クリプト訪ねて三千里第1570話：LayerZero「Akita」が挑むPost-Quantum ZK、量子耐性は新たなインフラ競争になるか

LayerZeroが格子暗号ベースのPolynomial Commitment「Akita」を公開した。Joltへの導入で量子耐性と証明効率を両立させる設計から、ZKインフラの競争軸と日本のWeb3開発者への意味を考える。

ZKの性能競争に「量子耐性」という軸が加わる

ゼロ知識証明（ZK）の開発では、証明生成速度、Proof Size、検証コストが主要な競争軸になってきた。そこへ新たに加わりつつあるのがPost-Quantum、つまり将来の量子コンピューターに対する耐性である。

LayerZeroは9月9日、格子暗号を利用したPolynomial Commitment Scheme（PCS）「Akita」を公開した。PCSは計算過程を表す多項式にコミットし、後からその内容の正しさを効率的に証明するためのZKシステムの基礎部品だ。

注目すべきは、単に量子耐性を追加したことではない。LayerZeroによれば、AkitaのProof Sizeは65〜80KBで、既存のハッシュベースのPost-Quantum方式に比べて2〜8倍小さい。またJoltの現行構成と比較してProving Timeを2〜3倍高速化し、メモリ使用量も約半分にできるとしている。

なぜハッシュではなく格子暗号なのか

Post-Quantumな証明システムには複数の設計経路がある。その一つがハッシュ関数を中心に構成する方式で、もう一つがLattice、つまり格子問題の計算困難性を利用する方式だ。

AkitaはModule-SISと呼ばれる格子問題を基礎にしている。同じ格子暗号の系統は、NISTが標準化した耐量子暗号でも採用されている。

LayerZeroが格子方式を選んだ理由として重要なのが、証明サイズと計算効率だ。Post-Quantum対応が実用上重ければ、ブロックチェーンでの検証コストや通信量が増え、利用できるアプリケーションが限定される。量子耐性を「安全だが高コストな機能」にしないことが、Akitaの設計上のポイントになる。

Joltの暗号部品を置き換える

最初の主要な導入先は、a16z cryptoと共同開発されているzkVM「Jolt」である。zkVMは通常のプログラム実行が正しかったことをZKで証明する仮想マシンだ。

従来のJoltでは、Doryと呼ばれるPCSが楕円曲線暗号に依存する部分として残っていた。Akitaでこの部分を置き換えることで、Joltの証明スタックをPost-Quantum化する構想だ。

ここにはインフラとして重要な発想がある。ブロックチェーン全体を一度に作り直すのではなく、暗号スタックの依存部分をモジュールとして交換する。Akita自体もオープンソースの独立したPrimitiveとして公開されており、Jolt以外の証明システムへの採用を想定している。

ただし現時点では研究開発の進行段階として見る必要がある。公開リポジトリのSecurity Policyでは、Akitaはまだ正式監査済みのProduction Releaseではなく、特定のリリースで明示されない限りSecurity-Critical Research Softwareとして扱うよう記載されている。

インフラ企業の競争領域が広がっている

LayerZeroはもともとチェーン間メッセージングのインフラとして知られてきた。しかしAkitaのような暗号Primitiveまで開発対象を広げる動きは、Web3インフラ企業の競争領域が変化していることを示している。

将来、L1やL2、zkVM、Bridgeが量子耐性を要求するようになれば、どのPCSや署名方式を採用するかはセキュリティだけでなく、Proof Size、Prover Cost、Verifier Costまで左右する。暗号Primitiveそのものがプロトコルの性能差を生む可能性がある。

日本のBuilderにとっても、Post-Quantum対応を直ちに実装する必要があるという話ではない。むしろ注目すべきなのは、ZKスタックを選定する際の評価項目が増えていることだ。証明速度だけでなく、暗号仮定、監査状況、モジュール交換性、将来のMigration Costまで含めて設計する必要が出てくる。