Claude 半小時解開 NIST 加密曲線之謎，NSA 後門疑慮降低
Anthropic 10 月 16 日發表研究文章，宣布旗下 AI 模型 Claude 不到半小時就找出 NIST 標準橢圓曲線「種子」的產生方式。這些種子由美國國家安全局（NSA）提供，來源從未說明，多年來被懷疑可能藏有後門；Anthropic 表示，這項發現不是破解，反而讓人更有信心這些曲線沒有被刻意削弱。
NSA 提供的曲線種子，二十多年來沒人說得出來源
美國國家標準暨技術研究院（NIST）2000 年在 FIPS 186-2 數位簽章標準中公布一組標準橢圓曲線，曲線係數由一個「種子」經雜湊運算推導而來，但種子本身由 NSA 提供，沒有任何說明。以 P-256 曲線為例，公布的種子是一串 40 位的十六進位數字，看不出從何而來。
密碼學家 Filippo Valsorda 2023 年為此發起懸賞，獎金 12,288 美元，若得主捐給慈善機構則加碼三倍至 36,864 美元。他指出，P-256 與 P-384 被大量使用，包括保護大部分網站連線的 ECDSA X.509 憑證。
廣告 - 內文未完請往下捲動
過去流傳的說法是，NSA 員工 Jerry Solinas 用一句玩笑話的雜湊值當種子，例如「給 Bob 和 Jerry 加薪」，但他本人也記不得原句。Solinas 已在 2023 年過世，Anthropic 員工照這條線索搜尋也沒有結果。
種子來自 1990 年代 C 語言隨機數產生器，以 Unix 時間戳初始化
Anthropic 表示，2026 年 10 月一名員工請內部研究模型在不給線索的情況下推敲種子來源。Claude 改從當年產生曲線的軟體可能怎麼運作下手，不到半小時就找出 P-192、P-224、P-256、P-384 與 P-521 五條曲線的種子來源。這些種子根本不是雜湊值，而是 C 語言函式庫內建隨機數產生器 lrand48 的輸出，並以 Unix 時間戳作為初始值。以 P-256 為例，產生器跑了 1,842 輪才輸出公布的種子。
根據文章，NIST 五條質數曲線加上 ANSI X9.62 標準的五條範例曲線，共 10 個種子都符合同一模式，對應的時間戳落在 1997 年 5 月到 1998 年 4 月之間。Claude 也找出 P-192 與五條 ANSI 範例曲線基點的產生方式，但 P-224、P-256、P-384、P-521 的基點，以及二元曲線 B-163 的種子仍無法解釋。
Anthropic：不是漏洞，使用者不需採取任何行動
Anthropic 強調，這項發現不是密碼學上的破解、新攻擊或 ECDSA 曲線的弱點，讀者不需要採取任何行動。由於種子只是用時鐘初始化的常見隨機數產生器產生，任何人都能重現，能動手腳的空間小得多。
文章也列出未解問題：部分可用的候選曲線被跳過，例如 P-256 公布的是第 1,842 個候選，但同一輪的第 876 個候選也能產生條件相同的曲線，Anthropic 不清楚當時的篩選標準。不過 Anthropic 認為，跳過的候選數量很少，刻意挑選弱曲線的可能性不高。36,864 美元的懸賞獎金將捐給 Internet Security Research Group。
比特幣使用的是另一條曲線 secp256k1，不在這次研究範圍內。根據 Bitcoin Wiki，secp256k1 的常數以可預測的方式選定，不同於 NIST 曲線，曲線設計者植入後門的可能性因此大幅降低。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
