Anthropic ระบุว่า Claude สืบย้อนค่าเริ่มต้นของเส้นโค้ง ECDSA ของ NIST ไปถึงเครื่องกำเนิดเลขสุ่มจากทศวรรษ 1990

เมื่อวันที่ 16 ตุลาคม 2026 ทีม Frontier Red Team ของ Anthropic รายงานในงานวิจัยว่า โมเดลวิจัย Claude ภายในองค์กรสืบย้อนที่มาของค่าเริ่มต้นเส้นโค้ง ECDSA ของ NIST ได้ถึงเครื่องกำเนิดเลขสุ่ม lrand48 ในไลบรารี C ซึ่งเริ่มต้นด้วยการประทับเวลา Unix จึงตอบคำถามเรื่องที่มาซึ่งค้างคามาตั้งแต่ NSA มอบค่าเหล่านี้ให้โดยไม่ชี้แจง

ค่าเริ่มต้นจาก NSA ที่ไม่มีคำอธิบาย

ECDSA เป็นมาตรฐานการเข้ารหัสด้วยเส้นโค้งวงรีที่ใช้กันแพร่หลายมากที่สุด NISTนำมาตรฐานนี้มาใช้ในปี 2000 เป็นส่วนหนึ่งของมาตรฐานลายมือชื่อดิจิทัล FIPS 186-2 ซึ่งระบุเส้นโค้งวงรีมาตรฐานที่มีขนาดและระดับความปลอดภัยแตกต่างกัน สำหรับเส้นโค้งเหนือฟิลด์เฉพาะและฟิลด์ทวิภาค ข้อกำหนดได้เผยแพร่พารามิเตอร์ค่าเริ่มต้น ซึ่งค่าแฮชของพารามิเตอร์นี้ใช้กำหนดสัมประสิทธิ์ b ของเส้นโค้ง NSA มอบค่าเริ่มต้นเหล่านั้นโดยไม่มีคำอธิบายหรือเหตุผลประกอบ และบทความได้นำค่าเริ่มต้นของ P-256 มาแสดงเป็นตัวอย่าง ได้แก่ C49D3608 86E70493 6A6678E1 139D26B7 819F7E90 ซึ่งเป็นค่าที่เผยแพร่โดยไม่มีข้อมูลระบุที่มา

Neal Koblitz และ Alfred Menezes สรุปข้อถกเถียงนี้ไว้ในบทความเรื่อง “ปริศนาที่ซ่อนอยู่ในปริศนา” และต่อมามีการสืบค้นที่มาของค่าเริ่มต้นโดยนักสืบสมัครเล่น พร้อมตั้งรางวัลให้แก่ผู้ที่ค้นพบที่มาได้ คำอธิบายที่ได้รับการยอมรับมากที่สุดระบุว่า Jerry Solinas พนักงาน NSA ที่ทำงานมานานเป็นผู้สร้างค่าเริ่มต้นเหล่านี้ โดยใช้แฮชของวลีรหัสผ่านเชิงขบขัน ในคำแถลงเมื่อปี 2015 ที่บทความนำมาเผยแพร่ Solinas เล่าว่า “ข้อความน่าจะประมาณว่า ‘ขึ้นเงินเดือนให้ Bob กับ Jerry หน่อย’ หรือ ‘Bob กับ Jerry เจ๋งที่สุด’ หรืออะไรทำนองนั้น” เขากล่าวว่า Bob Reiter เป็นผู้เขียนโค้ด และไม่พบเอกสารเก็บถาวรจากช่วงเวลาดังกล่าว Solinas เสียชีวิตในปี 2023 ส่วนเพื่อนร่วมงานคนอื่น ๆ ก็ไม่ได้ตอบกลับ ทำให้คำถามเกี่ยวกับวิธีสร้างค่าเริ่มต้นยังไม่มีคำตอบ

Claude สืบค้นค่าเริ่มต้นกลับมาได้อย่างไร

พนักงาน Anthropic หลายคนเคยพยายามสืบหาค่าเริ่มต้นตามเบาะแสเรื่องวลีรหัสผ่านเชิงขบขันแต่ไม่สำเร็จ โดยบทความระบุว่าเบาะแสดังกล่าวไม่ถูกต้อง ในเดือนตุลาคม 2026 พนักงาน Anthropic คนหนึ่งถามโมเดลวิจัยภายในองค์กรว่า จะหาวิธีสร้างค่าเริ่มต้นได้หรือไม่ โดยไม่ได้ชี้นำไปยังเบาะแสที่เล่าลือกัน Anthropic รายงานว่า Claude ใช้เวลาไม่ถึงครึ่งชั่วโมงในการระบุที่มาของค่าเริ่มต้น NIST P-192, P-224, P-256, P-384 และ P-521 ว่าเป็นผลลัพธ์จากเครื่องกำเนิดเลขสุ่ม lrand48 ในไลบรารี C ซึ่งเริ่มต้นด้วยการประทับเวลา Unix โดยไม่ได้ใช้อัลกอริทึมแฮช โปรแกรมที่ใช้สร้างค่าเหล่านี้สุ่มข้อมูล 20 ไบต์ในแต่ละรอบเพื่อใช้เป็นค่าเริ่มต้นที่เป็นไปได้ และค่าเริ่มต้น P-256 ที่เผยแพร่คือค่าลำดับที่ 1842 ในการทำงานครั้งนั้น

หลังจากค้นหาด้วยวลีต่าง ๆ จนหมดแล้ว Claude หันมาพิจารณาจากตัวเครื่องกำเนิด โดยตั้งสมมติฐานว่าอาจเป็นซอฟต์แวร์ที่ใช้เครื่องกำเนิดเลขสุ่มเทียมซึ่งมาพร้อมกับไลบรารี C ในทศวรรษ 1990 และมีเอาต์พุตที่อ่อนแอจนระบุรูปแบบได้ โปรแกรมสแกนของ Claude ไล่ตรวจค่าเริ่มต้นที่เผยแพร่แต่ละค่าไปทีละบิต โดยทดสอบกลุ่มบิตที่อยู่ติดกันว่าเป็นเอาต์พุตต่อเนื่องที่เป็นไปได้ของเครื่องกำเนิดรุ่นจากทศวรรษ 1990 หรือไม่ ครอบคลุมการจับคู่เครื่องกำเนิดกับช่วงเอาต์พุต 34 แบบ เมื่อพิจารณาค่าเริ่มต้นทั้งหมด พบรูปแบบหนึ่งที่โดดเด่น: เมื่อนำเสนอเป็นคำขนาด 32 บิตจำนวนห้าคำ ค่าเริ่มต้น 4 ใน 10 ค่ามีบิตสูงสุดเป็นศูนย์ในคำทั้ง 20 คำ ซึ่งเป็นรูปแบบที่มีโอกาสเกิดขึ้นโดยบังเอิญเท่ากับ 1/5810 รูปแบบนี้ชี้ไปที่ lrand48 ซึ่งเป็นเครื่องกำเนิดแบบสอดคล้องเชิงเส้นที่คืนค่าเฉพาะ 31 บิตบนสุดจากสถานะ 48 บิต สำหรับค่าเริ่มต้นทั้งสี่ค่านี้ Claude กู้คืนสถานะของเครื่องกำเนิดด้วยการลองค่าที่เป็นไปได้ทั้งหมด 2^17 ค่าของ 17 บิตแรกที่ซ่อนอยู่ในคำแรก แล้วตรวจสอบว่าคำสี่คำถัดไปเป็นไปตามรูปแบบหรือไม่ ซึ่งทำได้สำเร็จทั้งสี่ค่า

ค่าเริ่มต้นของเส้นโค้งเฉพาะจำนวนเฉพาะสร้างขึ้นด้วยเครื่องกำเนิด lrand48 ตัวเดียวกัน แม้แต่ละเอาต์พุตจะเก็บบิตไว้น้อยกว่าก็ตาม การสร้างสถานะภายในของเครื่องกำเนิดแบบสอดคล้องเชิงเส้นที่ถูกตัดทอนกลับคืนเป็นโจทย์แลตทิซพื้นฐานที่มีอยู่ในตำรา ซึ่ง Claude แก้ด้วยวิธีลดฐาน Lenstra–Lenstra–Lovász (LLL) โดยใช้ตัวแก้โจทย์กับหน้าต่างที่เป็นไปได้ทุกตำแหน่ง ค่าเริ่มต้นของเส้นโค้งเฉพาะจำนวนเฉพาะทั้งห้าค่าของ NIST และอีกห้าค่าจากมาตรฐาน ANSI X9.62 ล้วนตรงกับรูปแบบเดียวกัน คือ lrand48() >> 23 และสถานะ 48 บิตที่กู้คืนได้แต่ละค่าทำให้สร้างบิตทั้ง 160 บิตของค่าเริ่มต้นนั้นขึ้นมาใหม่ได้

บทความยังนำเสนอเหตุผลภายในที่ Claude บันทึกไว้จากช่วงการทำงาน ซึ่งแสดงให้เห็นว่าโมเดลตรวจสอบว่าตนอาจกำลังทำงานอยู่ในสภาพแวดล้อมทดสอบจำลองหรือไม่ ก่อนสรุปว่า “ฝั่งฉันตรวจสอบด้วยการคำนวณโดยตรงแล้ว: ได้ข้อมูลตรงกัน 160 บิตจากค่าเริ่มต้น 32 บิตบวกดัชนีขนาดเล็ก ไม่มีทางเป็นเรื่องบังเอิญ (10 × 160 บิต) นี่เป็นของจริง”

การประทับเวลาและจุดฐาน

เนื่องจากเครื่องกำเนิดทำงานย้อนกลับได้ง่ายพอ ๆ กับเดินหน้า Claude จึงไล่สถานะของค่าเริ่มต้นแต่ละค่าถอยหลังจนถึงสถานะเริ่มต้นของ srand48 ซึ่งสังเกตได้จาก 16 บิตล่างที่มีค่าเท่ากับ 0x330E รูปแบบนี้เกิดขึ้นทุก ๆ 65,536 ขั้น สำหรับค่าเริ่มต้นของเส้นโค้งเฉพาะจำนวนเฉพาะทั้งสิบค่า จุดเริ่มต้นเหล่านี้เป็นการประทับเวลา Unix ที่อยู่ระหว่างเดือนพฤษภาคม 1997 ถึงเดือนเมษายน 1998 ส่วนจุดเริ่มต้นของเส้นโค้งทวิภาคทั้งสี่ค่ากลับระบุเป็นเดือนกุมภาพันธ์ 1984 เมื่อนำการประทับเวลาเหล่านั้นมาคูณสอง จะได้วันที่ 17 เมษายน 1998 ซึ่งช้ากว่าการทำงานกับ P-224 อยู่สองสัปดาห์ ทำให้ทีมเสนอว่าโปรแกรมอาจหารเวลาจากนาฬิกาลงครึ่งหนึ่ง

Claude ยังระบุได้ว่าจุดฐานของเส้นโค้งบางเส้นมาจากไหน เส้นโค้งแต่ละเส้นกำหนดจุดฐาน G ซึ่งเป็นจุดคงที่ที่กุญแจสาธารณะ ECDSA ทุกดอกเป็นผลคูณของจุดนี้ และ seed ที่กู้คืนมาได้ไม่ได้เป็นตัวกำหนดจุดดังกล่าว สำหรับเส้นโค้ง 6 เส้นที่สร้างขึ้นในเดือนพฤษภาคม 1997 ได้แก่ P-192 และเส้นโค้งตัวอย่างของ ANSI X9.62 คือ prime192v2, prime192v3 และ prime239v1 ถึง v3 พบว่าจุดฐานได้มาจากตัวสร้างเลขสุ่มใน FreeLIP ซึ่งเป็นแพ็กเกจคำนวณเลขจำนวนเต็มขนาดใหญ่ของ Arjen Lenstra และโค้ดดังกล่าวยังรวมอยู่ใน NTL library รุ่นแรก ๆ ของ Victor Shoup ด้วย ตามวิธีนี้ ตัวสร้างจะเริ่มทำงานโดยใช้จำนวนเต็มขนาดเล็กเป็น seed ทิ้งผลลัพธ์ 7 ค่า จากนั้นสุ่มพิกัด x ที่เป็นไปได้จากผลลัพธ์ 26 บิตซึ่งนำไปหารเอาเศษด้วย p แล้วสุ่มซ้ำจนกว่า x จะอยู่บนเส้นโค้ง seed ของตัวสร้างที่ Claude ระบุได้คือ 20000 สำหรับ P-192; 20420, 20507 และ 20509 สำหรับ prime239v1 ถึง v3; และ 20512 กับ 20517 สำหรับ prime192v2 และ v3 Anthropic ระบุว่า เท่าที่ทราบ ยังไม่มีใครอธิบายที่มาของจุดฐาน NIST มาก่อน และจุดฐานของ P-224, P-256, P-384 และ P-521 ก็ไม่ได้มาจากวิธีนี้

การประเมินความปลอดภัยและคำถามที่ยังไม่มีคำตอบ

Anthropic ระบุว่า ผลการค้นพบนี้ไม่ได้หมายถึงการเจาะระบบเข้ารหัส การโจมตีรูปแบบใหม่ หรือจุดอ่อนใด ๆ ในเส้นโค้ง ECDSA ทีมงานกล่าวว่า seed เหล่านี้สร้างขึ้นด้วยตัวสร้างเลขสุ่มเทียมที่ใช้กันทั่วไป โดยเริ่มทำงานจากเวลาบนนาฬิกา ซึ่งเป็นวิธีที่ทุกคนสามารถทำซ้ำได้ในปัจจุบัน ในมุมมองของทีม วิธีนี้เปิดช่องให้มีการแทรกแซงน้อยลงมาก และเพิ่มความเชื่อมั่นว่าพารามิเตอร์มีความปลอดภัย บทความนำเสนอผลลัพธ์นี้ในฐานะบทสรุปและจุดสิ้นสุดของการคาดเดาที่ดำเนินมาหลายปี พร้อมบอกผู้อ่านว่าไม่จำเป็นต้องดำเนินการใด ๆ เพราะนักวิจัยส่วนใหญ่เชื่อมั่นในเส้นโค้งเหล่านี้อยู่แล้ว

ยังมีคำถามบางข้อที่ไม่มีคำตอบ seed ผู้สมัครขนาด 20 ไบต์ไม่ได้สร้างเส้นโค้งที่ใช้งานได้ทั้งหมด และทีมงานพบว่ามีการข้าม seed บางตัวที่อาจสร้างเส้นโค้งที่ใช้งานได้ P-256 ใช้ seed ที่เผยแพร่ไว้ซึ่งเป็นผู้สมัครหมายเลข 1842 แต่ผู้สมัครหมายเลข 876 จากการค้นหารอบเดียวกันก็สร้างเส้นโค้งที่มีอันดับเป็นจำนวนเฉพาะและมีขนาดเหมาะสม โดยเลือกพารามิเตอร์ด้วยวิธีเดียวกับเส้นโค้งที่เผยแพร่ไว้ การค้นหา P-224 ข้ามผู้สมัครลักษณะนี้ไป 3 ตัว ส่วนการค้นหา 2 รอบที่อยู่เบื้องหลังเส้นโค้งตัวอย่างของ ANSI X9.62 ข้ามไปอีก 7 ตัว เนื่องจากมีผู้สมัครที่ถูกข้ามไปจำนวนน้อย ทีมงานจึงกล่าวว่าไม่เห็นว่าการเลือกเส้นโค้งที่อ่อนแอจะเป็นไปได้ แม้ในทางหลักการยังพอเป็นไปได้ที่จะค้นหาโดยใช้เวลาประทับเพื่อเลือกเส้นโค้งที่มีคุณสมบัติเฉพาะ seed หนึ่งตัวยังคงกู้คืนไม่ได้เลย นั่นคือ seed ไบนารีตัวที่ห้า B-163 ซึ่งไม่ตรงกับสิ่งใดที่ Claude ทดลอง จุดฐานของ P-224, P-256, P-384 และ P-521 รวมถึงจุดฐานของเส้นโค้งไบนารี NIST ยังไม่เป็นที่ทราบ

เงินรางวัล 36,864 ดอลลาร์สำหรับการค้นหา seed จะบริจาคให้แก่ Internet Security Research Group และในบทความยังขอบคุณ Filippo Valsorda ที่จัดการเงินรางวัล พร้อมกล่าวยกย่อง Solinas หลังเสียชีวิต ผลงานนี้ระบุว่าเป็นผลงานของ John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini และ Steve Weis โค้ดสำหรับทำซ้ำผลการค้นหาที่อยู่ในหน้าเว็บเผยแพร่เป็นสาธารณสมบัติภายใต้ CC0 1.0 Universal