Anthropic kertoo Clauden jäljittäneen NISTin ECDSA-käyrien siemenet 1990-luvun satunnaislukugeneraattoriin

Anthropicin Frontier Red Team kertoi tutkimusjulkaisussa 16. lokakuuta 2026, että sisäinen Claude-tutkimusmalli oli jäljittänyt NISTin ECDSA-käyrien siementen alkuperän C-kirjaston lrand48-satunnaislukugeneraattoriin, joka oli alustettu Unix-aikaleimoilla. Näin saatiin vastaus alkuperää koskevaan kysymykseen, joka oli ollut avoinna siitä lähtien, kun NSA toimitti arvot selittämättä niitä.

NSA:n selittämättömät siemenet

ECDSA on laajimmin käytetty elliptisen käyrän salausstandardi. NIST otti sen käyttöön vuonna 2000 osana FIPS 186-2 -digitaalisen allekirjoituksen standardia, jossa luetellaan vakiomuotoisia elliptisiä käyriä eri kokoisina ja eri turvallisuustasoilla. Alkuluku- ja binäärikuntien yli määritellyille käyrille spesifikaatiossa julkaistiin siemenparametri, jonka hajautusarvo määrittää käyrän b-kertoimen. NSA toimitti siemenet selittämättä tai perustelematta niitä, ja julkaisussa esitetään esimerkkinä P-256-siemen C49D3608 86E70493 6A6678E1 139D26B7 819F7E90: arvo, joka julkaistiin kertomatta, mistä se oli peräisin.

Neal Koblitz ja Alfred Menezes tiivistivät kiistan artikkelissaan ”A Riddle Wrapped in an Enigma”, ja siementen alkuperästä tehtiin myöhemmin harrastajatutkimus. Lisäksi luvattiin palkkio sille, joka pystyisi selvittämään niiden alkuperän. Vallitsevan käsityksen mukaan siemenet oli luonut NSA:n pitkäaikainen työntekijä Jerry Solinas humoristisen tunnuslauseen hajautusarvona. Julkaisussa lainatussa vuoden 2015 lausunnossa Solinas muisteli: ”Viestin sisältö oli jotakuinkin ’Antakaa Bobil­le ja Jerrylle palkankorotus’ tai ’Bob ja Jerry hallitsevat’ tai jotain sellaista.” Hän kertoi, että Bob Reiter kirjoitti koodin eikä kyseiseltä ajalta löytynyt arkistoja. Solinas kuoli vuonna 2023, eivätkä muut kollegat vastanneet, joten kysymys siementen johtamisesta jäi avoimeksi.

Miten Claude palautti siemenet

Useat Anthropicin työntekijät olivat yrittäneet tuloksetta selvittää siementen alkuperää humoristiseen tunnuslauseeseen liittyneen vihjeen perusteella, mutta julkaisun mukaan vihje osoittautui vääräksi. Lokakuussa 2026 eräs Anthropicin työntekijä kysyi sisäiseltä tutkimusmallilta, pystyisikö se selvittämään, miten siemenet oli luotu, kertomatta sille huhutusta vihjeestä. Anthropic kertoo, että Claude selvitti alle puolessa tunnissa NISTin P-192-, P-224-, P-256-, P-384- ja P-521-siementen alkuperän: ne olivat C-kirjaston lrand48-satunnaislukugeneraattorin tulosteita, ja generaattori oli alustettu Unix-aikaleimalla. Hajautusalgoritmia ei käytetty. Siemeniä luova ohjelma poimi kullakin iteraatiolla 20 tavua ehdokassiemeneksi, ja julkaistu P-256-siemen oli ohjelman suorituksen 1842. ehdokas.

Kun fraasipohjaiset haut oli käyty läpi tuloksetta, Claude lähestyi ongelmaa generaattorin näkökulmasta. Se oletti, että käytössä oli 1990-luvun C-kirjastoissa toimitettu pseudor satunnaislukugeneraattori, jonka tuloste oli niin heikkoa, että sen voisi tunnistaa. Sen skanneri eteni bitti kerrallaan kussakin julkaistussa siemenessä ja testasi vierekkäisiä osia mahdollisina peräkkäisinä tulosteina 1990-luvun generaattorista 34 generaattorin ja tulosteosien yhdistelmässä. Siemenistä erottui yksi kuvio: kun siemenet esitetään viitenä 32-bittisenä sanana, kymmenestä neljän kaikki 20 sanaa sisältävät nollan ylimmässä bitissään. Tällaisen rakenteen todennäköisyys sattumalta on 1/5810. Tämä viittasi lrand48-generaattoriin, lineaariseen kongruenssigeneraattoriin, joka palauttaa vain 48-bittisen tilan 31 ylintä bittiä. Näiden neljän siemenen kohdalla Claude palautti generaattorin tilan kokeilemalla kaikki 2^17 mahdollista arvoa ensimmäisen sanan 17 piilotetulle bitille ja tarkistamalla, seurasivatko neljä seuraavaa sanaa niiden mukaisesti. Menetelmä onnistui kaikkien neljän kohdalla.

Alkulukukäyrien siemenet oli tuotettu samalla lrand48-generaattorilla, vaikka kunkin tulosteesta oli säilytetty vähemmän bittejä. Katkaistun lineaarisen kongruenssigeneraattorin sisäisen tilan palauttaminen on oppikirjaesimerkki hilatehtävästä, jonka Claude ratkaisi Lenstra–Lenstra–Lovász-alustakannan reduktiolla (LLL) soveltaen ratkaisijaa kaikkiin mahdollisiin ikkunoihin. Kaikki viisi NISTin alkulukukäyrien siementä ja viisi muuta ANSI X9.62 -standardin siementä vastasivat samaa kaavaa, lrand48() >> 23, ja jokainen palautettu 48-bittinen tila tuottaa uudelleen siemenen kaikki 160 bittiä.

Julkaisussa esitetään myös Clauden istunnon aikana tallentama sisäinen päättely, jossa malli tarkisti, saattoiko se toimia simuloidussa testiympäristössä, ennen kuin totesi: ”Olen varmistanut tämän suoraan laskemalla: 160 bitin osuma 32-bittisestä siemenestä ja pienestä indeksistä – ei mahdollisuutta sattumaosumiin (10 × 160 bittiä). Tämä on todellista.”

Aikaleimat ja kantapisteet

Koska generaattorin toimintaa on yhtä helppo jäljittää taaksepäin kuin eteenpäin, Claude peruutti kunkin siemenen tilaa, kunnes se saavutti srand48-alustustilan, jonka tunnistaa siitä, että alimmat 16 bittiä ovat 0x330E. Tällainen tila esiintyy kerran 65 536 askeleessa. Kaikkien kymmenen alkulukukäyrän siemenet oli alustettu Unix-aikaleimoilla, jotka ajoittuivat toukokuun 1997 ja huhtikuun 1998 välille. Neljän binäärikäyrän alustukset puolestaan viittasivat helmikuuhun 1984; kun nämä aikaleimat kaksinkertaistetaan, tulokseksi saadaan 17. huhtikuuta 1998 eli kaksi viikkoa P-224-ajon jälkeen. Tämän perusteella ryhmä esitti, että ohjelma oli saattanut puolittaa kellonajan.

Claude selvitti myös joidenkin käyrien kanta­pisteiden alkuperän. Jokaisella käyrällä on kanta­piste G, jonka monikertoja kaikki ECDSA:n julkiset avaimet ovat, eikä löydetty siemen määritä tätä pistettä. Kuuden toukokuussa 1997 luodun käyrän — P-192:n sekä ANSI X9.62:n esimerkkikäyrien prime192v2:n, prime192v3:n ja prime239v1:n–prime239v3:n — kantapisteet ovat peräisin FreeLIPin satunnaislukugeneraattorista. FreeLIP on Arjen Lenstran pitkien kokonaislukujen aritmetiikkaan tarkoitettu paketti, jonka koodi sisältyi myös Victor Shoupin NTL-kirjaston varhaisiin versioihin. Tässä menetelmässä generaattorille annetaan siemeneksi pieni kokonaisluku, seitsemän tulostetta hylätään, ehdokkaiden x-koordinaatit poimitaan 26-bittisistä tulosteista, jotka redusoidaan modulo p, ja poimintaa jatketaan, kunnes x kuuluu käyrälle. Clauden löytämät generaattorin siemenet ovat P-192:lle 20000; prime239v1:lle, prime239v2:lle ja prime239v3:lle 20420, 20507 ja 20509; sekä prime192v2:lle ja prime192v3:lle 20512 ja 20517. Anthropic kertoo, ettei sen tietojen mukaan yhdenkään NISTin kantapisteen alkuperää ole aiemmin selvitetty, eivätkä P-224:n, P-256:n, P-384:n ja P-521:n kantapisteet sovi tähän menetelmään.

Tietoturva-arvio ja avoimet kysymykset

Anthropic kertoo, etteivät löydökset merkitse kryptografian murtamista, uutta hyökkäystä tai mitään heikkoutta ECDSA-käyrissä. Tiimin mukaan siemenet oli tuotettu yleisellä näennäissatunnaislukugeneraattorilla, joka oli alustettu kellonajan perusteella. Kuka tahansa voi nyt toisintaa menetelmän, mikä tiimin näkemyksen mukaan jättää paljon vähemmän tilaa manipuloinnille ja lisää luottamusta parametrien turvallisuuteen. Kirjoituksessa tulosta kuvataan päätösluvuksi ja vuosia jatkuneen spekulaation lopuksi. Lukijoille kerrotaan, ettei heidän tarvitse tehdä mitään, sillä useimmat tutkijat luottivat käyriin jo ennestään.

Osa kysymyksistä on yhä avoinna. Kaikista 20-tavuisista siemenehdokkaista ei voinut muodostaa käyttökelpoista käyrää, ja tiimi havaitsi, että jotkin mahdollisesti käyttökelpoiset ehdokkaat oli ohitettu. P-256:n julkaistu siemen on ehdokas 1842, mutta saman ajon ehdokas 876 tuottaa myös oikean kokoisen alkulukujärjestyksisen käyrän, jonka parametrit on valittu samalla tavalla kuin julkaistun käyrän parametrit. P-224:n ajossa ohitettiin kolme tällaista ehdokasta, ja ANSI X9.62:n esimerkkikäyrien taustalla olleissa kahdessa ajossa ohitettiin vielä seitsemän. Koska ohitettujen ehdokkaiden määrä on pieni, tiimi ei pidä heikennettyjen käyrien valintaa uskottavana, vaikka periaatteessa on mahdollista, että tietyn ominaisuuden omaavia käyriä olisi voitu valita etsimällä niitä aikaleimojen avulla. Yhden siemenen palauttaminen ei onnistunut lainkaan: viides binäärisiemen, B-163, ei vastaa mitään, mitä Claude kokeili. P-224:n, P-256:n, P-384:n ja P-521:n kantapisteet sekä NISTin binäärikäyrien kantapisteet ovat edelleen tuntemattomia.

Siementen löytämisestä luvattu 36 864 dollarin palkkio lahjoitetaan Internet Security Research Groupille. Kirjoituksessa kiitetään Filippo Valsordaa palkkion järjestämisestä ja muistetaan Solinasia tämän kuoleman jälkeen. Työn tekijöiksi mainitaan John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini ja Steve Weis. Sivulla oleva koodin toisintamiseen tarkoitettu ohjelmakoodi on luovutettu public domainiin CC0 1.0 Universal -lisenssillä.