Claude 半小时复原 NSA 种子：后门嫌疑骤降

据 Woofun AI 消息， 旗下 模型在不到半小时内成功复原了 NSA 提供的 椭圆曲线种子来源，证实这些参数并非随机生成或隐藏后门，而是源于 1997 年的 Unix 系统时钟。

这一发现并未动摇椭圆曲线密码学的数学根基，也未导致任何私钥泄露，但它彻底澄清了困扰密码学界多年的历史悬案，将原本基于猜疑的信任链条转化为可复现的技术事实。这标志着 AI 在复杂协议审计与历史代码考古领域具备了前所未有的自主研究能力，其影响远超单纯的密码学范畴。长期以来，关于 NIST 标准中是否嵌入后门的争论始终缺乏确凿证据，而此次事件通过技术手段填补了这一信任空白，为理解 AI 在科研闭环中的作用提供了全新视角。

这一谜题的根源在于 标准发布时留下的历史阴影。2000 年，该标准正式收录了 P-192、P-224、P-256、P-384 和 P-521 等核心椭圆曲线，NSA 同时提供了用于生成曲线系数的 160 位种子，并规定通过 SHA-1 等哈希算法从种子导出最终参数。虽然任何人拿到种子都能验证其导出的系数是否正确，但种子本身的来源却从未公开说明。

这种'可验证随机'但'来源不可审计'的状态，引发了持续的安全担忧。2013 年，NSA 推动的 随机数生成器被曝存在后门风险，进一步加剧了公众对 NIST 参数的不信任。密码学家 与 在 2015 年发表论文《A Riddle Wrapped in an Enigma》，系统梳理了这些争议。2023 年，密码学工程师 设立悬赏，试图寻找种子来源。此前流传最广的线索来自已故 NSA 数学家 ，他暗示种子可能源自'给 Bob 和 Jerry 加薪'等玩笑短语的哈希，但这一假设最终被证明是错误的。由于原始档案缺失，该谜题似乎注定只能停留在口述史层面。

然而，Anthropic 在 2026 年 10 月 16 日发布的研究说明揭示了一个截然不同的结局。一名 Anthropic 员工将这一问题提交给一个未公开具体版本的内部研究模型，且未提供'玩笑短语'等任何提示线索。令人震惊的是，该模型在不到半小时内便找到了种子的生成方法。

这一过程并非依靠暴力枚举所有可能的英文句子，而是通过逆向工程思维，重新定义了问题核心：1997 年的工程师最可能使用何种软件工具来产生这些看似随机的字节？Claude 首先检查了 34 种老式伪随机数生成器（PRNG）及其输出切片组合，沿着种子逐位滑动，寻找连续输出的统计痕迹。它敏锐地发现，部分种子的若干 32 位字的最高位总是 0。

这一异常模式并非偶然，而是 /C 库中 `lrand48()` 函数的典型特征。该函数每次仅输出其 48 位内部状态的高 31 位，恰好会在高位留下这种零模式，如同机器留下的独特齿痕。

在识别出 `lrand48()` 后，技术路径进入更深层的状态恢复阶段。对于保留了较多输出位的种子，通过穷举 17 个被隐藏的低位即可恢复内部状态。但对于五条核心的 NIST 素数曲线以及五条 曲线，生成程序仅保留了 `lrand48() >> 23` 的片段，这使得直接恢复变得极其困难。Claude 将这一难题转化为'截断线性同余生成器的状态恢复'问题，并调用 格基约减算法来寻找满足多组近似线性关系的短向量。