Anthropic Mengatakan Claude Menelusuri Seed Kurva ECDSA NIST hingga RNG Era 1990-an

Pada 16 Oktober 2026, Frontier Red Team Anthropic melaporkan dalam sebuah publikasi penelitian bahwa model riset internal Claude telah menelusuri asal-usul seed kurva ECDSA NIST hingga ke generator angka acak lrand48 dari pustaka C, yang diinisialisasi dengan stempel waktu Unix. Temuan ini menjawab pertanyaan tentang asal-usul seed yang belum terjawab sejak NSA memberikan nilai-nilai tersebut tanpa penjelasan.

Seed NSA yang Tidak Dijelaskan

ECDSA adalah standar kriptografi kurva eliptik yang paling banyak digunakan. NIST mengadopsinya pada 2000 sebagai bagian dari Standar Tanda Tangan Digital FIPS 186-2, yang mencantumkan kurva eliptik standar dengan beragam ukuran dan tingkat keamanan. Untuk kurva pada medan prima dan biner, spesifikasi tersebut menerbitkan parameter seed yang nilai hash-nya menentukan koefisien b kurva. NSA memberikan seed tersebut tanpa penjelasan atau alasan, dan unggahan itu menampilkan kembali seed P-256, C49D3608 86E70493 6A6678E1 139D26B7 819F7E90, sebagai contoh nilai yang diterbitkan tanpa informasi mengenai asal-usulnya.

Neal Koblitz dan Alfred Menezes merangkum kontroversi tersebut dalam makalah “A Riddle Wrapped in an Enigma”, dan persoalan itu kemudian memicu penyelidikan amatir mengenai asal-usul seed serta sayembara berhadiah bagi siapa pun yang dapat menemukannya. Dugaan utama menyebutkan bahwa Jerry Solinas, pegawai lama NSA, membuat seed tersebut dengan mengambil hash dari frasa sandi jenaka. Dalam pernyataan tahun 2015 yang dikutip ulang dalam unggahan itu, Solinas mengenang: “Pesannya kurang lebih seperti ‘Beri Bob dan Jerry kenaikan gaji’ atau ‘Bob dan Jerry berkuasa’ atau semacamnya.” Ia mengatakan bahwa Bob Reiter menulis kodenya dan tidak ada arsip dari masa itu yang dapat ditemukan. Solinas meninggal pada 2023, sementara kolega lainnya tidak memberikan tanggapan, sehingga pertanyaan tentang cara seed itu dibuat tetap belum terjawab.

Cara Claude Menemukan Kembali Seed

Beberapa karyawan Anthropic sebelumnya berusaha menelusuri seed tersebut tanpa hasil setelah mendapat petunjuk tentang frasa sandi jenaka, yang menurut unggahan itu ternyata keliru. Pada Oktober 2026, seorang karyawan Anthropic bertanya kepada model riset internal apakah model itu dapat mengetahui cara seed tersebut dibuat tanpa diberi petunjuk tentang dugaan yang beredar. Menurut laporan Anthropic, dalam waktu kurang dari setengah jam Claude menemukan asal-usul seed NIST P-192, P-224, P-256, P-384, dan P-521: keluaran generator angka acak lrand48 dari pustaka C yang diinisialisasi dengan stempel waktu Unix, tanpa melibatkan algoritme hash. Program pembuatnya mengambil 20 byte pada setiap iterasi sebagai seed kandidat, dan seed P-256 yang diterbitkan merupakan kandidat ke-1842 dalam proses tersebut.

Setelah pencarian berbasis frasa tidak membuahkan hasil, Claude mendekati persoalan dari sisi generator. Model itu mengajukan dugaan bahwa perangkat lunak tersebut menggunakan generator angka acak semu yang disertakan dalam pustaka C era 1990-an dan menghasilkan keluaran yang cukup lemah sehingga dapat dikenali. Pemindainya menelusuri setiap seed yang diterbitkan sedikit demi sedikit, menguji potongan-potongan berdekatan sebagai kemungkinan keluaran berurutan dari generator era 1990-an, dengan 34 kombinasi generator dan potongan keluaran. Di antara semua seed, tampak satu pola: jika ditulis sebagai lima kata 32-bit, empat dari sepuluh seed memiliki bit paling atas bernilai nol pada seluruh 20 kata, susunan yang peluang kemunculannya secara kebetulan adalah 1/5810. Hal itu mengarah pada lrand48, generator kongruensial linear yang hanya mengembalikan 31 bit teratas dari keadaan 48-bit. Untuk keempat seed tersebut, Claude menemukan kembali keadaan generator dengan mencoba setiap kemungkinan dari 2^17 nilai untuk 17 bit tersembunyi pada kata pertama, lalu memverifikasi bahwa empat kata berikutnya sesuai. Cara ini berhasil untuk keempat seed.

Seed kurva prima dihasilkan oleh generator lrand48 yang sama, meskipun setiap keluarannya hanya menyimpan lebih sedikit bit. Merekonstruksi keadaan internal generator kongruensial linear yang terpotong merupakan masalah kisi yang dibahas dalam buku teks; Claude menyelesaikannya dengan reduksi basis Lenstra–Lenstra–Lovász (LLL), menerapkan pemecah masalah tersebut pada setiap kemungkinan jendela. Kelima seed kurva prima NIST, ditambah lima seed lainnya dari standar ANSI X9.62, cocok dengan pola yang sama, lrand48() >> 23, dan setiap keadaan 48-bit yang ditemukan kembali menghasilkan ulang seluruh 160 bit seed-nya.

Unggahan itu juga menampilkan kembali catatan penalaran internal Claude dari sesi tersebut. Di dalamnya, model memeriksa apakah ia mungkin beroperasi dalam lingkungan uji simulasi sebelum menyimpulkan: “Saya telah memverifikasinya melalui komputasi langsung di sisi saya: kecocokan 160-bit dari seed 32-bit + indeks kecil: tidak mungkin terjadi secara kebetulan (10 × 160 bit). Ini nyata.”

Stempel Waktu dan Titik Basis

Karena generator dapat berjalan mundur semudah berjalan maju, Claude menelusuri keadaan setiap seed ke belakang hingga mencapai keadaan inisialisasi srand48, yang dapat dikenali dari 16 bit terbawah yang bernilai 0x330E; bentuk ini muncul setiap 65.536 langkah. Untuk kesepuluh seed kurva prima, waktu inisialisasinya berupa stempel waktu Unix antara Mei 1997 dan April 1998. Sebaliknya, empat inisialisasi kurva biner menunjukkan Februari 1984; jika stempel waktu tersebut digandakan, hasilnya adalah 17 April 1998, dua minggu setelah proses P-224. Hal ini mendorong tim untuk menduga bahwa program tersebut mungkin membagi dua waktu pada jam.

Claude juga mengidentifikasi asal beberapa titik dasar kurva. Setiap kurva menetapkan sebuah titik dasar G, yang menjadi titik tetap dan kelipatan dari setiap kunci publik ECDSA, sementara benih yang berhasil dipulihkan tidak menentukan titik tersebut. Untuk enam kurva yang dibuat pada Mei 1997—P-192 serta kurva contoh ANSI X9.62 prime192v2, prime192v3, dan prime239v1 hingga prime239v3—titik-titik dasarnya berasal dari generator bilangan acak dalam FreeLIP, paket aritmetika bilangan bulat panjang milik Arjen Lenstra, yang kodenya juga disertakan dalam versi awal pustaka NTL karya Victor Shoup. Dengan metode tersebut, generator diberi benih berupa bilangan bulat kecil, tujuh keluaran pertamanya dibuang, lalu kandidat koordinat x diambil dari keluaran 26-bit yang direduksi modulo p. Pengambilan diulang hingga x berada pada kurva. Benih generator yang diidentifikasi Claude adalah 20000 untuk P-192; 20420, 20507, dan 20509 untuk prime239v1 hingga prime239v3; serta 20512 dan 20517 untuk prime192v2 dan prime192v3. Anthropic menyatakan bahwa, sejauh yang mereka ketahui, belum pernah ada yang menjelaskan asal titik dasar NIST, dan titik dasar P-224, P-256, P-384, serta P-521 tidak sesuai dengan metode ini.

Penilaian Keamanan dan Pertanyaan yang Belum Terjawab

Anthropic menyatakan bahwa temuan ini bukanlah pembobolan kriptografi, serangan baru, ataupun kelemahan pada kurva ECDSA. Tim tersebut mengatakan bahwa benih-benih itu dihasilkan oleh generator bilangan acak semu yang umum dan diinisialisasi berdasarkan waktu. Metode ini kini dapat direproduksi oleh siapa pun dan, menurut mereka, menyisakan jauh lebih sedikit peluang untuk melakukan sabotase serta meningkatkan keyakinan bahwa parameternya aman. Tulisan tersebut menggambarkan hasil ini sebagai bab penutup dan akhir dari spekulasi selama bertahun-tahun, sekaligus memberi tahu pembaca bahwa tidak ada tindakan yang perlu dilakukan karena sebagian besar peneliti telah memercayai kurva-kurva tersebut.

Sejumlah pertanyaan masih belum terjawab. Tidak semua benih kandidat sepanjang 20 byte dapat menghasilkan kurva yang layak, dan tim mengamati bahwa beberapa kandidat yang mungkin layak dilewati. Benih P-256 yang dipublikasikan adalah kandidat 1842, tetapi kandidat 876 dari proses yang sama juga menghasilkan kurva berorde prima dengan ukuran yang tepat, dengan parameter yang dipilih menggunakan metode yang sama seperti kurva yang dipublikasikan. Proses untuk P-224 melewati tiga kandidat semacam itu, sementara dua proses yang menghasilkan kurva contoh ANSI X9.62 melewati tujuh kandidat lagi. Karena jumlah kandidat yang dilewati sedikit, tim mengatakan bahwa kemungkinan pemilihan kurva yang dilemahkan tidak masuk akal. Namun, secara prinsip tetap mungkin bahwa kurva dengan sifat tertentu dipilih melalui pencarian berdasarkan cap waktu. Satu benih tidak berhasil dipulihkan sama sekali: benih biner kelima, B-163, tidak cocok dengan apa pun yang dicoba Claude. Titik dasar P-224, P-256, P-384, dan P-521, serta titik dasar kurva biner NIST, masih belum diketahui.

Hadiah sebesar $36,864 untuk menemukan benih-benih tersebut akan disumbangkan kepada Internet Security Research Group. Tulisan itu berterima kasih kepada Filippo Valsorda karena telah mengatur hadiah tersebut, sekaligus mengenang Solinas secara anumerta. Karya ini dikreditkan kepada John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini, dan Steve Weis. Kode reproduksi yang tercantum di halaman tersebut didedikasikan untuk domain publik berdasarkan CC0 1.0 Universal.