Anthropic：Claude 半小时内还原 NIST ECDSA 曲线种子来源，削弱 NSA 后门疑云

当地时间 2026年10月16日，Anthropic 在官网研究页《Claude reveals ECDSA curve origins》披露：一名员工在未提示「幽默口令」传闻的情况下，向内部 Claude 研究模型提问 NIST 椭圆曲线种子如何生成。不到半小时，Claude 还原了 NIST P-192、P-224、P-256、P-384、P-521（以及多项 ANSI X9.62 样例）种子的出处——它们并非任何哈希算法的输出，而是 1990 年代 C 库线性同余生成器 lrand48 在以 Unix 时间戳做 srand48 初始化后、按候选序号抽出的 20 字节序列。例如 P-256 对应 1997-08-16 01:52:34 UTC 跑次的第 1842 个候选。参与人包括 Steve Weis、Nicholas Carlini、Henry de Valence 等；Filippo Valsorda 组织的种子赏金已于 10月15日 UTC 认领，奖金三倍至 36,864 美元捐赠给运营 Let's Encrypt 的 ISRG。@sweis「CLAUDE FOUND THE SEEDS」帖在数小时内约 2100+ 赞、约 32 万展示、千余收藏；Techmeme 置顶，Hacker News 主帖约 330 分。

条件与影响：Anthropic 明确写「不是密码学破解、新攻击或 ECDSA 弱点」——反而因种子可用公开弱 PRNG+时钟复现，故意植入后门的空间更小，多数研究者原本已信任这些曲线，官网建议「无需改配置」。仍未解释的包括：B-163 二进制种子、P-224/P-256/P-384/P-521 的基点 G、以及若干「跳过」的合格候选曲线筛选标准。Jerry Solinas 2015 年「给 Bob and Jerry 加薪」口令故事被证伪。与站内已有 Mythos-5 量子电路优化故事不同，本篇是曲线参数溯源。

谁能用：本次发现使用的是 Anthropic 内部研究模型，不是 ChatGPT/Claude 普通 App 一键功能，也未单独开售「挖种子」API。公众可直接阅读 Anthropic 研究页与 Filippo 博文，并用文中 CC0 示例代码本地复现种子。日常加密工程：Free/Pro/Team/Enterprise 的 Claude（claude.ai App、API、Amazon Bedrock、Google Cloud Vertex 等已开通面）仍可用于类似密码学排查，但能力与内部研究档不可等同；无额外候补名单。ECDSA/P-256 等标准曲线继续按既有库使用，官网称无需迁移。

真实用法：密码与安全社区已在复现脚本、核对 P-256 候选 1842 与时间戳；赏金认领方选择把奖金捐给 Let's Encrypt 运营方，把「AI 解谜」接到公共 PKI 基础设施。工程师在 HN/Lobsters 讨论的是「为何 25 年没人跑通弱 PRNG 扫描」与「跳过候选是否仍留后门想象空间」，而非立刻轮换生产证书。团队侧用法更接近：用 Claude 写 LLL/格基还原脚手架、对照 NSA 口述史做反证，而不是在生产里关掉 P-256。

解读：这是「命名模型 + 安全/信任」向的强信号——Claude 用可复现计算关掉了长达二十多年的 ECDSA 种子阴谋论主线，叙事从「NSA 可能藏后门」转向「就是时间戳」。讨论：1）当内部研究模型能在半小时内扫掉社区悬赏多年的谜题时，密码学「人工穷举口令」路径是否被系统性改写？2）仍未解释的基点与跳过候选，会不会成为下一轮赏金/审计重点？

来源：Anthropic https://www.anthropic.com/research/ecdsa-curve-origins · @sweis https://x.com/sweis/status/2111165738836717980 · Filippo Valsorda https://words.filippo.io/seeds-solved/ · HN https://news.ycombinator.com/item?id=50122800