Claude耗时30分钟解开NSA 25年密码学谜题，未破解现有加密体系

FreeBuf

2026年10月19日 18:30
上海

去阅读

Anthropic表示，其内部的Claude研究模型耗时不到30分钟，就追溯出NSA提供的5个椭圆曲线种子的来源，解开了困扰密码学界约25年的问题。这项发现厘清了重要公共安全参数的选取逻辑，并未泄露密钥，也没有破解加密算法。

2026年10月16日发布的报告显示，NIST曲线P-192、P-224、P-256、P-384、P-521的种子均来自lrand48。这是C语言函数库中一款老旧的随机数生成器，采用Unix时间戳完成初始化。这一结果推翻了学界长期以来的猜想：此前研究者普遍认为这些数值是趣味短语的哈希值。

Part01

NSA曲线种子来源成疑

2000年，NIST在FIPS 186-2标准中正式采用ECDSA。数字签名可验证数据签署方身份，同时确认数据在传输过程中未被篡改。该标准公布了基于SHA-1流程推导曲线参数所用的种子，但始终未说明这些种子的来源。

信息缺失给外界猜测留下了空间，有声音认为NSA可能选取了存在隐藏弱点的曲线。研究人员从未找到针对这些曲线的可行攻击路径，但也无法明确解释曲线的选取逻辑。前NSA数学家Jerry Solinas曾提到\"给Bob和Jerry涨工资\"这类短语，导致此前的搜索方向一直偏向寻找可能的哈希输入短语。

这一问题的影响远不止学术讨论范畴。Cybersecurity News此前曾报道苹果的PQ3 iMessage协议，该协议使用搭配P-256曲线的ECDSA实现消息认证。理清这些通用参数的选取历史，有助于理解为什么各类广泛使用的服务，都需要重视曲线选取的可信度。

Part02

Claude复现生成流程

Claude没有沿用以短语为哈希输入的假设，转而排查上世纪90年代软件中常用的随机数生成器。它搭建了覆盖34种生成器与输出切片组合的扫描器，在已公布的种子中寻找匹配模式。

部分二进制曲线的种子提供了明确线索。这些种子的32位字最高位始终为0，这一特征与lrand48的输出完全匹配——该生成器基于48位内部状态返回31位结果。Claude通过测试17个隐藏位、校验后续输出，还原出了候选内部状态。

素数曲线种子的还原需要额外步骤，因为这类种子仅保留了每次生成器输出的8个比特。Claude使用Lenstra–Lenstra–Lovász格基归约算法（LLL），从这些部分数值中还原出内部状态。验证结果显示，5个NIST种子、5个ANSI X9.62示例种子的构造方式完全一致。

逆向运行生成器后，团队发现对应的初始化值时间集中在1997年5月到1998年4月之间。以P-256为例，公布的种子是1997年8月16日UTC时间01:52:34初始化运行后，生成的第1842个候选值，每个候选值长度为20字节。4个二进制曲线种子也匹配该生成器的输出特征，这些种子的数值对应时钟值除以2的结果，不过研究团队表示这只是一种可能性，尚未得到完全确认。

Part03

研究仍存部分待解疑点

Anthropic强调，这项发现不代表密码学被破解，既不是新的攻击手段，也不是新发现的ECDSA弱点。本次研究涉及的是公开的曲线生成种子，而非签名私钥。还原种子生成过程，并不能让攻击者伪造签名。这种简单、可复现的生成流程，反而说明NSA刻意操纵参数的可能性很低。这是AI辅助密码学研究的又一案例，此前Cybersecurity News也曾报道过Claude分析密码学弱点的相关工作，不过本次研究的成果是厘清了历史疑点，而非提出新的攻击方法。

Claude还追溯发现，P-192和5个ANSI示例曲线的基点生成过程用到了长整数算术包FreeLIP。基点是计算公钥所用的固定起始点，其来源与曲线种子相互独立。

目前相关溯源工作尚未全部完成。B-163的种子来源仍未得到解释，多个基点的来源也尚不明确。团队还发现了一些看起来符合要求但被跳过的候选值，比如P-256的第876号候选值，目前还不清楚这些值被弃用的原因。本次发现虽然提升了业界对这些曲线的信任度，但并不能证明每一次参数选取决策都不存在风险。

Anthropic已公布复现代码，供其他研究者校验匹配结果。互联网安全研究组（Internet Security Research Group）将获得36864美元的赏金。报告指出，仅基于本次发现，不需要对已部署的系统做任何调整。

参考来源：

Claude AI Solves 25-Year NSA Cryptography Mystery in Just 30 Minutes

https://cybersecuritynews.com/claude-ai-cryptography-mystery/

推荐阅读

电报讨论