Исследовательская версия Claude от Anthropic менее чем за 30 минут установила происхождение пяти seed-значений стандартизированных эллиптических кривых NIST, которые более 25 лет вызывали подозрения у криптографов. Речь идёт о кривых P-192, P-224, P-256, P-384 и P-521, лежащих в основе ECDSA — схемы цифровой подписи, широко применяемой в интернете и криптовалютных сетях.
Параметры были опубликованы NIST в 2000 году, но АНБ не объяснило их выбор. Долгое время существовала версия, приписываемая математику АНБ Джерри Солинасу, будто seed получены хешированием шуточной фразы вроде «Give Bob and Jerry a raise». Сам Солинас не помнил точную формулировку, а коллега, писавший код, также не сохранил воспоминаний. После смерти Солинаса в 2023 году вопрос оставался открытым, а криптограф Филиппо Вальсорда объявил публичную награду за восстановление исходных данных.
Claude опроверг «хеш-теорию». Выяснилось, что seed пяти основных простых полей представляют собой последовательные блоки байтов обычного линейного конгруэнтного генератора lrand48 из стандартных библиотек C 1990-х годов, инициализированного Unix-меткой времени. Модель обнаружила характерный статистический признак — обнулённые старшие биты, типичные для 31-битного вывода lrand48. Для восстановления скрытого состояния генератора применялась решёточная редукция Ленстры — Ленстры — Ловаса.
Восстановленные стартовые значения оказались Unix-метками между маем 1997 года и апрелем 1998 года. Для наиболее распространённой кривой P-256 seed соответствовал 1842-му кандидату, полученному после запуска генератора 16 августа 1997 года в 01:52:34 UTC. Параллельно были восстановлены seed дополнительных примерных кривых ANSI X9.62. Базовые точки P-192 и пяти связанных кривых ANSI совпали с процедурой discard-and-sample на генераторе FreeLIP Арджена Ленстры с начальными значениями вроде 20 000. Anthropic опубликовала короткий воспроизводимый код, позволяющий точно регенерировать все найденные seed.
Открытие не означает взлома ECDSA и не выявило новых атак. Напротив, приземлённый способ генерации снижает вероятность того, что параметры были намеренно ослаблены: пропущено слишком мало кандидатов. Остаются нерешёнными вопрос о seed двоичного поля B-163 и точный метод выбора нескольких более поздних базовых точек. Награда в размере 36 864 долларов будет передана некоммерческой организации Internet Security Research Group, оператору Let’s Encrypt.
Руководитель инженерного направления Ripple Дж. Айо Акиньеле назвал результат примечательным и подчеркнул, что исследователи более двух десятилетий не могли объяснить происхождение параметров. По его оценке, AI помог снять давние сомнения относительно возможных скрытых уязвимостей, а аналогичные методы могут быть полезны для проверки других нерешённых криптографических вопросов.
