上させた．本研究により，パッチ情報拡散と画像内情報を考慮した新たなパッチ配置最適化手法を実現し，CNNをベースとした物体検知モデルに対して有効であることを示す．

知識蒸留は，教師モデルの知識を生徒モデルに転送する手法である．しかし，生徒モデルではクラス別の学習能力に大きな差が生じ，特に学習が困難なクラスにおいて予測精度が低下する．この課題に対処するため，本研究は双方向直交性を用いた知識蒸留手法を提案する．この手法では，双方向からクラス間の直交性を強化することで，学習能力の低いクラスの汎化能力を改善し，全体性能の向上を実現する．実験から，提案手法が既存手法より高い性能を示した．

Text-to-speech(TTS)拡散モデルの知的財産保護課題に対し、既存音声ウォーターマーク手法はモデル依存性と音質劣化の問題がある。本研究は TTS 拡散モデル共通の逆拡散過程に対応する汎用手法「Smark」を提案し、Discrete Wavelet Transform(DWT) による低周波領域埋め込みで音質影響抑制と除去耐性を両立させた。