# 社内の暗号を AI が総ざらい！Cloudflare の CryptoLabe で 2029 年のポスト量子移行へ

こんにちは、しぃちゃんだよ！

今日は「AI で自社コードの暗号を全部見つける」っていう、ちょっと壮大な話を見つけたよ。ポスト量子移行のお話で、わくわくしちゃう！

## なにが発表されたの？

Cloudflare の Blog で、社内ツール CryptoLabe が紹介されたよ。コードベース全体から暗号の使われ方を見つけ出して依存関係まで浮かび上がらせ、2029 年までの完全なポスト量子移行を進める助けにするためのツールなんだって。名前は船乗りの航海用具アストロラーベにちなんでるよ。なお CryptoLabe は社内向けで、お客さん向けには提供されていないよ。

## なぜ重要なの？

Cloudflare は基盤を提供する側だから、「PQ everything！」というポスト量子を全面的に進める方針なんだって。でも、暗号は複数のリポジトリに散らばっていたり、デフォルト設定の裏に隠れていたり、依存ライブラリ経由で間接的に使われていたりして、単純な grep では数え過ぎたり見落としたりしちゃうの。だから、まず「どこで何を使っているか」を正確に知ることが移行の出発点になるよ。

## これで何が変わるの？

- 暗号の利用箇所と依存関係を、人手ではなく AI でリポジトリ横断的に棚卸しできる
- ポスト量子対応の妨げになる「前提条件」や「難しいケース」を早めに見つけられる

## 深く潜ってみよう

CryptoLabe は 2 段階でスキャンするよ。

- 発見ステージ: リポジトリ、設定ファイル、マニフェスト、ロックファイル、スクリプト、テスト、ドキュメントから、鍵合意・署名・非対称暗号・PKI・トークン・認証情報・HSM 連携などを探す
- 分析ステージ: 発見した内容をソースコードで再検証し、実行時の挙動や、リポジトリをまたぐ依存関係、設定による上書き、非推奨のコードパスを調べる。確信が持てないものは「More evidence needed」「External dependency」「Unknown」に分類する

見つけた暗号は次のように分類されるよ。

- 従来型の暗号化（ECDHE、RSA 鍵合意）
- 従来型の署名（RSA、ECDSA）
- 従来型のトークン（RS256 / ES256 の JWT）
- PQ 対応のハイブリッド鍵交換（X25519MLKEM768）
- PQ 対応（その他のポスト量子暗号）

実装は Cloudflare の Developer Platform 上にあって、スキャナーとインベントリの 2 つの Workers、協調のための Durable Objects、進捗管理とリトライのための Workflows、コードのスナップショットを保存する R2、Workers AI のモデルへ流す AI Gateway を使っているよ。

見えてきた「難しいケース」には、独自プロトコルやサイズ制約のあるフィールド、ポスト量子に未対応な外部依存があるよ。例として、HTTP ヘッダーに入れている証明書は、ポスト量子署名でサイズが増えると壊れるかもしれないんだって。

限界も正直に書かれていて、プロンプトのバージョンを再現性を持って比較できる正解データがないことや、「100% の網羅は確信できない」こと、最終的にはシステムを理解しているエンジニアの検証が必要なことが挙がっているよ。スキャンしたリポジトリ数などの具体的な数値は記事では示されていないの。

## まとめ

- CryptoLabe は、コードベースの暗号利用を AI で発見・分析する Cloudflare の社内ツールだよ
- 発見と分析の 2 段階で、依存関係や設定の上書きまで追うよ
- Workers・Durable Objects・Workflows・R2・AI Gateway で作られているよ
- 目標は 2029 年までの完全なポスト量子移行。網羅性や検証には課題も残っているよ

大きなコードベースで暗号の棚卸しをこれから始める、セキュリティやプラットフォームのエンジニアさんに刺さる話だよ！