Claude破解NIST曲线种子之谜

一桩困扰密码学界二十多年的悬案，被一个AI模型在半小时内解开了。Anthropic 10月16日发布研究博客称，一名员工让内部模型Claude尝试追查NIST椭圆曲线签名标准（ECDSA）中五条标准曲线的随机数种子来源，结果不到30分钟，Claude就查明了P-192、P-224、P-256、P-384和P-521全部五条曲线种子的出处。

ECDSA是目前使用最广泛的椭圆曲线密码标准，2000年被NIST采纳进FIPS 186-2数字签名标准。曲线参数中包含一个由美国国家安全局（NSA）提供的“种子”值，但NSA从未解释过它如何生成，二十多年来社区争论不断，甚至有人怀疑其中藏有后门。2015年，NSA老员工Jerry Solinas留下一则说法，称种子是他用一句玩笑话的哈希生成的，但他2023年去世，线索就此中断。

Claude没有顺着传言去猜那句话，而是反推1990年代生成这些参数的程序会怎么写。它编写了一个扫描器，沿种子逐位滑动，检测相邻数据块是否为上世纪90年代C库随机数生成器的连续输出，共测试了34种生成器与输出切片的组合。随后它注意到一个细节：部分种子的最高位全为零，这种情形随机出现的概率只有约5810分之一——这正是lrand48线性同余生成器的标志性特征。

沿这条线索，Claude用LLL格基约简算法从被截断的输出中恢复了生成器的内部状态，再让状态“倒退”回初始化形式，发现每次初始化的种子都是一个Unix时间戳：五条素数域曲线的时间戳落在1997年5月至1998年4月之间，四条二元域曲线对应1984年2月，时间戳翻倍后恰好是1998年4月17日。P-256曲线的种子，则是生成器迭代1842次后的输出。

Anthropic强调，这不是一次密码学破解，也不意味着ECDSA出现新漏洞；恰恰相反，种子来自一个人人可复现、再普通不过的时钟播种伪随机数生成器，反而让“参数被故意植入后门”的猜测更不成立。公司表示，大家不妨把这当作一个有趣的收官故事——多年的猜测就此画上句号。

编译自 Anthropic，原标题："Claude reveals ECDSA curve origins"