Claude wyjaśnił zagadkę ziaren krzywych NIST sprzed 29 lat

Skąd wzięła się zagadka krzywych NIST

ECDSA to najpowszechniejszy standard podpisu cyfrowego opartego na krzywych eliptycznych. NIST przyjął go w 2000 roku w normie FIPS 186-2 razem z listą gotowych krzywych o różnych poziomach bezpieczeństwa. Najczęściej używane są P-256 i P-384, na których opiera się m.in. wiele certyfikatów zabezpieczających strony internetowe.

Każda krzywa ma opublikowane ziarno (seed), czyli 160-bitową liczbę. Jej skrót SHA-1 wyznacza jeden ze współczynników krzywej. Taka procedura miała dowodzić, że parametry wybrano losowo, a nie celowo. Ziarna dostarczyła jednak NSA bez żadnego wyjaśnienia, skąd się wzięły. Dla P-256 jest to ciąg C49D3608 86E70493 6A6678E1 139D26B7 819F7E90.

Brak wyjaśnienia przez lata podsycał podejrzenia o furtkę. Kryptografowie Neal Koblitz i Alfred Menezes opisali spór w pracy „A Riddle Wrapped in an Enigma” z 2015 roku. Najpopularniejsza wersja zakładała, że Jerry Solinas z NSA wygenerował ziarna jako skróty żartobliwych zdań, których potem nie pamiętał. Solinas zmarł w 2023 roku. Tego samego roku Filippo Valsorda ogłosił nagrodę 12 288 USD za odnalezienie ziaren, potrojoną do 36 864 USD, jeśli zwycięzca przekaże ją na cele charytatywne.

Jak Claude odnalazł ziarna

Pracownicy Anthropic bezskutecznie szukali zdań, z których miały pochodzić skróty. W październiku 2026 roku jeden z nich zapytał wewnętrzny model badawczy, czy potrafi ustalić pochodzenie ziaren, nie podsuwając mu tej wskazówki. Model przyjął inne założenie. Uznał, że oprogramowanie z lat 90. korzystało ze słabego generatora liczb pseudolosowych dołączanego do bibliotek języka C, którego wynik da się rozpoznać.

Kolejne kroki według opisu Anthropic wyglądały tak.

1. Claude napisał skaner, który przesuwał się po każdym ziarnie bit po bicie i sprawdzał 34 kombinacje generatorów i fragmentów wyjścia.
2. Zauważył, że w czterech z dziesięciu ziaren najwyższy bit każdego z pięciu 32-bitowych słów wynosi zero. Przypadkiem zdarza się to z prawdopodobieństwem 1 do 5810. To ślad generatora lrand48, który zwraca 31 górnych bitów 48-bitowego stanu.
3. Dla ziaren krzywych nad ciałami prostymi, z których zachowano mniej bitów, odtworzył stan generatora jako zadanie kratowe rozwiązywane algorytmem LLL (Lenstra-Lenstra-Lovász).
4. Cofnął generator do stanu startowego. Dla dziesięciu ziaren wartości startowe okazały się znacznikami czasu Unix z okresu od maja 1997 do kwietnia 1998 roku.
5. Każdy odtworzony 48-bitowy stan generuje wszystkie 160 bitów ziarna, czego nie da się uzyskać przypadkiem.

Co dokładnie ustalono

Program generujący krzywe pobierał z generatora po 20 bajtów na kandydata i sprawdzał kolejne ziarna, aż trafił na odpowiednią krzywą. Dla P-256 opublikowane ziarno to kandydat numer 1842 z przebiegu uruchomionego 16 sierpnia 1997 roku. Ziarno P-384 pochodzi z przebiegu z 30 sierpnia 1997 roku, a P-224 z 3 kwietnia 1998 roku. Ziarna czterech krzywych binarnych pasują do znaczników czasu z 17 kwietnia 1998 roku, jeśli przyjąć, że program dzielił wartość zegara przez dwa.

Claude wyjaśnił też pochodzenie punktów bazowych sześciu krzywych z maja 1997 roku, w tym P-192. Pochodzą one z generatora w bibliotece FreeLIP Arjena Lenstry. Według Anthropic żaden punkt bazowy krzywych NIST nie był wcześniej wyjaśniony.

Sprawdziliśmy kod w Pythonie opublikowany przez Anthropic na licencji CC0. Po uruchomieniu odtwarza ziarna P-256 i P-384 zgodne z wartościami z normy NIST i z listy nagrody Valsordy. Nie wymaga to dostępu do modelu ani specjalnego sprzętu.

Czy to osłabia ECDSA i certyfikaty HTTPS

Nie. Anthropic pisze wprost, że to nie jest złamanie kryptograficzne, nowy atak ani słabość krzywych, a administratorzy nie muszą nic zmieniać. Bezpieczeństwo ECDSA nie zależy od tego, czy ziarno jest tajne. Zależy od trudności problemu logarytmu dyskretnego na krzywej, a tego wynik nie dotyczy.

W ocenie autorów odkrycie wzmacnia zaufanie do krzywych. Ziarna powstały w prosty i powtarzalny sposób, który dziś każdy może sprawdzić. Zostaje więc mniej miejsca na hipotezę, że NSA dobrała parametry tak, by ukryć w nich słabość.

Kilka pytań pozostaje otwartych. Program pominął niektórych kandydatów, którzy również dawali poprawne krzywe. Przy P-256 był to kandydat 876, a przy P-224 trzy krzywe. Nie wiadomo, jakim kryterium się kierowano. Anthropic uważa, że przy tak małej liczbie pominięć celowy wybór osłabionej krzywej jest mało prawdopodobny. Nie udało się też wyjaśnić ziarna krzywej B-163 ani punktów bazowych P-224, P-256, P-384 i P-521.

Co wynik mówi o AI w kryptografii

To kolejny wynik zespołu Frontier Red Team, który bada zdolności modeli w obszarze bezpieczeństwa. W lipcu 2026 roku Anthropic opisał słabości matematyczne znalezione przez Claude w schemacie podpisu HAWK i w okrojonej wersji AES. Żaden z tych wyników nie dotyczył systemów używanych produkcyjnie.

Przypadek krzywych NIST pokazuje inny rodzaj pracy. Model nie szukał luki, tylko połączył wiedzę o starych bibliotekach C, statystykę i znane metody kryptoanalizy w hipotezę, którą dało się szybko sprawdzić. Ludzie przez lata szli tropem plotki o zdaniach. Trzeba jednak pamiętać, że opis pochodzi od Anthropic, a wynik nie przeszedł jeszcze niezależnej recenzji. Opublikowany kod pozwala go jednak każdemu powtórzyć.

Dla polskich firm i administracji praktyczny wniosek jest prosty. Certyfikaty, podpisy i systemy oparte na P-256 lub P-384 nie wymagają zmian z powodu tego odkrycia. Plany przejścia na kryptografię postkwantową pozostają aktualne z zupełnie innych powodów niż pochodzenie ziaren.