Anthropic, Claude’un NIST ECDSA eğrisi tohumlarının izini 1990’ların bir rastgele sayı üretecine kadar sürdüğünü söylüyor

Anthropic’in Frontier Red Team’i, 16 Ekim 2026 tarihli bir araştırma yayınında, şirket içindeki bir Claude araştırma modelinin NIST ECDSA eğrisi tohumlarının kaynağını, Unix zaman damgalarıyla tohumlanan C kütüphanesindeki lrand48 rastgele sayı üretecine kadar izlediğini bildirdi. Böylece NSA’in değerleri herhangi bir açıklama yapmadan vermesinden beri yanıtsız kalan bir kaynak sorusu yanıtlanmış oldu.

NSA’in Açıklanmayan Tohumları

ECDSA, en yaygın kullanılan eliptik eğri kriptografisi standardıdır. NIST, farklı boyut ve güvenlik düzeylerine sahip standart eliptik eğrileri listeleyen FIPS 186-2 Dijital İmza Standardı’nın bir parçası olarak ECDSA’yı 2000 yılında kabul etti. Asal ve ikili alanlar üzerindeki eğriler için belirtim, karma değeri eğrinin b katsayısını tanımlayan bir tohum parametresi yayımladı. NSA bu tohumları herhangi bir açıklama ya da gerekçe sunmadan verdi. Yazıda, nereden geldiğine ilişkin hiçbir bilgi olmadan yayımlanan bir değer örneği olarak P-256 tohumu C49D3608 86E70493 6A6678E1 139D26B7 819F7E90 yeniden paylaşılıyor.

Neal Koblitz ve Alfred Menezes, tartışmayı “A Riddle Wrapped in an Enigma” başlıklı makalelerinde özetledi. Tohumların kaynağı daha sonra amatör bir araştırmaya ve kaynağı bulana verilecek bir ödüle konu oldu. Öne çıkan açıklamaya göre, NSA’de uzun süre çalışan Jerry Solinas tohumları esprili bir parolanın karma değeri olarak üretmişti. Yazıda aktarılan 2015 tarihli bir açıklamasında Solinas şöyle anımsıyordu: “Mesaj, ‘Bob ve Jerry’ye zam yapın’ ya da ‘Bob ve Jerry hüküm sürüyor’ ya da buna benzer bir şeydi.” Kodu Bob Reiter’ın yazdığını ve o döneme ait hiçbir arşiv kaydının bulunamadığını söyledi. Solinas 2023’te öldü; diğer çalışma arkadaşları da yanıt vermeyince tohumların nasıl üretildiği sorusu açık kaldı.

Claude Tohumları Nasıl Ortaya Çıkardı?

Anthropic çalışanlarından bazıları, yazıya göre yanlış olduğu anlaşılan esprili parola ipucunun peşinden giderek tohumların kaynağını bulmaya çalışmış, ancak başarılı olamamıştı. Ekim 2026’da bir Anthropic çalışanı, şirket içindeki bir araştırma modeline söylentilerdeki ipucunu vermeden tohumların nasıl üretildiğini bulup bulamayacağını sordu. Anthropic’in bildirdiğine göre Claude, yarım saatten kısa sürede NIST’in P-192, P-224, P-256, P-384 ve P-521 tohumlarının kaynağını belirledi: bunlar, Unix zaman damgasıyla tohumlanan C kütüphanesindeki lrand48 rastgele sayı üretecinin çıktılarıydı ve işin içinde herhangi bir karma algoritması yoktu. Tohumları üreten program her yinelemede aday tohum olarak 20 bayt çekiyordu; yayımlanan P-256 tohumu, programın çalıştırılmasındaki 1842. adaydı.

İfadeye dayalı aramalar sonuç vermeyince Claude, soruna üreteç açısından yaklaştı ve 1990’ların C kütüphaneleriyle birlikte sunulan, çıktısı tanınabilecek kadar zayıf bir sözde rastgele sayı üretecinden yararlanılmış olabileceğini öne sürdü. Tarayıcısı, her yayımlanmış tohum boyunca bit bit ilerleyerek 1990’larda kullanılan bir üretecin ardışık çıktıları olabilecek bitişik parçaları, üreteç ve çıktı dilimlerinin 34 farklı birleşimi üzerinden sınadı. Tohumlar arasında bir örüntü öne çıktı: Beş adet 32 bitlik sözcük olarak yazıldığında, on tohumun dördündeki 20 sözcüğün tamamının en üst biti sıfırdı; bunun rastlantıyla gerçekleşme olasılığı 1/5810’du. Bu durum, 48 bitlik bir durumun yalnızca en üstteki 31 bitini döndüren doğrusal eşlenik bir üreteç olan lrand48’e işaret ediyordu. Claude, bu dört tohum için ilk sözcüğün gizli 17 bitinin alabileceği 2^17 değerin her birini deneyip sonraki dört sözcüğün de eşleştiğini doğrulayarak üretecin durumunu ortaya çıkardı; yöntem dört tohumun hepsinde başarılı oldu.

Asal eğri tohumları da aynı lrand48 üreteciyle üretilmişti, ancak her çıktıdan daha az sayıda bit alınmıştı. Kesilmiş bir doğrusal eşlenik üretecin iç durumunu yeniden oluşturmak, ders kitaplarında anlatılan bir kafes problemidir. Claude bu problemi Lenstra–Lenstra–Lovász (LLL) taban indirgeme yöntemiyle çözdü ve çözücüyü olası her pencereye uyguladı. NIST’in beş asal eğri tohumu ile ANSI X9.62 standardındaki beş başka tohumun tümü aynı örüntüyle eşleşti: lrand48() >> 23. Geri elde edilen 48 bitlik durumların her biri, tohumun 160 bitinin tamamını yeniden üretiyor.

Yazıda ayrıca modelin, oturum sırasında kaydedilen iç muhakemesi de aktarılıyor. Model, şu sonuca varmadan önce benzetilmiş bir test ortamında çalışıyor olma ihtimalini değerlendirmişti: “Kendi tarafımda doğrudan hesaplamayla doğrulandı: 32 bitlik bir tohum + küçük bir indeksle 160 bitlik eşleşme; tesadüfen denk gelme ihtimali yok (10 × 160 bit). Gerçek.”

Zaman Damgaları ve Taban Noktaları

Üreteç geriye doğru da ileriye doğru olduğu kadar kolay çalıştırılabildiğinden Claude, her tohumun durumunu, düşük 16 biti 0x330E olan ve her 65.536 adımda bir ortaya çıkan srand48 başlangıç durumuna ulaşana kadar geriye doğru izledi. On asal eğri tohumunun tümünde başlangıçlar, Mayıs 1997 ile Nisan 1998 arasına denk gelen Unix zaman damgalarıydı. Dört ikili eğrinin başlangıçları ise Şubat 1984’ü gösteriyordu. Bu zaman damgalarını ikiyle çarpmak, tarihleri P-224 çalıştırmasından iki hafta sonraya, 17 Nisan 1998’e taşıyordu. Bu da ekibin, programın saati yarıya indirmiş olabileceğini öne sürmesine yol açtı.

Claude, bazı eğrilerin taban noktalarının nereden geldiğini de belirledi. Her eğri, her ECDSA açık anahtarının katı olan sabit bir nokta olan G taban noktasını tanımlar; kurtarılan tohum bu noktayı belirlemez. Mayıs 1997’de oluşturulan altı eğrinin — P-192 ile ANSI X9.62 örnek eğrileri prime192v2, prime192v3 ve prime239v1’den v3’e kadar olan eğrilerin — taban noktaları, Arjen Lenstra’nın uzun tamsayı aritmetiği paketi FreeLIP’teki rastgele sayı üretecine dayanıyor; bu paketin kodu, Victor Shoup’un NTL kütüphanesinin ilk sürümlerinde de yer almıştı. Bu yöntemde üreteç küçük bir tamsayıyla başlatılıyor, yedi çıktı atılıyor, p modunda indirgenmiş 26 bitlik çıktılardan aday x koordinatları elde ediliyor ve x eğrinin üzerinde yer alana kadar bu işlem tekrarlanıyor. Claude’un belirlediği üreteç tohumları P-192 için 20000; prime239v1’den v3’e kadar olan eğriler için 20420, 20507 ve 20509; prime192v2 ve v3 içinse 20512 ve 20517. Anthropic, bildiği kadarıyla daha önce hiçbir NIST taban noktasının kaynağının açıklanmadığını ve P-224, P-256, P-384 ile P-521’in taban noktalarının bu yöntemle uyuşmadığını belirtiyor.

Güvenlik değerlendirmesi ve açık sorular

Anthropic, bulguların kriptografik bir kırılma, yeni bir saldırı ya da ECDSA eğrilerinde herhangi bir zayıflık anlamına gelmediğini belirtiyor. Ekip, tohumların saat bilgisiyle başlatılan yaygın bir sözde rastgele sayı üreteci tarafından oluşturulduğunu ve artık herkesin yeniden uygulayabileceği bu yöntemin, kendi değerlendirmelerine göre kötüye kullanım ihtimalini büyük ölçüde azalttığını ve parametrelerin güvenli olduğuna duyulan güveni artırdığını söyledi. Yazı, bu sonucu yıllardır süren spekülasyonları sona erdiren ve bir dönemi kapatan gelişme olarak sunuyor; araştırmacıların çoğu eğrilere zaten güvendiğinden okurların herhangi bir işlem yapmasına gerek olmadığını belirtiyor.

Bazı sorular hâlâ yanıtlanmış değil. Aday tohumların 20 bayt uzunluğundaki her biri geçerli bir eğri üretemiyordu ve ekip, geçerli olabilecek bazı adayların atlandığını gözlemledi. P-256 için yayımlanan tohum 1842 numaralı aday; ancak aynı çalıştırmadaki 876 numaralı aday da yayımlanan eğrininkiyle aynı yöntemle seçilmiş parametrelere sahip, doğru boyutta ve asal mertebeli bir eğri üretiyor. P-224 çalıştırmasında bu tür üç aday, ANSI X9.62 örnek eğrilerinin oluşturulmasındaki iki çalıştırmada ise yedi aday daha atlandı. Atlanan adayların sayısı az olduğundan ekip, zayıflatılmış eğrilerin seçilmiş olmasını olası görmediğini söyledi. Bununla birlikte, belirli bir özelliğe sahip eğrilerin zaman damgaları taranarak seçilmiş olması ilke olarak düşünülebilir. Tohumlardan biri kurtarılamadı: beşinci ikili tohum olan B-163, Claude’un denediği hiçbir şeyle eşleşmiyor. P-224, P-256, P-384 ve P-521’in taban noktalarının yanı sıra NIST’in ikili eğrilerinin taban noktaları da hâlâ bilinmiyor.

Tohumları bulanlara verilen 36.864 dolarlık ödül Internet Security Research Group’a bağışlanacak. Yazıda, ödülün düzenlenmesine yardımcı olduğu için Filippo Valsorda’ya teşekkür edilirken Solinas da ölümünden sonra anılıyor. Çalışma John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini ve Steve Weis’e atfediliyor. Sayfadaki yeniden üretim kodu, CC0 1.0 Universal kapsamında kamu malına adanmıştır.