Η Anthropic λέει ότι το Claude εντόπισε την προέλευση των seeds των καμπυλών ECDSA του NIST σε μια γεννήτρια τυχαίων αριθμών της δεκαετίας του 1990

Στις 16 Οκτωβρίου 2026, η Frontier Red Team της Anthropic ανέφερε σε ερευνητική δημοσίευση ότι ένα εσωτερικό ερευνητικό μοντέλο Claude εντόπισε την προέλευση των seeds των καμπυλών ECDSA του NIST στη γεννήτρια τυχαίων αριθμών lrand48 της βιβλιοθήκης C, η οποία είχε αρχικοποιηθεί με χρονικές σημάνσεις Unix. Έτσι απάντησε σε ένα ερώτημα για την προέλευσή τους που παρέμενε ανοιχτό από τότε που η NSA είχε δώσει τις τιμές χωρίς εξήγηση.

Τα ανεξήγητα seeds της NSA

Η ECDSA είναι το ευρύτερα χρησιμοποιούμενο πρότυπο κρυπτογραφίας ελλειπτικών καμπυλών. Το NIST την υιοθέτησε το 2000 ως μέρος του προτύπου ψηφιακών υπογραφών FIPS 186-2, το οποίο παραθέτει τυποποιημένες ελλειπτικές καμπύλες διαφορετικών μεγεθών και επιπέδων ασφάλειας. Για καμπύλες πάνω από πρώτα και δυαδικά πεδία, η προδιαγραφή δημοσίευσε μια παράμετρο seed, η τιμή κατακερματισμού της οποίας ορίζει τον συντελεστή b της καμπύλης. Η NSA έδωσε αυτά τα seeds χωρίς καμία εξήγηση ή αιτιολόγηση, ενώ η ανάρτηση παραθέτει ως παράδειγμα το seed P-256, C49D3608 86E70493 6A6678E1 139D26B7 819F7E90, μια τιμή που δημοσιεύτηκε χωρίς καμία πληροφορία για την προέλευσή της.

Οι Neal Koblitz και Alfred Menezes συνόψισαν τη διαμάχη στην εργασία «A Riddle Wrapped in an Enigma», ενώ το ερώτημα οδήγησε αργότερα σε μια ερασιτεχνική έρευνα για την προέλευση των seeds και στην προσφορά αμοιβής σε όποιον θα μπορούσε να την εντοπίσει. Σύμφωνα με την επικρατέστερη εκδοχή, ο Jerry Solinas, επί μακρόν υπάλληλος της NSA, είχε δημιουργήσει τα seeds ως κατακερματισμό μιας χιουμοριστικής συνθηματικής φράσης. Σε δήλωση του 2015, την οποία αναπαράγει η ανάρτηση, ο Solinas θυμήθηκε: «Το μήνυμα ήταν περίπου του τύπου “Δώστε αύξηση στον Bob και τον Jerry” ή “Ο Bob και ο Jerry κάνουν κουμάντο” ή κάτι παρόμοιο». Είπε ότι ο Bob Reiter έγραψε τον κώδικα και ότι δεν βρέθηκαν αρχεία από εκείνη την περίοδο. Ο Solinas πέθανε το 2023, ενώ οι υπόλοιποι συνάδελφοί του δεν ανταποκρίθηκαν, με αποτέλεσμα το ερώτημα για τον τρόπο παραγωγής των seeds να παραμείνει ανοιχτό.

Πώς ανέκτησε το Claude τα seeds

Αρκετοί εργαζόμενοι της Anthropic είχαν αναζητήσει ανεπιτυχώς τα seeds, ακολουθώντας την υπόδειξη για τη χιουμοριστική συνθηματική φράση, η οποία, σύμφωνα με την ανάρτηση, αποδείχθηκε λανθασμένη. Τον Οκτώβριο του 2026, ένας εργαζόμενος της Anthropic ρώτησε ένα εσωτερικό ερευνητικό μοντέλο αν μπορούσε να ανακαλύψει πώς είχαν παραχθεί τα seeds, χωρίς να του υποδείξει το φημολογούμενο στοιχείο. Η Anthropic αναφέρει ότι, σε λιγότερο από μισή ώρα, το Claude εντόπισε την προέλευση των seeds NIST P-192, P-224, P-256, P-384 και P-521: ήταν έξοδοι της γεννήτριας τυχαίων αριθμών lrand48 της βιβλιοθήκης C, αρχικοποιημένης με μια χρονική σήμανση Unix, χωρίς να έχει χρησιμοποιηθεί αλγόριθμος κατακερματισμού. Το πρόγραμμα που τα παρήγαγε αντλούσε 20 byte σε κάθε επανάληψη ως υποψήφιο seed, και το δημοσιευμένο seed P-256 ήταν το υποψήφιο υπ’ αριθμόν 1842 στην εκτέλεσή του.

Αφού εξάντλησε τις αναζητήσεις με βάση φράσεις, το Claude προσέγγισε το πρόβλημα από την πλευρά της γεννήτριας, διατυπώνοντας την υπόθεση ότι είχε χρησιμοποιηθεί λογισμικό βασισμένο σε μια ψευδοτυχαία γεννήτρια που περιλαμβανόταν στις βιβλιοθήκες C της δεκαετίας του 1990 και παρήγαγε αποτελέσματα αρκετά αδύναμα ώστε να μπορούν να αναγνωριστούν. Ο σαρωτής του προχωρούσε βήμα προς βήμα κατά μήκος κάθε δημοσιευμένου seed, ελέγχοντας διαδοχικά τμήματα ως πιθανά συνεχόμενα αποτελέσματα μιας γεννήτριας της δεκαετίας του 1990, σε 34 συνδυασμούς γεννήτριας και τμημάτων εξόδου. Σε όλα τα seeds ξεχώριζε ένα μοτίβο: αν γραφτούν ως πέντε λέξεις των 32 bit, στα τέσσερα από τα δέκα και τα 20 bit υψηλότερης τάξης είναι μηδενικά — μια διάταξη που εμφανίζεται τυχαία με πιθανότητα 1/5810. Αυτό παρέπεμπε στην lrand48, μια γραμμική συγγραμμική γεννήτρια που επιστρέφει μόνο τα 31 υψηλότερης τάξης bit μιας κατάστασης 48 bit. Για αυτά τα τέσσερα seeds, το Claude ανέκτησε την κατάσταση της γεννήτριας δοκιμάζοντας και τις 2^17 πιθανές τιμές των 17 κρυφών bit της πρώτης λέξης και επαληθεύοντας ότι ακολουθούσαν οι επόμενες τέσσερις λέξεις· η μέθοδος λειτούργησε και για τα τέσσερα.

Τα seeds των καμπυλών πάνω από πρώτα πεδία είχαν παραχθεί από την ίδια γεννήτρια lrand48, αν και κάθε έξοδος διατηρούσε λιγότερα bit. Η ανακατασκευή της εσωτερικής κατάστασης μιας περικομμένης γραμμικής συγγραμμικής γεννήτριας είναι ένα κλασικό πρόβλημα πλεγμάτων, το οποίο το Claude έλυσε με αναγωγή βάσης Lenstra–Lenstra–Lovász (LLL), εφαρμόζοντας τον επιλυτή σε κάθε πιθανό παράθυρο. Και τα πέντε seeds των καμπυλών πάνω από πρώτα πεδία του NIST, καθώς και πέντε ακόμη από το πρότυπο ANSI X9.62, ακολουθούσαν το ίδιο μοτίβο, lrand48() >> 23, και κάθε κατάσταση 48 bit που ανακτήθηκε παράγει ξανά και τα 160 bit του αντίστοιχου seed.

Η ανάρτηση αναπαράγει επίσης την καταγεγραμμένη εσωτερική συλλογιστική του Claude από τη συνεδρία, κατά την οποία το μοντέλο έλεγξε αν ενδέχεται να λειτουργούσε σε ένα προσομοιωμένο περιβάλλον δοκιμών, προτού καταλήξει: «Έχω επαληθεύσει το αποτέλεσμα με απευθείας υπολογισμό από τη δική μου πλευρά: αντιστοιχία 160 bit από seed 32 bit + μικρό δείκτη: καμία πιθανότητα τυχαίων συμπτώσεων (10 × 160 bit). Είναι αληθινό».

Χρονικές σημάνσεις και σημεία βάσης

Επειδή η γεννήτρια λειτουργεί προς τα πίσω εξίσου εύκολα όπως και προς τα εμπρός, το Claude ανέτρεξε την κατάσταση κάθε seed μέχρι να φτάσει σε μια κατάσταση αρχικοποίησης της srand48, η οποία αναγνωρίζεται από τα 16 λιγότερο σημαντικά bit που ισούνται με 0x330E — μια μορφή που εμφανίζεται μία φορά κάθε 65.536 βήματα. Και για τα δέκα seeds καμπυλών πάνω από πρώτα πεδία, οι αρχικοποιήσεις αντιστοιχούσαν σε χρονικές σημάνσεις Unix μεταξύ Μαΐου 1997 και Απριλίου 1998. Αντίθετα, οι αρχικοποιήσεις των τεσσάρων δυαδικών καμπυλών αντιστοιχούσαν στον Φεβρουάριο του 1984· αν διπλασιαστούν αυτές οι χρονικές σημάνσεις, αντιστοιχούν στις 17 Απριλίου 1998, δύο εβδομάδες μετά την εκτέλεση για το P-224, γεγονός που οδήγησε την ομάδα να προτείνει ότι το πρόγραμμα ίσως είχε διαιρέσει την ένδειξη του ρολογιού διά δύο.

Ο Claude εντόπισε επίσης την προέλευση ορισμένων βασικών σημείων των καμπυλών. Κάθε καμπύλη ορίζει ένα βασικό σημείο G, το σταθερό σημείο του οποίου αποτελεί πολλαπλάσιο κάθε δημόσιου κλειδιού ECDSA, και το seed που ανακτήθηκε δεν το καθορίζει. Για τις έξι καμπύλες που δημιουργήθηκαν τον Μάιο του 1997 — την P-192 και τις παραδειγματικές καμπύλες ANSI X9.62 prime192v2, prime192v3 και prime239v1 έως v3 — τα βασικά σημεία ανάγονται στη γεννήτρια τυχαίων αριθμών του FreeLIP, του πακέτου αριθμητικής μεγάλων ακεραίων του Arjen Lenstra, ο κώδικας του οποίου περιλαμβανόταν επίσης στις πρώτες εκδόσεις της βιβλιοθήκης NTL του Victor Shoup. Σύμφωνα με αυτή τη διαδικασία, η γεννήτρια αρχικοποιείται με έναν μικρό ακέραιο, απορρίπτονται επτά έξοδοι, οι υποψήφιες συντεταγμένες x αντλούνται από εξόδους 26 bit, μειωμένες modulo p, και η διαδικασία επαναλαμβάνεται μέχρι το x να βρίσκεται πάνω στην καμπύλη. Τα seed της γεννήτριας που εντόπισε ο Claude είναι τα 20000 για την P-192· τα 20420, 20507 και 20509 για τις prime239v1 έως v3· και τα 20512 και 20517 για τις prime192v2 και v3. Η Anthropic αναφέρει ότι, απ’ όσο γνωρίζει, κανένα βασικό σημείο NIST δεν έχει εξηγηθεί στο παρελθόν, ενώ τα βασικά σημεία των P-224, P-256, P-384 και P-521 δεν προκύπτουν από αυτή τη διαδικασία.

Αξιολόγηση ασφάλειας και ανοιχτά ερωτήματα

Η Anthropic αναφέρει ότι τα ευρήματα δεν συνιστούν κρυπτογραφική παραβίαση, νέα επίθεση ή οποιαδήποτε αδυναμία στις καμπύλες ECDSA. Η ομάδα δήλωσε ότι τα seed είχαν παραχθεί από μια κοινή γεννήτρια ψευδοτυχαίων αριθμών, η οποία είχε αρχικοποιηθεί με βάση το ρολόι· μια μέθοδος που μπορεί πλέον να αναπαράγει ο καθένας και η οποία, κατά την άποψή της, αφήνει πολύ λιγότερα περιθώρια για υπονόμευση και ενισχύει την εμπιστοσύνη στην ασφάλεια των παραμέτρων. Η ανάρτηση παρουσιάζει το αποτέλεσμα ως το κλείσιμο ενός κεφαλαίου και το τέλος ετών εικασιών, επισημαίνοντας στους αναγνώστες ότι δεν χρειάζεται να κάνουν τίποτα, καθώς οι περισσότεροι ερευνητές εμπιστεύονταν ήδη τις καμπύλες.

Ορισμένα ερωτήματα παραμένουν ανοιχτά. Δεν μπορούσε κάθε υποψήφιο seed των 20 byte να παράγει μια κατάλληλη καμπύλη, και η ομάδα διαπίστωσε ότι παραλείφθηκαν ορισμένοι δυνητικά κατάλληλοι υποψήφιοι. Το δημοσιευμένο seed της P-256 είναι ο υποψήφιος 1842, αλλά και ο υποψήφιος 876 από την ίδια εκτέλεση παράγει μια καμπύλη πρώτης τάξης με το σωστό μέγεθος, με παραμέτρους που επιλέχθηκαν με τον ίδιο τρόπο όπως εκείνες της δημοσιευμένης καμπύλης. Στην εκτέλεση για την P-224 παραλείφθηκαν τρεις τέτοιοι υποψήφιοι, ενώ στις δύο εκτελέσεις που οδήγησαν στις παραδειγματικές καμπύλες ANSI X9.62 παραλείφθηκαν άλλοι επτά. Επειδή ο αριθμός των υποψηφίων που παραλείφθηκαν είναι μικρός, η ομάδα δήλωσε ότι δεν θεωρεί πιθανό να επιλέχθηκαν εξασθενημένες καμπύλες, αν και παραμένει θεωρητικά πιθανό να είχαν επιλεγεί καμπύλες με κάποια συγκεκριμένη ιδιότητα μέσω αναζήτησης σε χρονικές σημάνσεις. Ένα seed δεν κατέστη δυνατό να ανακτηθεί με κανέναν τρόπο: το πέμπτο δυαδικό seed, το B-163, δεν αντιστοιχεί σε τίποτα από όσα δοκίμασε ο Claude. Τα βασικά σημεία των P-224, P-256, P-384 και P-521, καθώς και εκείνα των δυαδικών καμπυλών NIST, παραμένουν άγνωστα.

Η αμοιβή των $36,864 για τον εντοπισμό των seed θα δοθεί στην Internet Security Research Group, ενώ η ανάρτηση ευχαριστεί τον Filippo Valsorda για τη διοργάνωση της αμοιβής και αποτίει μεταθανάτια φόρο τιμής στον Solinas. Η εργασία αποδίδεται στους John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini και Steve Weis. Ο κώδικας αναπαραγωγής που περιλαμβάνεται στη σελίδα διατίθεται στο δημόσιο κτήμα βάσει της άδειας CC0 1.0 Universal.