量子とアップグレード競争 — Alex Prudenとの対談

Project Eleven CEOのAlex PrudenがChris Smithと、楕円曲線暗号に直接の置き換えが存在しない理由、AIが暗号アルゴリズムの実用寿命を縮めると考える理由、そしてアップグレードが移行した保有者しか守らない理由について語ります。

本記事は、2026年8月6日に公開されたQuantusポッドキャストへのAlex Pruden出演回を編集して要約したものです。会話はテーマ別に整理し、引用は読みやすさのために軽く編集しています。

YouTubeでエピソードを見る。ポッドキャストはSpotifyまたはApple Podcastsでフォローできます。

LLM用のトランスクリプトが必要ですか？完全なトランスクリプトをダウンロード：quantum-and-the-race-to-upgrade-transcript.md。

Alex Prudenについて

Alex Prudenは、デジタル資産向けのポスト量子セキュリティ基盤とツールを開発するProject Elevenの共同創業者兼CEOです。以前はプライバシー重視のレイヤー1ブロックチェーンAleoを率い、CEOおよびAleo Network Foundationのエグゼクティブディレクターを務めました。その前は、Andreessen Horowitzの暗号資産チームでインベスティング・パートナーでした。米陸軍で9年間、歩兵および特殊部隊の将校として勤務しています。

エピソードの名言

「二段階のプロセスです。まず方舟を造らなければならず、その次にそれに乗り込まなければなりません。」
— Alex Pruden、Project Eleven CEO、36:31

エピソードの分刻みの内容

00:41: 陸軍、Andreessen Horowitz、Aleoを経たAlexの歩み。
03:20: Willowの論文とメインネットの遅れが、なぜProject Eleven設立につながったのか。
06:25: Willowに対する市場の反応と、考えを改めた懐疑派。
10:14: 楕円曲線暗号がなぜ標準になり、なぜ最初に破られそうなのか。
12:52: ポスト量子署名間のトレードオフと、共通標準の終わり。
17:59: ML-DSA、ハッシュベース方式、ステートフル署名のコスト。
21:55: Falcon、サイドチャネル攻撃、格子暗号を支持する論拠。
25:11: NIST、NSA、各国の暗号標準への信頼。
28:44: Googleが公開を控えた回路、ECDSA.fail、AIを使った暗号解析。
35:27: 既存のブロックチェーンが二段階の移行に直面する理由。
39:56: Q-Dayはいつ来るのか、そして誰も発表しないかもしれない理由。
48:00: 分散化、機関、ステーブルコインの管理者鍵。
53:44: どんな中央集権型システムにもできない、ブロックチェーンならではのこと。

暗号資産の世界に入る前、Alex Prudenは約10年間、米陸軍に所属していました。2015年ごろ中東で勤務していた時期にBitcoinに出会い、その後Andreessen Horowitzで暗号資産への投資に携わり、さらにプライバシー重視のブロックチェーンAleoを率いました。Aleoのローンチは、当初予定の2022年から2024年末にずれ込みました。

この遅れから、暗号システムが本番環境に届くまでにどれほど時間がかかるかを学びました。また、暗号学の講義でよく教わる注意書きにも気づいていました。今日使われている非対称暗号は大型の量子コンピュータの前では破られる、という脚注のような話で、そのような機械は遠い先のことと思われていたため、たいてい軽く扱われていました。2024年末にGoogleのWillow発表が出たとき、彼はその二つを結びつけました。ポスト量子暗号は複雑で比較的新しく、既存システムが導入するのにかかる時間を人々は過小評価している、と結論づけたのです。同年、Project Elevenを創業しました。

QuantusのCEOであるChris Smithとの対談は、Quantusがメインネットをローンチする少し前に行われました。楕円曲線に代わるものは何か、論文と実運用の間で何がうまくいかなくなるのか、そしてアップグレードで最も難しいのは所有者に移行してもらうことかもしれない理由を扱っています。

1. 楕円曲線はほとんどすべてをこなし、Alexは最初に破られると見ている

ブロックチェーンで楕円曲線暗号が標準になったのは、一つの部品でほぼあらゆる用途を賄えたからです。Alexは次のように挙げます。署名と認証、ゼロ知識証明、しきい値署名のためのマルチパーティ計算、そしてEthereumのプルーフ・オブ・ステークが使うペアリングベースの暗号です。彼はこれを「スイスアーミーナイフ」と呼びます。

その効率の良さは鍵の小ささから来ていました。古い公開鍵方式であるRSAは、ある安全性レベルに達するために大きな鍵を必要とします。Alexは4,096ビットのRSA鍵と、楕円曲線暗号の256ビット鍵を比較します。

Alexは、量子の文脈ではその短い鍵が意味を持つと言います。研究者は長らく自分たちの機械をRSAを基準に測ってきましたが、楕円曲線の問題の方が攻撃しやすいことが分かったのだと言います。だからこそ、彼の言葉では、この懸念は「人々が当初認識していたよりずっと近くに引き寄せられた」のです。Google Quantum AIの2026年3月の論文は、想定する超伝導アーキテクチャ上で256ビット楕円曲線暗号を破るには50万個未満の物理量子ビットで足りると見積もりました。Alexによれば、Project Elevenは著者らが準備中に話を聞いたグループの一つでした。Quantusの解説記事量子コンピュータが暗号的に重要になる条件は、その見積もりと、これまでに作られたあらゆる機械との間の隔たりを扱っています。

2. ポスト量子のどの選択肢にも、どこかにコストがある

「楕円曲線暗号に直接置き換えられるものはありません」とAlexは12:52で語ります。

彼はトレードオフを三つに分類します。一つ目は性能で、署名サイズ、公開鍵サイズ、署名と検証の速度です。二つ目は、その方式の安全性の前提がどれほど新しいかです。三つ目は実装の複雑さで、学術論文で動く方式と、実運用に耐える方式との距離を指します。

Alexによれば、ブロックチェーンはすでにこの三つを異なる重みで評価しています。今日のブロックチェーンが共有する土台は、彼が「バルカン化」と呼ぶ状態に変わると予想しています。つまり、まったく異なる系統の暗号的前提で守られたチェーンに分かれていくということです。

Chrisは、業界が少なくとも一つの系統に収束してほしいと考えています。彼は、当面はML-DSAで間に合わせるしかないと論じる2026年7月のCloudflareの記事を引用します。ML-DSAは、NISTが2024年にFIPS 204として標準化した格子ベースの署名方式です。記事はエンジニアのEric Rescorlaの言葉を引いています。「戦場に持っていくのは、手元にあるアルゴリズムであって、欲しかったアルゴリズムではない。」

3. ステートフル署名では、カウンターが鍵と同じくらい重要になる

Alexは、業界がまだML-DSAに落ち着くとは見ていません。彼の見るところ、BitcoinやEthereumのコンセンサス層まわりの取り組みは、ハッシュベース署名、とりわけステートフルなものを検討しています。

ステートフルなハッシュベース方式は、署名者が一つの鍵でこれまでに何個の署名を作ったかを追跡している場合にのみ、安全に署名できます。

「その数を見失うのは、秘密鍵を失うのとほぼ同じくらい悪いことです」と彼は18:57で言います。

ハッシュベース方式は、安全性がハッシュ関数についてよく研究された前提に基づくため、慎重な設計者に好まれます。その代償として、署名者が状態を管理するか、状態をなくして署名を大幅に大きくするかのどちらかになります。

Chrisは保有者の側から見ます。ほとんどの人はシードフレーズを一度バックアップするのにも苦労するし、今はその一回のバックアップがウォレット内のすべてのアドレスをカバーしていると言います。取引のたびに新しいバックアップや追加情報が必要になる方式は、使い勝手だけで失敗するだろうというのが彼の見解です。

Alexは同じ基準をSHRINCSに当てはめます。これはBlockstreamの提案で、彼がBitcoin向けの最有力候補と呼ぶものです。コンパクトなステートフルモードと、状態が失われた場合、たとえばシードのバックアップからウォレットを復元した場合のための、より大きなステートレスのフォールバックを組み合わせています。Alexは設計をエレガントだと評した上で、インセンティブに疑問を呈します。状態の扱いを誤る可能性が少しでもあるなら、保有者がステートフルの道を選ぶとは思えないと言います。そうなると、コンパクトな署名は使われないまま、追加された複雑さだけが残る、というのが彼の主張です。

彼は、チームが選択肢を予想どおりの順番でたどるのを見てきました。まず珍しい方式を試し、次に保守的なハッシュベース設計へ後退し、最後に標準へ戻ります。「そう、ML-DSAはそれほど悪くない」と彼らは結論づける、と彼は21:49で語ります。

4. 安全な方式でも、安全に実装されなければならない

Quantusもその過程の一部を経験しました。Chrisによれば、チームは最初、NISTが選んだ別の格子署名であるFalconを検討していましたが、Falconの作者の一人であるThomas Pornin氏から、何に手を出そうとしているか分かっているのかと尋ねられたといいます。

その作業は、Chrisが定数時間で動くよう書かれたコードを初めて読む機会でした。その演算は逆さまに見えましたが、目的が分かって納得しました。コンパイルされたプログラムには、実行時間が秘密を漏らしかねない分岐が含まれていないのです。タイミングはサイドチャネルの一種で、機器が計算中にどう振る舞うかを観察して秘密を知る方法です。ほかにも、消費電力や電磁放射を使うものがあります。Alexは、アンテナを持ってデータセンターに入り込まなければならない攻撃者と、人々がポケットに入れて持ち歩くエンドユーザー端末に保管された鍵とを対比します。

彼はまた、ML-DSAに対するよくある異論、つまり格子暗号は新しすぎて信頼できない、という指摘にも答えます。格子は暗号用途で約30年近く研究されてきており、鍵交換にはハッシュベースの方式が存在しないと言います。ウォレットが接続を保護するプロトコルであるTLSでノードに接続するとき、鍵交換はますます格子ベースになっています。

「何をしようと、すでにいくつかの格子ベースの前提を取り込んでいるのです」と彼は24:21で言います。

どの方式も永続は保証されないため、Alexは先ほどChrisが使った言葉に戻ります。クリプト・アジリティ、つまりシステムを作り直すことなく再び方式を変更できる能力です。

5. Alexは、AIがあらゆるアルゴリズムの実用寿命を縮めると見ている

ショアのアルゴリズムは、公開鍵から秘密鍵を復元できる量子手続きです。Googleがリソース見積もりを公表した際、アルゴリズムを実装する回路は公開せず、その回路が示したコストを満たすことを示すゼロ知識証明を公開しました。Googleは、公表前に米国政府と協議したと述べています。

続いてECDSA.failが登場しました。Eigen Labsが2026年5月下旬に立ち上げたオープンチャレンジで、Bitcoinの曲線上でのショアのアルゴリズムの一段階である点加算のコストを減らすことを目的としています。このチャレンジは、回路が必要とする論理量子ビット数に、実行する高コストなゲートの数を掛けた値で採点します。プロジェクトの論文によれば、AIコーディングエージェントを使う100人以上の参加者が、7月下旬までに同じ段階についてGoogleが報告した値より50％超低いスコアまで引き下げました。論文は、両者が異なる慣行で測定されている点に注意を促しています。Alexは、このチャレンジが一つのサブルーチンだけを扱ったものだと強調します。それでも彼は、暗号解析が今どれほど速く進みうるかを示す証拠として捉えています。

「私の見方では、あらゆる暗号アルゴリズムの賞味期限は劇的に短くなりました」と彼は31:33で言います。

彼の結論は実践的です。今後10年のうちに暗号を導入する人は、その10年後にはそこから移行することを見込み、最初からその移行を計画しておくべきです。

Chrisは同じ出来事を政策と結びつけます。2026年6月22日、米国の大統領令が、特定の高価値システムに対する連邦のポスト量子期限を、従来の2035年目標より前倒しして2030年または2031年にしました。Chrisには、AIが量子研究をどれほど加速させているかに政府が驚いたことの表れに映りました。Alexも、より広い反応を同じように読みます。人々は量子のリスクを常に20年先のものとして扱ってきた、と彼は言います。今では政府も企業も、期日を入れた計画を立てています。

6. 誰も発表しないQ-Dayに備える

ChrisはQ-Dayの日付を予測することを避けます。技術の進歩は非線形で、その瞬間がいつ来たのかが世界に知らされないかもしれないと言います。Alexも同意します。暗号的に重要な機械を作った政府や研究所は、それを公表すれば優位性を失うため、しきい値に近づくにつれて公的なシグナルはほとんど出ないと予想しています。

Alexは、より強力な実験的証拠を求める懐疑派を尊重しています。彼が議論したあるBitcoinコミュニティのメンバーは、まず長寿命の論理量子ビットを見たいと考えています。20年にわたる誤った出発を経て、Alexはそれを「非常に合理的な立場」と呼びます。彼の懸念は、しきい値の近くで進展が表に出なくなり、その後に急激な変化が訪れることです。

それでも日付を尋ねられると、彼はProject Elevenの2026年レポートの背後にあるモデルに言及します。専門家への年次調査、ハードウェア企業が公表しているロードマップ、そして同社自身の予測です。対談の中で彼は、自身のベースケースを2032年としています。その時点までに暗号的に重要な量子コンピュータが存在する可能性の方が高く、「2030年までにすでにそこに到達している可能性も十分ある」というものです。

彼はこれらの日付をモスカの不等式で測ります。資産が安全であり続けなければならない期間と、移行にかかる期間を足したものが、能力のある量子コンピュータが登場するまでの期間を超えるなら、その移行はすでに遅れています。設計、レビュー、導入を数えれば、6年では余裕がほとんどないとAlexは論じます。Googleは、ポスト量子移行の自社の期限を2029年と定めており、Cloudflareも同じ目標だとChrisは指摘します。AlexはGoogleのこのコミットメントを重要だと見ています。論文を書いたのもGoogleで、エンジニアリングのコストを負担するのもGoogleだからです。

「この不確実性こそが、結局は保守性を求めるのだと思います」と彼は46:11で言います。保守性とは、今すぐ始める備え、進展は想定より早く来るという前提、そして次の方式が最後とは限らないという受け入れを意味します。

7. 移行には二段階があり、二段階目はユーザーの番になる

アップグレードの問題が最も深刻なのは、分散型のブロックチェーンです。Bitcoinの開発者はポスト量子署名の選択肢をリリースできますが、リリースしただけではBitcoinはポスト量子で安全にならない、とAlexは言います。保有者が行動しなければなりません。彼はスマートフォンのアップデートにたとえます。そこではユーザーが端末を再起動すれば新しいバージョンになっています。彼が描くBitcoinの移行では、保有者が新しい署名方式を使うアドレスにコインを移さなければならず、その段階でも、新しい暗号を作る段階と同じくらい多くの失敗の余地があると予想しています。Chrisは、Bitcoin特有の制約を付け加えます。ブロックは小さく、ポスト量子署名ははるかに大きいのです。

量子コンピュータが秘密鍵を導出できるようになれば、移動そのものが難しくなります。

「古いアドレス形式からあなたの署名を偽造できるなら、所有とはもう何を意味するのでしょうか」とAlexは37:27で問いかけます。

ポスト量子署名で立ち上がるチェーンは、この最初の移行を飛ばせます。Alexは例としてQuantusを挙げ、その署名はデフォルトでポスト量子だと言います。（Quantusは、この対談の収録後の2026年9月9日にメインネットをローンチしました。）Chrisは、既存チェーンに集中するリスクを指摘します。ステーブルコインの発行を制御する管理者鍵です。量子攻撃者がその一つを奪えば、法的な巻き戻しが行われる前に莫大な額を発行して取引できます。Alexは、そうした攻撃は発信元の特定がほぼ不可能なため、国家に向いていると付け加えます。

彼は、暗号資産業界の一部が抵抗するだろうと予想する見解も示します。純粋に分散化されたシステムは、ポスト量子への移行がより遅く、より厄介になると感じるでしょうし、ネットワークが分散化するほど、大きな署名のコストも増します。受託者責任を負う機関は信頼できる保守を期待するでしょうし、創業者に放棄されたチェーンが移行することはまずないと彼は考えています。その結果、業界はやや中央集権的で、より専門的になると予想し、課題はブロックチェーンの独自性として残るものを守ることだと主張します。

「ブロックチェーンが可能にする、中央集権型のシステムには決して再現できない唯一のことは、互いに信用しない当事者同士のやり取りです」と彼は53:49で言います。

ポスト量子への移行は、所有者に行動を求めながらも、その性質を保たなければなりません。