Anthropic：Claude 半小时破解 NIST 椭圆曲线种子来源之谜——NSA 给的 P-192 至 P-521 种子来自 1997–98 年 Unix 时间戳初始化的 lrand48 随机数，不是漏洞，代码可复现

这件事意味着什么

【要点】

Anthropic 研究页发布《Claude reveals ECDSA curve origins》：一名员工让内部研究模型（文中只称 Claude，未写具体型号）在不给线索的情况下推断 NIST 椭圆曲线种子的来源，不到半小时就找到了答案。这些种子是 NSA 在 1990 年代提供给 NIST 的，一直没有任何说明，多年来有人担心藏有后门；流传最广的说法是「用一句玩笑话做哈希」，此前悬赏 36,864 美元求解。

结论：P-192、P-224、P-256、P-384、P-521 以及 ANSI X9.62 的 5 条示例曲线，种子都不是哈希，而是老式 C 库随机数生成器 lrand48 的输出，用 1997 年 5 月到 1998 年 4 月间的 Unix 时间戳初始化（例如 P-256 是第 1,842 个候选）。4 条二进制曲线的种子也能复现（时间戳似乎被除以 2）；还解释了 P-192 等 6 条曲线基点的生成方式。B-163 种子、P-224/P-256/P-384/P-521 的基点仍无法解释，部分可用候选为何被跳过也不清楚。Anthropic 强调这不是漏洞或新攻击，反而让「故意埋后门」的说法更站不住；奖金将捐给 Let's Encrypt 背后的 ISRG。

【可核验】

原文（附可复现代码，CC0）：https://www.anthropic.com/research/ecdsa-curve-origins

合著者 Henry de Valence 的帖子：https://x.com/hdevalence/status/2111170616112132273

我们在本地运行了文中代码，P-256 种子与标准值 C49D3608…819F7E90 完全一致。

【我们的判断】

一、这是一桩真实的历史悬案被 AI 破解，而且任何人都能用几十行代码复核，可信度高。方法本身不新（识别弱随机数、用 LLL 格基约化恢复状态），新的是模型自己想到换个角度，而不是沿着错误线索继续搜。

二、对安全的实际影响是零：不需要换曲线、不用改任何东西。它的意义在于展示 AI 已能审计那些长期「只能信任」的基础设施。

三、仍有未解部分（B-163、多数基点、跳过的候选），后续还要看密码学界的独立复核。