Claude 当起“数字考古学家”：不到 30 分钟解开困扰密码学界 26 年的曲线种子之谜

一组被全球无数数字签名依赖的椭圆曲线参数，其“出生证明”缺失了整整 26 年。10 月 16 日，Anthropic 公布了一项带着侦探小说气味的实验结果：内部研究使用的 Claude 模型，只花了不到 30 分钟，就找回了这组参数的来源。

一分钟速览

• Anthropic 称 Claude 在不到 30 分钟内还原了 NIST 五条标准椭圆曲线的“种子”来源。
• 线索指向 1997 至 1998 年的 Unix 时间戳，配合 C 语言库中的 lrand48 伪随机数生成器。
• 其中 P-256 的种子对应 1997 年 8 月 16 日、第 1842 个候选值。
• Anthropic 强调这不是破解 ECDSA，也没有发现新的攻击方式，而是降低了“参数被刻意植入后门”的疑虑。
• 研究仍有空白：B-163 种子的来源、部分曲线基点的生成方式、为何跳过某些候选曲线，均未解释。

悬案的起点：参数给了，种子没给

2000 年，一组椭圆曲线被纳入美国的数字签名标准。曲线本身是公开的，但生成它们的“种子”由美国国家安全局提供，且没有说明生成过程。所谓种子，可以理解为生成参数时投入机器的“原料”——同样的原料按照同样的规则处理，就能得到同样的曲线参数。公开种子，外界才能复算并检查曲线是否确实按公布的步骤生成。种子缺失，就成了“是否暗藏后门”这类猜想的温床。而这些曲线正是椭圆曲线数字签名算法（ECDSA）的基础，用于验证数字信息的真实性。

Claude 的破案路径

Anthropic 的思路不是去攻破密码学，而是翻旧账：排查上世纪 90 年代常见的软件工具。Claude 发现，这些种子实际来自 C 语言库中的伪随机数生成器 lrand48，而它的初始化输入是 Unix 时间戳。模型通过识别位模式、恢复生成器状态并反向推算，把生成时间定位到 1997 年至 1998 年。

结果覆盖了 P-192、P-224、P-256、P-384、P-521 五条曲线，它们的种子均可由 1997 至 1998 年之间的 Unix 时间戳初始化生成。其中 P-256 对应 1997 年 8 月 16 日，经过 1842 轮候选生成后得到标准中的那个种子。团队已经把复现代码公开发布。

这件事的意义在哪

先给结论：Anthropic 明确表示，这不是破解 ECDSA，也没有发现新的攻击方式，用户无需因此采取任何措施。它的价值在于把“参数可能被刻意构造”的猜测，替换为一个可复算、可检验的来源解释。从安全工程的角度看，焦虑的来源往往不是参数本身，而是“不可解释”。当一段被信任了二十多年的基础设施能够被追溯到具体的生成时间与随机数工具，关于后门的争论就至少有了可验证的锚点。

悬案并未完全结案

研究也留下了空白：B-163 种子的来源尚未解释，部分曲线基点的生成方式不明，为什么跳过某些可用候选曲线也没有答案。换句话说，这是一个把大部分迷雾吹散的结果，而不是终局。对密码学界来说，接下来更有意思的问题是：这种“数字考古”能力，能否被系统性地用来审计那些沿用了几十年的基础设施——毕竟，能被复算的信任，才是真正可检验的信任。