Claude 解开了数十年之久的 NIST ECDSA 种子之谜：曲线常数来自 lrand48，而不是密码短语

Anthropic 表示，内部 Claude 模型将 NIST 神秘的 ECDSA 曲线种子追踪到 C 库的 lrand48 生成器（以 Unix 时间戳为种子）。

Anthropic 周五报道称，Claude 的内部研究版本在不到半小时内解决了密码学中运行时间最长的悬而未决的问题之一：NIST 标准椭圆曲线背后神秘“种子”的起源。发布在该公司研究博客上的答案并不是秘密密码的哈希值，正如几十年来的猜测所表明的那样，而是“lrand48”（C 标准库的伪随机数生成器）的输出，并带有 Unix 时间戳。

这一发现解决了自 NIST 于 2000 年将 ECDSA 作为 FIPS 186-2 数字签名标准的一部分以来一直困扰着最广泛使用的椭圆曲线加密标准 ECDSA 的问题。它成为人工智能系统为真正的研究做出贡献的不断增长的记录中的另一个数据点：为了更多地报道这一趋势和其他突发人工智能新闻，AI Buzz Wire 跟踪每一个进展。

隐藏在众目睽睽之下的谜团

ECDSA 指定了一组不同大小和安全级别的标准椭圆曲线。对于素数域和二元域上的曲线，规范包括一个“种子”参数，其哈希值用于定义曲线的系数 b。这些种子是由美国国家安全局提供的，没有任何解释或理由——这一来源差距让密码学家在二十多年来感到不安。

例如，NIST P-256 曲线列出了种子“C49D3608 86E70493 6A6678E1 139D26B7 819F7E90”，但没有有关其来源的信息。安全关键标准中无法解释的常量并不是一个小问题：密码学家多年来一直想知道这些曲线是否是故意选择的弱点，这一怀疑是由早期的 Dual_EC_DRBG 事件造成的。密码学家尼尔·科布利茨（Neal Koblitz）和阿尔弗雷德·梅内泽斯（Alfred Menezes）专门发表了一篇论文《谜语中的谜语》，探讨了种子价值的历史和担忧，后来的一项业余调查为任何能够查明其起源的人提供了悬赏。

密码短语的故事并非如此

最著名的解释来自于杰里·索利纳斯（Jerry Solinas），他是种子背后的长期国家安全局雇员。在 2015 年的回忆中，索利纳斯表示，这些种子是通过散列一个幽默的密码生成的——类似于“给鲍勃和杰瑞加薪”或“鲍勃和杰瑞规则”。他警告说，他不记得细节，鲍勃·雷特（Bob Reiter）编写了代码，并且那个时代的档案没有保存下来。索利纳斯写道：“如果它们存在，那么它们无疑就位于约柜附近的硬盘上。”

这个故事很丰富多彩，但无法证实。索利纳斯于 2023 年去世，前同事没有做出回应，导致问题悬而未决，而密码短语搜寻却空手而归。

克劳德登场

2026 年 10 月，一位好奇的 Anthropic 员工询问内部研究模型是否可以弄清楚这些种子是如何生成的，而无需将其指向密码短语线索。据 Anthropic 报道，克劳德在不到半小时内就发现了所有五个标准曲线的种子起源：P-192、P-224、P-256、P-384 和 P-521。

它们都不是任何哈希算法的输出。它们是“lrand48”的输出，“lrand48”是 20 世纪 90 年代 C 库附带的伪随机数生成器，使用 Unix 时间戳进行初始化。生成算法从 RNG 中采样字节进行一定次数的迭代，每个候选种子抽取 20 个字节；前 20 个字节是候选 1，接下来的 20 个字节是候选 2，依此类推。复制官方 P-256 种子需要 1,842 次迭代。

模型是如何实现的

早期围绕传闻中的密码进行的搜索一无所获，克劳德采取了不同的角度：它不是寻找一个短语，而是预测生成曲线的软件必须如何工作。 Anthropic 表示，该模型猜测 20 世纪 90 年代的工具会使用 C 标准库中的伪随机数生成器——生成器足够弱，当你知道要寻找什么时，它们的输出就可以被识别。该识别步骤将对未知字符串的棘手搜索转变为对时间戳和迭代计数的小参数空间的易处理搜索。

它的含义和不含义

Anthropic 明确了限制：这不是密码破解、新攻击或 ECDSA 曲线中的弱点，任何人都无法采取任何行动。该公司认为，如果说有什么不同的话，那就是这一发现增强了人们的信心，即这些曲线的选择没有后门或故意的弱点。由时钟初始化的通用、可再现的伪随机生成器生成的种子所留下的破坏空间远小于无法解释的常量。

该公司将这一结果描述为“一个有趣的结束章节和多年猜测的结束”，并指出大多数研究人员已经信任这些曲线。这种信任现在建立在比约定更好的基础上：任何人都可以从 Unix 时间戳重现种子生成，并根据已发布的常量对其进行验证。