Claude 半小时破解 25 年密码学悬案：NIST 曲线种子来自 1997 年的时钟

发生了什么

Anthropic 在 10 月 16 日的研究报告中写道：一名员工让内部研究模型去查清种子的生成方式，并且刻意没有告诉它那个流传多年的「幽默短语」传闻。Claude 不到半小时就找到了答案：它在种子比特里发现了老式发生器的统计指纹，用格（LLL）算法恢复了发生器的隐藏内部状态，再把发生器逻辑倒推回 1997–1998 年的时钟取值。十个素数域曲线的种子全部对应上了 1997 年 5 月到 1998 年 4 月之间的 Unix 时间戳。

最具体的复现是 P-256：把 1997 年 8 月 16 日 01:52:34 的 Unix 时间戳喂给 lrand48，跑 1,842 次，吐出的正是标准里那串 C49D3608 86E70493 6A6678E1 139D26B7 819F7E90。Anthropic 公开了复现代码，任何人都能重跑。密码学家 Filippo Valsorda 用 Go 独立重写了求解过程，确认吻合。

这项工作由 Anthropic 十人团队完成（John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini、Steve Weis）。Anthropic 强调：这不是密码学攻破，不是新攻击，ECDSA 曲线没有新弱点——可复现恰恰意味着「藏后门的空间变小了，参数是安全的信心更足了」。

悬案背景：2000 年 NIST 在 FIPS 186-2 中采用 NSA 提供的曲线，每条曲线附带 20 字节「种子」——种子被哈希后决定曲线的一个系数，本意是证明没人手工挑选带弱点的曲线。但 NSA 从未说明种子怎么选的，斯诺登事件后猜疑更甚：NSA 数学家 Jerry Solinas 2015 年称种子是「Give Bob and Jerry a raise」这类玩笑短语的哈希，本人也记不清细节；Solinas 2023 年去世；同年 Valsorda 悬赏 12,288 美元求解，捐给慈善机构则翻三倍到 36,864 美元。如今这笔奖金将捐给 Let's Encrypt 背后的非营利组织 ISRG。

仍未解开的部分：B-163 二进制曲线的种子「Claude 试过的方法都对不上」，P-224、P-256、P-384、P-521 的基点生成方式也未知。比特币不受影响：它用的是 secp256k1，参数简单到几乎没有藏弱点的余地。

关键事实

1. 发现：五条 NIST 曲线（P-192/P-224/P-256/P-384/P-521）的种子是 lrand48 的输出，由 Unix 时间戳播种
2. 用时：不到半小时；P-256 种子是 1997 年 8 月 16 日 01:52:34 那次运行的第 1,842 个候选
3. 方法：种子比特的统计指纹 → LLL 格算法恢复发生器隐藏状态 → 倒推回 1997–98 时钟值
4. 验证：Anthropic 公开复现代码；Filippo Valsorda 用 Go 独立重写确认吻合
5. 奖金：36,864 美元将捐给 Let's Encrypt 背后的 ISRG
6. 未解：B-163 种子、四条曲线基点的生成方式仍未知；不是密码学攻破，用户无需采取行动