Claude 破解 NSA 椭圆曲线种子 25 年谜题

2026年10月17日凌晨2：39（美国东部时间）

阅读时长4分钟

摘要

Anthropic的一款AI模型用了不到30分钟，就把美国国家安全局提供给NIST的椭圆曲线中五个无法解释的种子，追溯到一个普通的随机数生成器，其输入是1997年和1998年的时间戳。
这一发现使NSA隐藏后门的可能性降低，NIST曲线的用户也无需采取任何行动，不过某些元素是如何被选定的，疑问依然存在。
比特币未受影响，因为它使用的是secp256k1，这是一种更简单的曲线，几乎没有空间隐藏弱点，不过足够强大的量子计算机最终可能构成另一种独立的威胁。

Anthropic的一款AI模型破解了密码学领域持续时间最长的谜案之一：它将NSA在20世纪90年代末交给美国政府的那些数字——长期以来被怀疑隐藏着后门——追溯到了一个普通的随机数程序，其输入是1997年和1998年的时间戳。

该模型只用了大约半小时就得出了解决方案——而密码学家们为寻找答案已经追了25年。

一把设计不明的锁

互联网的很大一部分依赖椭圆曲线密码学，这一数学分支也用于保护比特币钱包。它让人能够证明自己持有一把密钥，而无需透露密钥本身的细节。

可以把这条曲线想象成一种任何人都能检查的锁具设计。每个使用它的人都有自己的密钥，但所有人都依赖这一设计难以被破解。

但究竟是谁选定了这套人人都要信任的数学？

2000年，美国国家标准与技术研究院（NIST）采用了一组由美国国家安全局提供的曲线。NSA提供了这些设计，却没有解释用于生成它们的某些数字从何而来。

在斯诺登披露将NSA与削弱密码标准的行动联系起来之后，这种保密就更难被忽视了。NIST后来将那个工具——Dual EC随机数生成器——从其建议中移除。

那些起始数字被称为种子，是公开的。但NSA从未解释它是如何选择这些种子的，这加剧了多年来的怀疑：NSA测试了许多备选方案，直到找到一条只有它自己知道如何利用其弱点的曲线。阴谋论的说法是，NSA对每一个使用该曲线的系统都留有后门。

密码学家Neal Koblitz和Alfred Menezes在2015年的论文《谜中之谜》中审视了这场争议。Menezes曾参与撰写最初的标准，并回忆说他在1997年从NSA数学家Jerry Solinas那里收到了这些种子。

安全研究员Steve Weis花了数年时间寻找解释，包括在2018年提交公共记录申请。NIST表示没有相关文档，而NSA则不再回应。一条有希望的线索表明，这些数字来自Solinas已经忘记的一句幽默短语，这让调查人员开始搜索各种可能的单词组合。

2023年，密码学工程师Filippo Valsorda和其他贡献者悬赏12,288美元寻求答案，如果获奖者将奖金捐给慈善机构，赏金可升至超过36,000美元。Solinas在那年早些时候去世，研究人员只能依靠旧时的回忆和这些数字本身继续研究，却毫无结果。

直到 Claude 出现。本月，Anthropic 的一名员工让一个内部研究模型展开调查，且没有向它透露那个旧理论——即这些种子来自一个被遗忘的短语。

模型用了不到半小时，就把五个 NIST 曲线种子追溯到了 lrand48，这是一种存在于较老 C 软件库中的随机数生成器。

Claude 复现了广泛使用的曲线 P-256 背后的序列，并在第 1,842 个候选中找到了与其已公布种子的完全匹配。

“这太惊人了：它解开了这个 25 年的谜团，”该模型在其记录的推理中写道，此前它曾短暂怀疑自己是否在模拟测试中运行。“嗯，这在现实中可能吗？据我所知……这个悬赏一直未解。……所有高位都清零——20 位，概率 1e-6。所以确实是现实世界。”

“哇，这是一项真正的发现。”

现在任何人都可以重新运行该程序，得到 NSA 提供的那些数字。Anthropic 表示，这使得隐藏弱点的可能性大大降低，不过团队仍无法解释该程序为何跳过了一些可用候选，也无法解释曲线的其他部分是如何选定的。

这种可预测性正是 Claude 能够重建这些数字的原因，而如果发生在钱包里，那将是一场灾难。用 lrand48 生成的密钥，任何能大致推算出其生成时间的人都可以重新创建，从而获得盗走资金所需的一切。

NSA 的种子从第一天起就是公开的，所以从来没有什么秘密可窃取。

比特币从未参与这场猜谜游戏。它的钱包运行在 secp256k1 上，这是一条由更简单方程构建的曲线。

比特币的版本由两个小的固定数字定义，几乎没有可调整的空间；而 P-256 的版本则带有一个 77 位的数字，它来自 NSA 那个无法解释的种子。

可调的参数如此之少，几乎没给任何人留下在比特币曲线中悄悄植入弱点的空间，密码学家长期以来一直将此视为它的一个优势。

创造者中本聪从未公开解释他为何选择它，而在比特币让它出名之前，这条曲线很少被使用。以太坊后来也采用了它，比特币在 2021 年 Taproot 升级引入更新式签名时也保留了它。

强大的量子计算机将带来另一种危险，正如 CoinDesk 今年早些时候探讨过的。无论曲线是如何选定的，它都可能从比特币区块链上可见的公钥反推出其背后的私钥。

硬件进步不断缩小理论与实际攻击之间的差距。谷歌本周表示，其 Willow 芯片在此类机器所需的最昂贵步骤之一中，将错误减少了约 40 倍。

不过，目前还没有人建造出规模或可靠性接近足以破解比特币密钥的量子计算机，也没有明确的时间表说明何时可能出现。

与此同时，Anthropic 在其博客中表示，使用 NIST 曲线的人无需做任何改变。在数十年来关于种子来源的疑问之后，现在任何人都可以运行该程序，并重新追溯其通往已公布数字的路径。

这次搜索还设有奖金。其 36,864 美元的悬赏将捐给互联网安全研究组（Internet Security Research Group），即 Let's Encrypt 背后的非营利组织，该组织为网站提供免费的安全证书。