Claude 半小时破解 NIST 曲线谜题，NSA 后门疑虑消散

据 Woofun AI 消息， 于 10 月 16 日发布重磅研究，旗下 AI 模型 在不到半小时内成功追溯 NIST 标准椭圆曲线"种子"的生成逻辑，这一突破直接回应了长期以来针对美国国家安全局（NSA）植入后门的猜疑，为全球密码学基础设施的信任重建提供了关键技术支撑。

这场持续二十余年的密码学悬念，根源于 NIST 在 2000 年发布的 FIPS 186-2 数位签章标准。该标准确立了一组广泛使用的椭圆曲线，其核心系数由一个"种子"经杂凑运算推导而来，但种子的具体来源始终由 NSA 提供且未加说明，这种不透明性引发了业界对潜在后门的长期担忧。以应用最广的 P-256 曲线为例，其公开的种子是一串 40 位十六进位数字，表面看来毫无规律。密码学家 在 2023 年为此发起悬赏，初始奖金设为 12,288 美元，若得主将奖金捐赠给慈善机构，则总额加码至 36,864 美元。

他强调，P-256 与 P-384 曲线不仅是理论标准，更是保护大部分网站连线的 ECDSA X.509 凭证的核心基础，其安全性不容忽视。过去业界流传一种说法，称 NSA 员工 曾使用一句玩笑话（如"给 Bob 和 Jerry 加薪"）的杂凑值作为种子，但 Solinas 本人也无法回忆起原句，且他已在 2023 年过世，导致这条线索最终断裂，Anthropic 员工沿此路径搜寻亦无果。

技术突破发生在 2026 年 10 月，一名 Anthropic 员工请内部研究模型在不提供任何线索的情况下，独立推敲种子来源。Claude 并未沿用传统的暴力破解或杂凑反推思路，而是从当年产生曲线的软体环境可能如何运作入手进行逆向工程。令人惊讶的是，Claude 仅用半小时就找出了 P-192、P-224、P-256、P-384 与 P-521 这五条核心曲线的种子来源。研究揭示，这些种子并非杂凑值，而是源自 C 语言函式库内建的随机数产生器 lrand48 的输出结果，且该产生器是以 Unix 时间戳作为初始值进行初始化的。以 P-256 为例，产生器在初始化后运行了 1,842 轮才输出最终被采用的种子数值。

Woofun AI 整理数据显示，这一发现彻底颠覆了此前关于种子具有特殊加密意义的假设，证明其生成过程极其常规且可重现。

进一步的数据验证扩大了这一发现的覆盖范围。研究指出，NIST 的五条质数曲线加上 ANSI X9.62 标准中的五条范例曲线，共计 10 个种子均符合同一生成模式，其对应的 Unix 时间戳全部落在 1997 年 5 月到 1998 年 4 月之间。Claude 不仅解开了种子来源，还成功复现了 P-192 与五条 ANSI 范例曲线基点的产生方式。

然而，研究也坦诚存在未解之谜：P-224、P-256、P-384、P-521 的基点生成逻辑，以及二元曲线 B-163 的种子来源，目前仍无法完全解释。此外，筛选过程中的细节也引发好奇，例如 P-256 公布的是第 1,842 个候选，但在同一轮生成中，第 876 个候选也能产生条件相同的曲线，Anthropic 表示不清楚当时的筛选标准为何跳过了前者而选择了后者，尽管跳过的候选数量极少，刻意挑选弱曲线的可能性被认为不高。