Anthropic का कहना है कि Claude ने NIST ECDSA वक्रों के सीड का पता 1990 के दशक के एक यादृच्छिक संख्या जनरेटर तक लगाया

Anthropic की Frontier Red Team ने 16 अक्टूबर, 2026 को एक शोध प्रकाशन में बताया कि Claude के एक आंतरिक शोध मॉडल ने NIST ECDSA वक्रों के सीड की उत्पत्ति का पता C लाइब्रेरी के lrand48 यादृच्छिक संख्या जनरेटर तक लगाया, जिसे Unix टाइमस्टैम्प से सीड किया गया था। इस तरह, उन मानों की उत्पत्ति से जुड़ा वह सवाल सुलझ गया जो NSA द्वारा बिना किसी स्पष्टीकरण के ये मान दिए जाने के बाद से अनुत्तरित था।

NSA के वे सीड जिनकी उत्पत्ति नहीं बताई गई

ECDSA, दीर्घवृत्तीय वक्र क्रिप्टोग्राफी का सबसे व्यापक रूप से इस्तेमाल किया जाने वाला मानक है। NIST ने 2000 में इसे FIPS 186-2 डिजिटल सिग्नेचर मानक के हिस्से के रूप में अपनाया। इस मानक में अलग-अलग आकार और सुरक्षा स्तरों वाले मानक दीर्घवृत्तीय वक्र सूचीबद्ध हैं। अभाज्य और द्विआधारी क्षेत्रों पर परिभाषित वक्रों के लिए, विनिर्देश में एक सीड पैरामीटर प्रकाशित किया गया था, जिसका हैश मान वक्र के गुणांक b को परिभाषित करता है। NSA ने इन सीड के साथ कोई स्पष्टीकरण या औचित्य नहीं दिया था। पोस्ट में P-256 सीड—C49D3608 86E70493 6A6678E1 139D26B7 819F7E90—को ऐसे मान के उदाहरण के रूप में फिर से दिया गया है, जिसकी उत्पत्ति के बारे में कोई जानकारी प्रकाशित नहीं की गई थी।

Neal Koblitz और Alfred Menezes ने “A Riddle Wrapped in an Enigma” नामक शोधपत्र में इस विवाद का सार प्रस्तुत किया था। बाद में, इन सीड की उत्पत्ति का पता लगाने के लिए एक शौकिया पड़ताल शुरू हुई और उन्हें खोज निकालने वाले के लिए इनाम भी रखा गया। सबसे प्रचलित दावे के अनुसार, NSA के लंबे समय से कर्मचारी रहे Jerry Solinas ने एक मज़ाकिया पासफ़्रेज़ का हैश बनाकर ये सीड तैयार किए थे। पोस्ट में दोहराए गए 2015 के एक बयान में Solinas ने याद करते हुए कहा: “संदेश कुछ इस तरह था: ‘Bob और Jerry को वेतनवृद्धि दो’ या ‘Bob और Jerry का राज है’ या ऐसा ही कुछ।” उन्होंने कहा कि Bob Reiter ने कोड लिखा था और उस समय के कोई अभिलेख नहीं मिल सके। Solinas का 2023 में निधन हो गया और अन्य सहकर्मियों ने भी जवाब नहीं दिया, इसलिए सीड बनाने के तरीके का सवाल अनुत्तरित रह गया।

Claude ने सीड का पता कैसे लगाया

पोस्ट के मुताबिक, मज़ाकिया पासफ़्रेज़ वाली जानकारी के आधार पर कई Anthropic कर्मचारियों ने इन सीड का पता लगाने की कोशिश की थी, लेकिन वे सफल नहीं हुए। बाद में यह जानकारी गलत निकली। अक्टूबर 2026 में, Anthropic के एक कर्मचारी ने आंतरिक शोध मॉडल से पूछा कि क्या वह चर्चित संकेत दिए बिना यह पता लगा सकता है कि ये सीड कैसे बनाए गए थे। Anthropic के मुताबिक, आधे घंटे से भी कम समय में Claude ने NIST के P-192, P-224, P-256, P-384 और P-521 सीड की उत्पत्ति का पता लगा लिया: ये C लाइब्रेरी के lrand48 यादृच्छिक संख्या जनरेटर के आउटपुट थे, जिसे Unix टाइमस्टैम्प से सीड किया गया था; इसमें किसी हैश एल्गोरिदम का इस्तेमाल नहीं हुआ था। सीड बनाने वाले प्रोग्राम ने हर पुनरावृत्ति में 20 बाइट लेकर एक संभावित सीड तैयार किया था, और प्रकाशित P-256 सीड उस प्रोग्राम के चलने के दौरान तैयार हुआ 1842वाँ संभावित सीड था।

वाक्यांश-आधारित खोजों से कुछ न मिलने पर Claude ने जनरेटर के आधार पर समस्या को हल करने की कोशिश की। उसने अनुमान लगाया कि ऐसा सॉफ़्टवेयर इस्तेमाल हुआ होगा जो 1990 के दशक की C लाइब्रेरी के साथ आए किसी छद्म-यादृच्छिक संख्या जनरेटर पर आधारित था और जिसका आउटपुट इतना कमज़ोर था कि उसे पहचाना जा सके। उसके स्कैनर ने प्रकाशित हर सीड में बिट दर बिट आगे बढ़ते हुए, 1990 के दशक के जनरेटर के लगातार आउटपुट के संभावित हिस्सों के रूप में आस-पास के खंडों की जाँच की। इसमें जनरेटर और आउटपुट के खंडों के 34 संयोजनों को परखा गया। सभी सीड में एक पैटर्न उभरकर सामने आया: पाँच 32-बिट शब्दों के रूप में लिखे जाने पर, दस में से चार सीड के सभी 20 शब्दों के सबसे ऊपरी बिट का मान शून्य था। संयोग से ऐसी व्यवस्था बनने की संभावना 1/5810 है। इससे lrand48 की ओर संकेत मिला—यह एक रैखिक सर्वांगसम जनरेटर है, जो 48-बिट अवस्था के केवल सबसे ऊपरी 31 बिट लौटाता है। उन चार सीड के लिए, Claude ने पहले शब्द के छिपे हुए 17 बिट के 2^17 संभावित मानों में से हर एक को आज़माकर और यह जाँचकर जनरेटर की अवस्था का पता लगाया कि क्या अगले चार शब्द क्रम से मेल खाते हैं। यह तरीका चारों सीड के लिए सफल रहा।

अभाज्य वक्रों के सीड भी इसी lrand48 जनरेटर से बनाए गए थे, हालांकि उनमें हर आउटपुट के कम बिट रखे गए थे। कटे हुए रैखिक सर्वांगसम जनरेटर की आंतरिक अवस्था को फिर से बनाने की समस्या का पाठ्यपुस्तकों में वर्णित समाधान जालिका की समस्या है। Claude ने Lenstra–Lenstra–Lovász (LLL) आधार न्यूनीकरण से इसे हल किया और हर संभावित विंडो पर यह विधि लागू की। NIST के अभाज्य-वक्र वाले सभी पाँच सीड और ANSI X9.62 मानक के पाँच अन्य सीड, सभी एक ही पैटर्न—lrand48() >> 23—से मेल खाते थे। हर सीड की पुनर्प्राप्त 48-बिट अवस्था से उसके सभी 160 बिट फिर से बनाए जा सकते हैं।

पोस्ट में सत्र के दौरान दर्ज Claude की आंतरिक तर्क-प्रक्रिया भी फिर से दी गई है। इसमें मॉडल ने यह जाँचा कि कहीं वह किसी सिम्युलेटेड परीक्षण परिवेश में तो काम नहीं कर रहा, और फिर निष्कर्ष निकाला: “मेरी ओर से सीधी गणना से इसकी पुष्टि हो चुकी है: 32-बिट सीड + छोटा इंडेक्स लेकर 160-बिट का मेल—संयोग की कोई संभावना नहीं (10 × 160 बिट)। यह वास्तविक है।”

टाइमस्टैम्प और आधार बिंदु

चूँकि जनरेटर को आगे चलाने जितनी ही आसानी से पीछे भी चलाया जा सकता है, Claude ने हर सीड की अवस्था को पीछे की ओर तब तक चलाया, जब तक उसे srand48 की आरंभीकरण अवस्था नहीं मिल गई। इस अवस्था की पहचान यह थी कि उसके निचले 16 बिट 0x330E के बराबर थे; ऐसी अवस्था हर 65,536 चरणों में एक बार आती है। अभाज्य वक्रों के सभी दस सीड के लिए, आरंभीकरण के समय Unix टाइमस्टैम्प मई 1997 से अप्रैल 1998 के बीच के थे। इसके बजाय, चार द्विआधारी वक्रों के आरंभीकरण समय फरवरी 1984 के दिखाई दिए। इन टाइमस्टैम्प को दोगुना करने पर तारीखें 17 अप्रैल, 1998 पर पहुँचती हैं—P-224 रन के दो सप्ताह बाद। इसी वजह से टीम ने सुझाव दिया कि संभव है प्रोग्राम ने घड़ी के समय को आधा कर दिया हो।

Claude ने यह भी पता लगाया कि कुछ वक्रों के आधार बिंदु कहाँ से आए थे। हर वक्र एक आधार बिंदु G निर्दिष्ट करता है, जो एक निश्चित बिंदु है और जिसका गुणज हर ECDSA सार्वजनिक कुंजी होती है; पुनर्प्राप्त बीज इस आधार बिंदु को निर्धारित नहीं करता। मई 1997 में बनाए गए छह वक्रों—P-192 और ANSI X9.62 के उदाहरण वक्र prime192v2, prime192v3 तथा prime239v1 से v3 तक—के आधार बिंदुओं का स्रोत FreeLIP का यादृच्छिक संख्या जनरेटर है। FreeLIP, Arjen Lenstra का बड़ी पूर्णांक गणित का पैकेज है, और इसका कोड Victor Shoup की NTL लाइब्रेरी के शुरुआती संस्करणों में भी शामिल था। इस विधि में जनरेटर को एक छोटी पूर्णांक संख्या से शुरू किया जाता है, उसके सात आउटपुट छोड़ दिए जाते हैं, फिर 26-बिट आउटपुट से प्राप्त और p से भाग देने पर बचने वाले शेषफल के रूप में x के संभावित निर्देशांक लिए जाते हैं। यह प्रक्रिया तब तक दोहराई जाती है, जब तक x वक्र पर न आ जाए। Claude ने जनरेटर के लिए जिन बीजों की पहचान की, वे हैं: P-192 के लिए 20000; prime239v1 से v3 तक के लिए 20420, 20507 और 20509; तथा prime192v2 और v3 के लिए 20512 और 20517। Anthropic का कहना है कि उसकी जानकारी में NIST के किसी आधार बिंदु की पहले कभी व्याख्या नहीं की गई है, और P-224, P-256, P-384 तथा P-521 के आधार बिंदु इस विधि से मेल नहीं खाते।

सुरक्षा आकलन और अनसुलझे सवाल

Anthropic का कहना है कि ये निष्कर्ष न तो क्रिप्टोग्राफ़िक सेंधमारी हैं, न कोई नया हमला और न ही ECDSA वक्रों की कोई कमजोरी। टीम ने कहा कि ये बीज घड़ी के समय से आरंभ किए गए एक आम छद्म-यादृच्छिक संख्या जनरेटर से बनाए गए थे। अब कोई भी इस विधि को दोहरा सकता है; टीम के अनुसार, इससे छेड़छाड़ की गुंजाइश बहुत कम रह जाती है और इन मापदंडों की सुरक्षा पर भरोसा बढ़ता है। पोस्ट इस नतीजे को अटकलों के वर्षों के बाद समापन अध्याय के रूप में पेश करता है और पाठकों से कहता है कि उन्हें कुछ करने की ज़रूरत नहीं है, क्योंकि अधिकांश शोधकर्ताओं को इन वक्रों पर पहले से ही भरोसा था।

कुछ सवाल अब भी अनसुलझे हैं। 20-बाइट के हर संभावित बीज से उपयोगी वक्र नहीं बन सकता था, और टीम ने पाया कि कुछ ऐसे संभावित बीज छोड़ दिए गए थे जिनसे उपयोगी वक्र बन सकता था। P-256 का प्रकाशित बीज संभावित बीज 1842 है, लेकिन उसी प्रक्रिया में संभावित बीज 876 से भी सही आकार का अभाज्य क्रम वाला वक्र बनता है, जिसके मापदंड प्रकाशित वक्र की तरह ही चुने गए थे। P-224 की प्रक्रिया में ऐसे तीन संभावित बीज छोड़ दिए गए, और ANSI X9.62 के उदाहरण वक्रों के पीछे की दो प्रक्रियाओं में सात और बीज छोड़ दिए गए। छोड़े गए बीजों की संख्या कम होने के कारण, टीम ने कहा कि उसे कमजोर वक्रों के चयन की संभावना विश्वसनीय नहीं लगती। फिर भी, सिद्धांत रूप में यह संभव है कि समय-मुद्राओं को खोजकर किसी विशेष गुण वाले वक्र चुने गए हों। एक बीज को पुनर्प्राप्त करना पूरी तरह असंभव रहा: पाँचवाँ बाइनरी बीज, B-163, Claude की आजमाई किसी भी चीज़ से मेल नहीं खाता। P-224, P-256, P-384 और P-521 के आधार बिंदुओं के साथ-साथ NIST के बाइनरी वक्रों के आधार बिंदु अब भी अज्ञात हैं।

बीज खोजने पर मिलने वाला $36,864 का इनाम Internet Security Research Group को दान किया जाएगा। पोस्ट में इनाम का आयोजन करने के लिए Filippo Valsorda का धन्यवाद किया गया है और Solinas को मरणोपरांत सम्मान दिया गया है। इस काम का श्रेय John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini और Steve Weis को दिया गया है। पेज पर मौजूद पुनरुत्पादन कोड CC0 1.0 Universal के तहत सार्वजनिक डोमेन को समर्पित है।