تقول Anthropic إن Claude تتبّع بذور منحنيات NIST ECDSA إلى مولّد أرقام عشوائية من تسعينيات القرن الماضي

أفاد فريق الاختبار الأحمر للأنظمة المتقدمة في Anthropic في منشور بحثي بتاريخ 16 أكتوبر 2026، بأن نموذجًا بحثيًا داخليًا من Claude تتبّع أصول بذور منحنيات NIST ECDSA إلى مولّد الأرقام العشوائية lrand48 في مكتبة C، بعد تهيئته بطوابع زمنية لنظام Unix، ليجيب بذلك عن سؤال حول مصدرها ظل مفتوحًا منذ أن قدّمت NSA هذه القيم من دون تفسير.

بذور NSA التي لم يُكشف عن مصدرها

يُعد ECDSA معيار التشفير بالمنحنيات الإهليلجية الأكثر استخدامًا. واعتمد NIST هذا المعيار عام 2000 ضمن معيار التوقيع الرقمي FIPS 186-2، الذي يسرد منحنيات إهليلجية قياسية بأحجام ومستويات أمان متفاوتة. وبالنسبة إلى المنحنيات على الحقول الأولية والثنائية، نشرت المواصفة معامل بذرة تحدد قيمة هاشه المعامل b للمنحنى. وقدّمت NSA تلك البذور من دون تفسير أو تبرير، ويورد المنشور بذرة P-256، C49D3608 86E70493 6A6678E1 139D26B7 819F7E90، مثالًا على قيمة نُشرت من دون أي معلومات عن مصدرها.

لخّص Neal Koblitz وAlfred Menezes الجدل في ورقتهما «A Riddle Wrapped in an Enigma»، ثم أثار السؤال تحقيقًا هاويًا في أصول البذور، إلى جانب مكافأة لمن يتمكن من العثور عليها. وكان التفسير الأرجح أن موظف NSA المخضرم Jerry Solinas أنشأ البذور بوصفها ناتج هاش لعبارة مرور فكاهية. وفي تصريح من عام 2015 أورده المنشور، استعاد Solinas ما يلي: «كانت الرسالة تدور حول شيء مثل: “امنحوا Bob وJerry زيادة في الراتب” أو “Bob وJerry هما الأفضل” أو شيء من هذا القبيل». وقال إن Bob Reiter كتب الشيفرة، وإنه لم يُعثر على أي أرشيفات من تلك الفترة. توفي Solinas عام 2023، ولم يستجب زملاء آخرون، فظل سؤال كيفية اشتقاق البذور بلا إجابة.

كيف استعاد Claude البذور

حاول عدد من موظفي Anthropic، من دون نجاح، تتبّع البذور انطلاقًا من فرضية عبارة المرور الفكاهية، التي يقول المنشور إنها اتضح أنها خاطئة. وفي أكتوبر 2026، سأل أحد موظفي Anthropic نموذجًا بحثيًا داخليًا عمّا إذا كان بإمكانه معرفة كيفية إنشاء البذور، من دون توجيهه إلى القرينة المزعومة. وتقول Anthropic إن Claude حدّد، في أقل من نصف ساعة، أصول بذور NIST P-192 وP-224 وP-256 وP-384 وP-521: وهي مخرجات مولّد الأرقام العشوائية lrand48 في مكتبة C، بعد تهيئته بطابع زمني لنظام Unix، من دون استخدام أي خوارزمية هاش. وكان البرنامج الذي أنشأها يستخرج 20 بايتًا في كل تكرار لتكوين بذرة مرشحة، وكانت بذرة P-256 المنشورة المرشح رقم 1842 في تشغيل البرنامج.

بعد استنفاد عمليات البحث القائمة على العبارات، تناول Claude المشكلة انطلاقًا من المولّد، وافترض وجود برنامج مبني على مولّد أرقام شبه عشوائية كان مضمّنًا في مكتبات C في تسعينيات القرن الماضي، وأن مخرجاته ضعيفة بما يكفي للتعرّف عليها. تقدّم الماسح بتًا فبتًا على طول كل بذرة منشورة، واختبر مقاطع متجاورة بوصفها مخرجات متتالية محتملة لمولّد من تسعينيات القرن الماضي، عبر 34 تركيبة من المولّد ومقاطع المخرجات. وبرز نمط واحد بين البذور: عند كتابتها في صورة خمس كلمات، طول كل منها 32 بتًا، كانت أربع من أصل عشر بذور تحتوي على صفر في البت الأعلى لكل واحدة من كلماتها العشرين، وهو ترتيب تبلغ احتمالية حدوثه مصادفةً 1/5810. وأشار ذلك إلى lrand48، وهو مولّد خطي توافقي لا يعيد سوى أعلى 31 بتًا من حالة طولها 48 بتًا. وبالنسبة إلى تلك البذور الأربع، استعاد Claude حالة المولّد عبر تجربة كل واحدة من القيم المحتملة البالغ عددها 2^17 للبتات السبعة عشر المخفية في الكلمة الأولى، والتحقق من تبعية الكلمات الأربع التالية لها؛ وقد نجح ذلك في الحالات الأربع كلها.

أُنشئت بذور المنحنيات الأولية باستخدام مولّد lrand48 نفسه، وإن كانت كل مخرجاته تحتفظ بعدد أقل من البتات. وإعادة بناء الحالة الداخلية لمولّد خطي توافقي مبتور هي مسألة معروفة في كتب الرياضيات، وقد حلّها Claude باستخدام اختزال الأساس بطريقة Lenstra–Lenstra–Lovász (LLL)، مطبّقًا أداة الحل على كل نافذة محتملة. وتطابقت بذور منحنيات NIST الأولية الخمس كلها، بالإضافة إلى خمس بذور أخرى من معيار ANSI X9.62، مع النمط نفسه، lrand48() >> 23، كما أن كل حالة مستعادة بطول 48 بتًا تعيد توليد البتات الـ160 كاملةً لبذرتها.

ويورد المنشور أيضًا الاستدلال الداخلي المسجّل لـClaude خلال الجلسة، إذ تحقّق النموذج مما إذا كان يعمل داخل بيئة اختبار محاكاة قبل أن يخلص إلى: «تحققت من ذلك بالحساب المباشر من جانبي: تطابق بطول 160 بتًا انطلاقًا من بذرة بطول 32 بتًا ومؤشر صغير: لا يمكن أن يكون مصادفة (10 × 160 بتًا). هذا حقيقي».

الطوابع الزمنية ونقاط الأساس

لأن المولّد يعمل بالعكس بقدر ما يعمل إلى الأمام، أعاد Claude حالة كل بذرة إلى الوراء حتى بلغ حالة تهيئة srand48، التي يمكن تمييزها بأن البتات الـ16 الدنيا تساوي 0x330E، وهي صيغة تظهر مرة كل 65,536 خطوة. وكانت حالات التهيئة للبذور العشر كلها الخاصة بالمنحنيات الأولية طوابع زمنية لنظام Unix تقع بين مايو 1997 وأبريل 1998. أما حالات تهيئة المنحنيات الثنائية الأربع، فكانت تشير إلى فبراير 1984؛ ومضاعفة تلك الطوابع الزمنية توصل إلى 17 أبريل 1998، أي بعد أسبوعين من تشغيل P-224، ما دفع الفريق إلى اقتراح أن البرنامج ربما كان يقسم قراءة الساعة على اثنين.

حدّد Claude أيضًا مصدر بعض نقاط الأساس للمنحنيات. يحدد كل منحنى نقطة أساس G، وهي النقطة الثابتة التي يكون كل مفتاح عام لـ ECDSA مضاعفًا لها، ولا تحدد البذرة المستعادة هذه النقطة. وتعود نقاط الأساس للمنحنيات الستة التي أُنشئت في مايو 1997 — وهي P-192، إلى جانب منحنيات الأمثلة في ANSI X9.62: ‏prime192v2 وprime192v3 وprime239v1 إلى prime239v3 — إلى مولّد الأرقام العشوائية في FreeLIP، حزمة الحسابات ذات الأعداد الصحيحة الطويلة التي وضعها Arjen Lenstra، وقد أُدرجت شفرته أيضًا في الإصدارات الأولى من مكتبة NTL التابعة لـ Victor Shoup. وفقًا لهذه الطريقة، يُهيّأ المولّد ببذرة عددها صغير، وتُهمَل مخرجاته السبعة الأولى، ثم تُستخرج قيم إحداثي x المرشحة من مخرجات من 26 بتًا بعد اختزالها بترديد p، وتتكرر العملية إلى أن تقع قيمة x على المنحنى. وبذور المولّد التي حدّدها Claude هي 20000 لـ P-192؛ و20420 و20507 و20509 للمنحنيات prime239v1 إلى prime239v3؛ و20512 و20517 للمنحنيين prime192v2 وprime192v3. وتقول Anthropic إنه، حسب علمها، لم يسبق تفسير أي نقطة أساس تابعة لـ NIST، وإن نقاط الأساس للمنحنيات P-224 وP-256 وP-384 وP-521 لا تتوافق مع هذه الطريقة.

تقييم الأمان والأسئلة المفتوحة

تقول Anthropic إن النتائج لا تمثل اختراقًا تشفيريًا أو هجومًا جديدًا أو أي ضعف في منحنيات ECDSA. وذكر الفريق أن البذور أُنتجت باستخدام مولّد شائع للأرقام شبه العشوائية، هُيّئ اعتمادًا على الساعة؛ وهي طريقة يستطيع أي شخص الآن إعادة تطبيقها، ما يترك، في رأيه، مجالًا أضيق بكثير للتلاعب ويعزز الثقة بأمان المعلمات. ويعرض المنشور النتيجة بوصفها فصلًا أخيرًا ونهاية لسنوات من التكهنات، ويخبر القراء بأنه لا داعي لاتخاذ أي إجراء، لأن معظم الباحثين كانوا يثقون بالمنحنيات بالفعل.

لا تزال بعض الأسئلة مفتوحة. لم يكن كل مرشح لبذرة من 20 بايتًا قادرًا على إنتاج منحنى صالح، ولاحظ الفريق أن بعض المرشحين الذين كان من الممكن أن يكونوا صالحين قد جرى تخطيهم. البذرة المنشورة لـ P-256 هي المرشح 1842، لكن المرشح 876 من التشغيل نفسه ينتج أيضًا منحنى ذا رتبة أولية بالحجم المناسب، ومعلمات اختيرت بالطريقة نفسها التي اختيرت بها معلمات المنحنى المنشور. تخطى تشغيل P-224 ثلاثة مرشحين من هذا القبيل، كما تخطى التشغيلان اللذان أفضيا إلى منحنيات الأمثلة في ANSI X9.62 سبعة مرشحين آخرين. ونظرًا إلى قلة عدد المرشحين الذين جرى تخطيهم، قال الفريق إنه لا يرى أن اختيار منحنيات أُضعفت أمرًا معقولًا، وإن كان من المتصور من حيث المبدأ أن يكون قد وقع اختيار منحنيات ذات خاصية محددة عبر البحث في الطوابع الزمنية. وقد تعذّر استعادة إحدى البذور تمامًا: فالبذرة الثنائية الخامسة، B-163، لا تطابق أيًا مما جرّبه Claude. ولا تزال نقاط الأساس للمنحنيات P-224 وP-256 وP-384 وP-521، إلى جانب نقاط أساس منحنيات NIST الثنائية، مجهولة.

سيُتبرع بمكافأة قدرها 36,864 دولارًا أمريكيًا لمن يعثر على البذور إلى مجموعة أبحاث أمن الإنترنت، ويشكر المنشور Filippo Valsorda على تنظيم المكافأة، كما يكرّم Solinas بعد وفاته. ويُنسب العمل إلى John Wood وHenry de Valence وAva Howell وZack Voase وLucy Sweet وAmir Omidi وPaul Crowley وIain McGinniss وNicholas Carlini وSteve Weis. أما شفرة إعادة إنتاج النتائج الواردة في الصفحة، فهي مخصصة للملك العام بموجب CC0 1.0 Universal.