La découverte de Claude sur les courbes NSA résout un mystère vieux de 25 ans, mais pas toutes les questions

Claude a relié cinq nombres inexpliqués fournis par la NSA à un générateur aléatoire des années 1990, résolvant un mystère cryptographique qui durait depuis environ 25 ans. La découverte de Claude concernant les courbes NSA ne révèle ni chiffrement compromis ni nouvelle attaque. Elle reconstitue plutôt la manière dont d’importants paramètres ont probablement été produits.

Anthropic affirme qu’un modèle de recherche interne est parvenu au résultat en moins de 30 minutes. Le modèle a relié des graines de courbes NIST publiées à lrand48, un générateur prévisible inclus dans d’anciennes bibliothèques logicielles C. Il a ensuite retrouvé des horodatages correspondant à des dates comprises entre mai 1997 et avril 1998.

Ce résultat affaiblit une suspicion de longue date. Des cryptographes se demandaient si la NSA avait examiné de nombreuses courbes possibles jusqu’à en trouver certaines secrètement vulnérables. Toutefois, la découverte ne reconstitue pas chaque décision de conception, et Anthropic reste une partie intéressée évaluant son propre modèle.

La découverte de Claude sur les courbes NSA a reconstitué cinq graines

Claude a trouvé un chemin reproductible reliant des horodatages historiques à cinq graines de courbes NIST standardisées.

Anthropic a publié le résultat le 16 octobre 2026 dans un rapport détaillé sur l’origine des courbes. L’entreprise a indiqué qu’un employé avait soumis ce problème ouvert à son modèle de recherche interne sans insister sur la théorie dominante.

Cette théorie reposait sur une ancienne phrase humoristique. Le mathématicien de la NSA Jerry Solinas avait un jour déclaré se souvenir qu’une graine pouvait provenir de mots ressemblant à « Give Bob and Jerry a raise ». De précédents enquêteurs ont passé des années à tester des phrases et des méthodes de hachage possibles sans retrouver les valeurs publiées.

Claude a abordé le problème comme un exercice d’investigation logicielle. Il a envisagé les outils qu’un programmeur créant des courbes à la fin des années 1990 aurait probablement utilisés. Cela a déplacé la recherche du langage humain vers les bibliothèques logicielles courantes.

Le modèle a testé 34 combinaisons d’anciens générateurs et de différentes portions de leur sortie. Il a observé que le bit le plus significatif était systématiquement nul dans des parties de plusieurs graines. Anthropic a calculé que ce motif visible surviendrait aléatoirement avec une probabilité de une sur 5 810.

Cet indice orientait vers lrand48, un générateur congruentiel linéaire doté d’un état interne de 48 bits. Un générateur congruentiel linéaire crée une séquence de nombres reproductible en appliquant la même opération arithmétique après chaque sortie.

Le modèle a ensuite remonté à partir des valeurs publiées. Pour un groupe, il a essayé les 131 072 réglages possibles de 17 bits cachés. Les sorties consécutives correspondaient à la séquence attendue.

Les graines des courbes premières exigeaient une étape supplémentaire, car chaque sortie du générateur avait été tronquée. Claude a utilisé la réduction de réseau, une technique mathématique permettant de retrouver une structure à partir d’informations numériques partielles.

Anthropic indique que cinq graines de courbes premières NIST et cinq graines d’exemple ANSI X9.62 présentaient le même motif. Chaque état retrouvé régénérait la graine complète de 160 bits, fournissant une correspondance bien plus solide qu’une simple ressemblance superficielle.

Claude a également remonté chaque séquence jusqu’à un état compatible avec srand48, la fonction utilisée pour initialiser le générateur. Chaque initialisation retrouvée correspondait à un horodatage Unix plausible compris entre mai 1997 et avril 1998.

La séquence P-256 a débuté à un horodatage correspondant au 16 août 1997. Le générateur a atteint la graine standardisée après 1 842 candidats. Anthropic a publié un court code de reproduction afin que des chercheurs indépendants puissent générer la même valeur.

Cette reproductibilité distingue le résultat d’une simple hypothèse historique. Le code public relie des dates, générateurs et nombres d’itérations précis aux graines publiées exactes.

Il ne fournit toutefois pas une preuve documentaire de ce qui s’est passé au sein de la NSA. Aucun code source retrouvé, aucune note de développement ni aucun dossier de l’agence ne confirme que les concepteurs d’origine ont suivi exactement cette procédure.

Les preuves sont computationnelles plutôt qu’archivistiques. Elles montrent qu’un processus simple et historiquement plausible produit exactement ces nombres. Cela rend la coïncidence extrêmement difficile à soutenir comme explication alternative.

Pourquoi les graines inexpliquées des courbes NIST ont suscité la suspicion

La crainte ne venait pas du caractère secret des graines, mais du fait que leur sélection inexpliquée laissait place à une influence cachée.

La cryptographie sur courbes elliptiques utilise des courbes mathématiques pour prendre en charge les signatures, l’échange de clés et d’autres opérations de sécurité. Sa sûreté dépend en partie de problèmes mathématiques difficiles et en partie de paramètres publics fiables.

Le NIST a adopté en 2000 un ensemble de courbes fournies par la NSA par le biais de FIPS 186-2, sa norme de signature numérique. La spécification publiait les valeurs des graines sans expliquer leur origine.

Une graine aide à dériver une partie de l’équation publique d’une courbe. Sa publication peut étayer un argument dit « nothing up my sleeve », selon lequel les concepteurs n’ont pas pu manipuler librement chaque paramètre.

Cette garantie dépend de la connaissance du mode de sélection de la graine elle-même. Sans processus documenté, les observateurs ne peuvent exclure des essais répétés destinés à aboutir à une courbe privilégiée.

Les cryptographes Neal Koblitz et Alfred Menezes ont examiné ce problème dans leur article sur l’énigme de 2015. Leur analyse plaçait la controverse sur les courbes dans un débat plus large sur la transparence, la confiance et les normes conçues par les gouvernements.

La suspicion s’est accrue après les révélations sur Dual EC DRBG, un autre générateur de nombres aléatoires associé à la NSA. Des chercheurs avaient averti que ses constantes inexpliquées pouvaient permettre une porte dérobée dans certaines conditions.

Le NIST a finalement retiré sa recommandation concernant Dual EC et publié des directives Dual EC révisées. Cet épisode n’a pas prouvé que les courbes elliptiques standardisées contenaient des faiblesses similaires.

Il a montré pourquoi les paramètres inexpliqués méritaient un examen attentif. Une agence gouvernementale disposant d’une expertise cryptanalytique exceptionnelle menait aussi des missions de renseignement encourageant l’accès à des communications protégées.

L’absence d’un récit sur l’origine avait donc un poids institutionnel. Les utilisateurs devaient faire confiance à des courbes fournies par une agence qui bénéficierait de la connaissance de faiblesses inaccessibles à tous les autres.

Les graines des courbes NIST étaient publiques dès le départ. Il ne s’agissait ni de mots de passe, ni de clés de signature, ni de secrets de portefeuilles. Leur importance venait de l’histoire de conception qu’elles pouvaient révéler.

Un concepteur malveillant pourrait théoriquement tester de nombreuses graines candidates, rejeter les courbes ordinaires et publier celle possédant une propriété subtilement exploitable. Les observateurs extérieurs verraient une graine formellement valide sans savoir combien d’alternatives avaient été écartées.

C’est le conflit entre engagement et transparence au cœur de cette histoire. Le processus de normalisation présentait des nombres fixes, mais ne conservait pas un récit public convaincant de leur sélection.

Steve Weis et d’autres chercheurs ont cherché à reconstituer ce récit manquant par des investigations historiques et des demandes d’accès aux archives publiques. Le NIST ne disposait apparemment d’aucune documentation survivante permettant de résoudre la question, tandis que les réponses de la NSA n’ont pas apporté d’explication.

En 2023, l’ingénieur en cryptographie Filippo Valsorda et des contributeurs ont créé une prime pour les graines afin d’obtenir une explication reproductible. La récompense pouvait atteindre 36 864 $ si elle était reversée à une œuvre caritative.

Jerry Solinas est mort cette année-là. Sa disparition a retiré la personne la plus étroitement liée à ces nombres, augmentant la probabilité que le processus initial reste définitivement non documenté.

Le résultat de Claude change cette situation, car les nombres fournissent désormais leurs propres indices historiques. Ils encodent des propriétés reconnaissables d’un ancien générateur et remontent à des dates de développement plausibles.

Cela n’efface pas l’échec du processus de normalisation. Une conception cryptographique fiable ne devrait pas nécessiter des décennies de rétro-ingénierie pour établir l’origine de ses paramètres publics.

Comment Claude a dépassé l’ancienne hypothèse

La contribution importante de l’IA n’a pas été seulement la puissance de calcul brute, mais un changement de modèle de recherche.

Les enquêteurs humains avaient hérité d’un indice mémorable de Solinas. Ils s’attendaient à une phrase, une fonction de hachage, ou une combinaison des deux. Cet indice a resserré la recherche tout en l’ancrant dans une histoire erronée.

Anthropic affirme que son employé a délibérément évité d’orienter Claude vers la théorie de la phrase. Le modèle a plutôt demandé quels comportements logiciels pouvaient laisser des traces visibles dans les graines.

Ce recadrage s’est révélé productif. Les anciens générateurs pseudo-aléatoires étaient courants, déterministes et suffisamment faibles pour que certaines parties de leur structure interne restent détectables.

Claude aurait écrit du code pour parcourir les bits des graines et comparer des segments adjacents aux sorties du générateur. Cette approche combinait génération d’hypothèses, création de programmes, analyse mathématique et vérification.

Il a également employé des techniques établies plutôt que d’inventer de nouvelles mathématiques cryptographiques. La force brute a retrouvé un petit état caché dans un cas. La réduction de réseau a traité une sortie tronquée dans un autre.

La découverte cryptographique de Claude ressemble donc à un flux de travail de recherche accéléré. Le modèle a proposé un mécanisme plausible, construit des tests, rejeté des alternatives et vérifié des sorties exactes.

Les humains ont toutefois conservé des rôles essentiels. Un employé d’Anthropic a sélectionné le problème, fourni le contexte, exécuté l’environnement de recherche et reconnu l’importance du résultat.

L’équipe citée par l’entreprise comprenait John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini et Steve Weis.

Le résultat reposait également sur des décennies de travaux antérieurs. Des chercheurs avaient documenté les paramètres inexpliqués, préservé des témoignages historiques, organisé la prime et clarifié les exigences d’une solution valide.

Claude n’a pas découvert de manière indépendante qu’un mystère important existait. Il a abordé un problème soigneusement décrit, avec des normes publiées, des valeurs cibles connues, des indices historiques et un test computationnel objectif.

Malgré cela, la rapidité compte. Les chercheurs connaissaient la cible depuis des années, mais l’hypothèse du générateur alternatif ne semble pas avoir produit la reconstitution complète auparavant.

Anthropic a rapporté que le modèle s’était demandé s’il opérait dans une simulation après avoir trouvé la correspondance. Il a ensuite vérifié les probabilités et les motifs de bits exacts avant d’accepter que le résultat était réel.

Cette réaction est intéressante, mais le monologue interne ne constitue pas la preuve la plus solide. La correspondance reproductible entre les états du générateur et les valeurs publiées fonde l’argument technique.

Les lecteurs devraient aussi distinguer ce résultat des affirmations selon lesquelles l’IA aurait résolu de manière autonome des mathématiques avancées. Claude a appliqué des outils connus à un problème médico-légal circonscrit, dont la réponse pouvait être vérifiée mécaniquement.

Cette limite ne rend pas la réalisation triviale. Le travail scientifique avance souvent lorsqu’une personne choisit la bonne abstraction et la teste efficacement.

La découverte suggère que les modèles de recherche peuvent explorer des combinaisons négligées de techniques ordinaires. Ces systèmes pourraient devenir particulièrement utiles là où se croisent archives, code, normes et mathématiques.

Ils peuvent aussi hériter de fausses hypothèses contenues dans les prompts. Si l’employé avait insisté sur la phrase humoristique, Claude aurait peut-être répété le même chemin de recherche improductif.

La leçon pour les équipes de recherche est opérationnelle. Les modèles sont plus performants lorsqu’ils peuvent générer des hypothèses concurrentes, écrire du code de vérification et rencontrer des cibles falsifiables.

Un résultat de recherche doit laisser derrière lui plus qu’un compte rendu impressionnant. Il exige du code reproductible, des entrées spécifiées, un environnement documenté et des limites claires concernant les questions non résolues.

Le résultat atténue les craintes de porte dérobée sans prouver une conception parfaite

La reconstruction rend une manipulation délibérée des graines moins plausible, mais elle ne certifie pas chaque décision relative aux courbes du NIST.

Anthropic affirme explicitement que cette découverte n’est ni une faille cryptographique, ni une nouvelle attaque, ni une faiblesse nouvellement identifiée. Les utilisateurs n’ont pas besoin de remplacer leurs clés en raison de cette découverte.

Le faible générateur lrand48 ne serait pas sûr pour produire une clé cryptographique privée. Toute personne capable d’estimer son heure d’initialisation pourrait reconstituer sa sortie.

Ce n’est pas ce qui s’est produit ici. Les graines fournies par la NSA étaient des entrées publiques utilisées pour dériver des paramètres de courbes publiques. Leur prévisibilité aide désormais à expliquer leur provenance.

La distinction est cruciale. Un générateur faible peut être dangereux lorsque la sécurité dépend d’une sortie imprévisible. Il peut favoriser la transparence lorsque des chercheurs doivent reconstruire un processus de conception public.

Anthropic soutient que la séquence fondée sur les horodatages laisse moins de place à une subversion ciblée. Le processus reconstitué ressemble à une génération ordinaire plutôt qu’à une sélection opaque parmi un nombre illimité d’alternatives cachées.

Toutefois, la reconstruction comporte plusieurs lacunes. Claude n’a pas retrouvé la graine binaire B-163, malgré la correspondance avec quatre autres graines de courbes binaires du NIST.

Il n’a pas non plus expliqué les points de base de P-224, P-256, P-384 ou P-521. Un point de base est le point public fixe utilisé dans la multiplication lors de la génération de clés et de signatures sur courbes elliptiques.

Claude a toutefois relié six autres points de base à un générateur de la bibliothèque d’entiers longs FreeLIP. Ils comprenaient P-192 et cinq courbes d’exemple ANSI générées en mai 1997.

Le modèle a trouvé de petites valeurs d’initialisation entières pour ces points de base. Il a également reconstitué un processus qui rejetait sept sorties avant de générer les coordonnées candidates.

Pourtant, les courbes les plus largement discutées conservent des historiques de points de base non élucidés. Cela signifie que l’expression « mystère résolu » s’applique surtout aux graines, et non à chaque paramètre.

La sélection des candidats présente une autre incertitude. P-256 a utilisé le candidat 1 842, mais le candidat 876 produisait également une courbe d’ordre premier avec la taille et la construction attendues.

Anthropic a identifié d’autres candidats viables ignorés lors des exécutions P-224 et ANSI. L’entreprise ne sait pas si des critères de sélection, le comportement de l’implémentation ou une autre raison expliquent ces omissions.

Elle juge un affaiblissement ciblé peu plausible, car relativement peu de candidats viables ont été ignorés. Une recherche pratique d’une faiblesse secrète rare nécessiterait normalement une liberté de sélection beaucoup plus large.

Ce raisonnement est crédible, mais non absolu. La reconstruction numérique ne peut pas révéler combien d’exécutions complètes ont eu lieu avant la séquence publiée.

Elle ne peut pas non plus établir les intentions des concepteurs. La correspondance entre les horodatages et les états du générateur montre comment les valeurs peuvent être reproduites, et non pourquoi chaque choix final a été fait.

C’est là que l’examen indépendant compte. Anthropic a développé Claude, mené l’expérience, interprété le résultat et publié le récit technique.

Son code de reproduction permet à des tiers de vérifier les correspondances exactes des graines. Des cryptographes indépendants doivent encore examiner les hypothèses liées à la troncature, à l’interprétation des horodatages, aux critères de candidature et à la plausibilité historique.

La découverte de Claude sur les courbes de la NSA est donc plus solide qu’un benchmark d’entreprise. Elle produit un artefact technique falsifiable plutôt qu’un score issu d’une évaluation conçue par le fournisseur.

La conclusion la plus prudente reste néanmoins plus étroite que le titre. Claude a trouvé des origines convaincantes et reproductibles pour la plupart des graines ciblées ainsi que pour plusieurs points de base.

Il n’a pas prouvé qu’aucune propriété cachée n’existe dans chaque courbe standardisée. Il n’a pas non plus rendu rétrospectivement adéquat le processus de documentation initial.

La découverte réduit une importante catégorie de soupçons. Elle ne peut pas transformer des archives historiques manquantes en une piste d’audit complète.

Bitcoin n’est pas la courbe au centre de cette histoire

Bitcoin utilise une courbe elliptique différente : la découverte de Claude ne répare ni ne compromet les portefeuilles Bitcoin.

Les signatures Bitcoin reposent sur secp256k1, tandis que la graine centrale reconstituée par le NIST appartient à P-256 et à des courbes standardisées associées. Ces noms désignent des ensembles de paramètres différents.

Secp256k1 utilise des constantes remarquablement simples. Sa conception laisse moins de valeurs ajustables que les courbes dont les coefficients proviennent de graines inexpliquées.

Cette simplicité soutient depuis longtemps la confiance selon laquelle ses concepteurs n’ont pas exploré un vaste espace caché à la recherche d’une faiblesse secrète. Elle n’offre pas de protection universelle contre les bogues d’implémentation ou de futurs algorithmes.

Ethereum utilise également secp256k1 pour les signatures de comptes. Bitcoin a conservé cette courbe lorsque sa mise à jour Taproot a introduit les signatures Schnorr en 2021.

Les implications rapportées par CoinDesk distinguent à juste titre la question des graines du NIST du modèle de sécurité de Bitcoin. Le fil conducteur est la cryptographie sur courbes elliptiques, et non la même courbe.

Claude n’a pas cassé de clé privée de courbe elliptique. Il a reconstitué l’historique public de génération de graines à partir de nombres publics.

Aucun solde de portefeuille n’est devenu accessible parce que lrand48 est apparu dans le processus historique. La graine standardisée n’a jamais été censée rester secrète.

Un développeur de portefeuille utilisant lrand48 pour des clés privées créerait une grave vulnérabilité. Ce scénario distinct ne doit pas être confondu avec la génération de paramètres de conception publics.

La découverte ne dit rien de décisif non plus sur l’informatique quantique. Un ordinateur quantique tolérant aux fautes suffisamment performant pourrait menacer les signatures sur courbes elliptiques via l’algorithme de Shor.

Cette attaque viserait la relation mathématique entre les clés publiques et privées. Elle ne dépendrait pas de la manière dont la graine originelle d’une courbe a été choisie.

Aucun ordinateur quantique démontré publiquement ne peut actuellement retrouver des clés Bitcoin opérationnelles à l’échelle requise. Les calendriers restent incertains, car le matériel doit progresser en taille, en fiabilité et en correction d’erreurs.

L’impact immédiat concerne plutôt la confiance dans les courbes standardisées. Les organisations utilisant P-256 peuvent considérer le processus de génération de graines reconstitué comme une assurance historique supplémentaire.

Elles ne devraient pas considérer ce résultat comme une raison d’interrompre leur planification post-quantique. La migration vers des normes résistantes au quantique répond à une menace différente et à un calendrier différent.

Cette histoire offre également un avertissement pour le journalisme technologique. Des noms familiers tels que NSA, cryptographie et Bitcoin peuvent donner à une enquête sur l’historique de paramètres l’apparence d’une compromission active.

L’événement réel est plus subtil. Un système d’IA a résolu une partie d’un ancien problème de provenance, et cette résolution renforce modestement la confiance dans les conceptions existantes.

Rien n’a été déchiffré. Aucune blockchain n’a été compromise. Aucune clé gouvernementale secrète n’a été exposée.

Ce résultat plus limité compte, car des normes sûres dépendent de davantage que de la difficulté mathématique. Elles dépendent aussi de processus que des tiers peuvent examiner et reproduire.

Lorsque la documentation fait défaut, même des paramètres solides accumulent les soupçons. Claude a aidé à retrouver des éléments que le processus de normalisation aurait dû conserver dès le départ.

Trois signaux montreront si cela devient un modèle de recherche

Le prochain test consiste à voir si des experts indépendants valident la méthode et si des découvertes similaires assistées par IA résistent hors d’Anthropic.

Le premier signal est la réplication technique indépendante. Des cryptographes devraient réexécuter le code publié, examiner les états retrouvés et vérifier si un autre processus plausible explique les mêmes valeurs.

Une reproduction exacte renforcerait la conclusion principale. La découverte d’hypothèses cachées ou d’alternatives ambiguës restreindrait la conclusion d’Anthropic.

Le deuxième signal est le progrès sur les paramètres non résolus. B-163 reste inexpliqué, tout comme plusieurs points de base du NIST et les critères à l’origine des courbes candidates ignorées.

Une reconstruction de suivi montrerait que la méthode dépasse le schéma visible le plus simple. Un échec persistant définirait une limite plus nette autour de la contribution de Claude.

Le troisième signal est une performance répétée sur des problèmes de recherche non liés. Un résultat marquant ne peut pas établir que les systèmes d’IA mènent de manière fiable des recherches mathématiques ou de sécurité indépendantes.

Les futurs cas devraient inclure des normes de vérification définies par des experts, des archives de calcul complètes et un examen externe. Les travaux les plus convaincants produiront des artefacts que les spécialistes pourront contester sans faire confiance au fournisseur du modèle.

Le résultat d’Anthropic soulève également une question pratique pour les organismes de normalisation. Les paramètres publics devraient être accompagnés de procédures de génération transparentes, de code source, de vecteurs de test et d’archives de conception conservées.

Ces exigences réduisent la dépendance à la réputation institutionnelle. Elles évitent aussi à de futurs chercheurs de passer des années à reconstruire des décisions qui auraient dû être documentées.

La prime de 36 864 $ sera reversée à l’Internet Security Research Group, selon Anthropic. Cette organisation à but non lucratif exploite Let’s Encrypt, qui fournit des certificats de sites web largement utilisés.

La récompense donne à la découverte une conclusion concrète, mais son importance plus large se situe ailleurs. L’IA a trouvé de la valeur à l’intersection négligée des anciens logiciels, des témoignages historiques et des mathématiques cryptographiques.

C’est un modèle utile pour les développeurs et les équipes de recherche. Les modèles peuvent explorer du code, des normes et des raisonnements archivés, tandis que les humains définissent les seuils de preuve et examinent les conclusions.

Les équipes devraient conserver les hypothèses générées, les pistes infructueuses, les scripts et les sorties de vérification. Une réponse soignée à elle seule ne peut pas distinguer une découverte d’une coïncidence formulée avec assurance.

La découverte cryptographique de Claude mérite l’attention parce que des tiers peuvent tester son affirmation centrale. C’est une norme plus élevée que d’accepter un score de benchmark ou une transcription spectaculaire d’un modèle.

Les un à trois prochains mois devraient apporter des réplications, des critiques et des tentatives d’explication des paramètres restants. Ces réponses détermineront l’ampleur de l’interprétation à donner à cette réussite.

Pour l’instant, la découverte de Claude sur les courbes de la NSA résout une grande partie d’un célèbre mystère de graines sans clore toutes les questions cryptographiques. Suivez les examens indépendants, inspectez le code de reproduction et observez si les valeurs non résolues cèdent à la même approche.