Claude半小时破解26年密码学悬案，NIST椭圆曲线种子源自lrand48生成器

2026年10月16日，Anthropic发布一项技术突破：其内部研究用Claude模型仅用不到30分钟，就解开了困扰密码学界长达26年的谜题——美国国家标准与技术研究院（NIST）标准椭圆曲线种子的真实来源。

这一问题始于2000年FIPS 186-2标准的颁布。当时NIST正式采纳了五条素数域椭圆曲线：P-192、P-224、P-256、P-384与P-521，用于支撑广泛部署的椭圆曲线数字签名算法（ECDSA）。这些曲线的生成依赖一组被称为“种子”（seed）的初始参数，其哈希值参与确定最终曲线系数。按标准流程，公开种子后，任何人都应能复现曲线生成过程以验证其真实性。

然而，问题在于：这些种子由美国国家安全局（NSA）提供，官方文档从未说明其生成逻辑或选择依据。外界长期质疑，是否存在“筛选后门”——即设计者通过大量生成候选曲线，从中挑出具备隐蔽弱点的参数组合。2015年，曾参与该项目的NSA密码学家Jerry Solinas曾回忆称，种子可能源于一句玩笑口令，例如“给Bob和Jerry加薪”，但因原始存档遗失且Solinas已于2023年去世，该线索始终无法验证。

Anthropic团队此前也曾尝试沿“幽默口令”路径搜索，均无果。10月，一名员工转向新策略：不提供任何先验线索，仅向Claude提问：“这些种子是如何产生的？”

Claude没有重复人类已走过的弯路，而是换了一个根本性视角：它推测当年生成曲线的软件很可能使用了20世纪90年代常见的C语言工具链，并重点聚焦于当时广泛使用的伪随机数生成器（PRNG）。这类早期PRNG虽不适用于密码学场景，但输出具有可识别的统计特征——一旦识别出模式，就有可能反推其内部状态与初始化参数。

模型首先编写扫描程序，对全部10个公开种子（5条NIST素数曲线+5条ANSI X9.62二元曲线）进行位级分析，覆盖34种常见PRNG及其不同截取方式的组合。关键突破出现在高位比特规律上：当将每个160比特种子拆分为5个32位字时，10个种子中有4个的全部20个32位字最高位均为0。这种现象随机发生的概率约为1/5800，高度指向线性同余生成器lrand48——该函数仅返回48位内部状态的高31位，因此天然缺失最高位。

确认生成器类型后，Claude进一步穷举恢复初始状态：对第一个32位字，枚举其隐藏的17位低位（2¹⁷种可能），再验证后续4个字是否能连续匹配。该方法对上述4个种子全部成立。对于其余种子，因保留比特更少（如仅取lrand48() >> 23），恢复过程转化为典型的格问题，Claude调用LLL（Lenstra–Lenstra–Lovász）格基约简算法求解，并对所有可能的比特窗口并行运行求解器。

最终结果明确：全部10个种子均符合同一模式——由lrand48()生成，且输出经右移23位截断。每个恢复出的48位内部状态均可精确再生对应种子的全部160比特，匹配度为100%，排除了偶然性。

更进一步，团队通过反向推算，将生成时间锚定在1997年至1998年间。以最广为人知的P-256为例，其标准种子对应1997年8月16日1:52:34 UTC启动的lrand48实例，在第1,842次迭代时输出；P-192则对应1997年5月18日14:45:34 UTC的第139次输出。完整复现代码已开源。

值得注意的是，该发现并未削弱ECDSA的安全性。lrand48本身并非密码学安全的PRNG，但NIST标准中明确要求：种子仅用于生成曲线参数，实际签名过程依赖的是经过哈希处理后的确定性派生值，且曲线本身仍满足数学上的强随机性要求。Anthropic强调，此结果反而增强了透明度——既然种子可由公开、可复现的简单过程生成，人为植入后门的可能性大幅降低。

不过，研究尚未覆盖全部细节。例如，二元曲线B-163的种子仍未完全解释；部分曲线基点（base point）的生成逻辑仍属黑箱；以及为何在成千上万候选值中跳过某些看似合格的曲线，尚无明确答案。这些遗留问题仍需进一步探索。

此次突破凸显了AI在“数字考古”中的独特价值：面对缺乏文档、人员离世、线索中断的历史技术谜题，传统人工推理易陷入路径依赖，而大模型可通过跨模态模式识别、系统性假设检验与自动化验证，快速遍历被忽视的技术可能性。Claude并未“发明”新密码学，而是以工程化方式还原了已被遗忘的实现细节——这恰是密码学可信性的基石：可验证、可追溯、可复现。

与近期其他AI破译案例（如数小时解密1809年拿破仑密函）不同，本次工作不涉及语言建模或历史语料训练，而是纯粹基于位模式分析、算法逆向与数学求解的“计算考古”。它提醒行业：在安全关键系统中，生成过程的透明性与可审计性，往往比最终参数本身更重要。

目前，NIST尚未就此发表官方回应，但密码学社区普遍认为，该结果为长期争议画上阶段性句点。用户无需采取任何措施，现有基于P-256等曲线的系统仍可安全使用。未来标准制定中，此类“过程可证”原则或将被更严格纳入规范。