La scoperta delle curve NSA di Claude risolve un mistero di 25 anni, ma non ogni interrogativo

Claude ha ricondotto cinque numeri forniti dalla NSA e rimasti inspiegati a un generatore casuale degli anni ’90, risolvendo un mistero crittografico durato circa 25 anni. La scoperta delle curve NSA di Claude non rivela una cifratura compromessa né un nuovo attacco. Ricostruisce invece il modo in cui importanti parametri sono stati probabilmente prodotti.

Anthropic afferma che un modello di ricerca interno ha ottenuto il risultato in meno di 30 minuti. Il modello ha collegato i seed delle curve NIST pubblicati a lrand48, un generatore prevedibile incluso nelle vecchie librerie software C. Ha poi recuperato timestamp corrispondenti a date comprese tra maggio 1997 e aprile 1998.

Il risultato indebolisce un sospetto di lunga data. I crittografi si erano chiesti se la NSA avesse esaminato molte curve possibili fino a trovarne alcune segretamente vulnerabili. Tuttavia, la scoperta non ricostruisce ogni decisione progettuale e Anthropic resta una parte interessata che valuta il proprio modello.

La scoperta delle curve NSA di Claude ha ricostruito cinque seed

Claude ha individuato un percorso riproducibile dai timestamp storici a cinque seed di curve NIST standardizzate.

Anthropic ha pubblicato il risultato il 16 ottobre 2026, in un dettagliato rapporto sull'origine delle curve. L'azienda ha dichiarato che un dipendente aveva sottoposto il problema aperto al suo modello di ricerca interno senza sottolineare la teoria principale.

Quella teoria ruotava attorno a una frase umoristica dimenticata. Il matematico della NSA Jerry Solinas aveva ricordato una volta che un seed poteva provenire da parole simili a “Give Bob and Jerry a raise.” I precedenti investigatori avevano trascorso anni a testare possibili frasi e metodi di hashing senza trovare i valori pubblicati.

Claude ha affrontato il problema come un esercizio di informatica forense. Ha considerato quali strumenti avrebbe probabilmente utilizzato un programmatore che creava curve alla fine degli anni ’90. Ciò ha spostato la ricerca dal linguaggio umano verso le comuni librerie software.

Il modello ha testato 34 combinazioni di vecchi generatori e diverse porzioni del loro output. Ha notato che il bit più significativo era costantemente azzerato in parti di diversi seed. Anthropic ha calcolato che questo schema visibile si sarebbe verificato casualmente con una probabilità di una su 5.810.

L'indizio ha portato a lrand48, un generatore congruenziale lineare con stato interno a 48 bit. Un generatore congruenziale lineare crea una sequenza numerica ripetibile applicando la stessa operazione aritmetica dopo ogni output.

Il modello ha quindi lavorato a ritroso dai valori pubblicati. Per un gruppo, ha provato tutte le 131.072 impostazioni possibili per 17 bit nascosti. Gli output consecutivi corrispondevano alla sequenza prevista.

I seed delle curve prime hanno richiesto un ulteriore passaggio perché ogni output del generatore era stato troncato. Claude ha usato la riduzione reticolare, una tecnica matematica per recuperare strutture da informazioni numeriche parziali.

Anthropic afferma che cinque seed di curve prime NIST e cinque seed di esempio ANSI X9.62 condividevano lo stesso schema. Ogni stato recuperato rigenerava il seed completo di 160 bit, fornendo una corrispondenza molto più solida di una somiglianza superficiale.

Claude ha inoltre fatto arretrare ogni sequenza fino a uno stato coerente con srand48, la funzione usata per inizializzare il generatore. Ogni inizializzazione recuperata corrispondeva a un plausibile timestamp Unix tra maggio 1997 e aprile 1998.

La sequenza P-256 è iniziata da un timestamp corrispondente al 16 agosto 1997. Il generatore ha raggiunto il seed standardizzato dopo 1.842 candidati. Anthropic ha pubblicato un breve codice di riproduzione affinché ricercatori indipendenti possano generare lo stesso valore.

Questa riproducibilità distingue il risultato da una vaga ipotesi storica. Il codice pubblico collega date specifiche, generatori e conteggi di iterazioni agli esatti seed pubblicati.

Tuttavia, non fornisce una prova documentale di ciò che è avvenuto all'interno della NSA. Nessun codice sorgente recuperato, nota di sviluppo o documento dell'agenzia conferma che i progettisti originali abbiano seguito questa procedura esatta.

Le prove sono computazionali anziché archivistiche. Mostrano che un processo semplice e storicamente plausibile produce esattamente quei numeri. Questo rende estremamente difficile sostenere la coincidenza come spiegazione alternativa.

Perché i seed inspiegati delle curve NIST hanno suscitato sospetti

La preoccupazione non era che i seed fossero segreti, ma che la loro selezione inspiegata lasciasse spazio a influenze nascoste.

La crittografia a curve ellittiche usa curve matematiche per supportare firme, scambi di chiavi e altre operazioni di sicurezza. La sua sicurezza dipende in parte da difficili problemi matematici e in parte da parametri pubblici affidabili.

NIST ha adottato nel 2000 una raccolta di curve fornite dalla NSA attraverso FIPS 186-2, il suo Digital Signature Standard. La specifica pubblicava i valori dei seed, ma non spiegava da dove provenissero.

Un seed aiuta a derivare parte dell'equazione pubblica di una curva. Pubblicarlo può sostenere un'argomentazione “nothing up my sleeve”, ossia che i progettisti non abbiano manipolato liberamente ogni parametro.

Questa garanzia dipende dalla conoscenza del modo in cui è stato scelto il seed stesso. Senza un processo documentato, gli osservatori non possono escludere prove ripetute progettate per ottenere una curva preferita.

I crittografi Neal Koblitz e Alfred Menezes hanno esaminato questo problema nel loro articolo sull'enigma del 2015. La loro analisi ha collocato la controversia sulle curve in un dibattito più ampio su trasparenza, fiducia e standard progettati dai governi.

Il sospetto è aumentato dopo le rivelazioni su Dual EC DRBG, un diverso generatore di numeri casuali associato alla NSA. I ricercatori avevano avvertito che le sue costanti inspiegate potevano supportare una backdoor in condizioni specifiche.

NIST ha infine ritirato la propria raccomandazione per Dual EC e pubblicato una guida aggiornata su Dual EC. Quell'episodio non ha dimostrato che le curve ellittiche standardizzate contenessero debolezze simili.

Ha però mostrato perché parametri inspiegati meritassero attenzione. Un'agenzia governativa dotata di eccezionali competenze in crittoanalisi aveva anche missioni di intelligence che incentivavano l'accesso a comunicazioni protette.

La storia d'origine mancante aveva quindi un peso istituzionale. Gli utenti dovevano fidarsi di curve fornite da un'agenzia che avrebbe tratto vantaggio dal conoscere debolezze non disponibili a tutti gli altri.

I seed delle curve NIST erano pubblici fin dall'inizio. Non erano password, chiavi di firma o segreti di wallet. La loro importanza derivava dalla storia progettuale che potevano rivelare.

Un progettista malevolo potrebbe teoricamente testare molti seed candidati, scartare le curve ordinarie e pubblicarne una con una proprietà sottilmente sfruttabile. Gli esterni vedrebbero un seed formalmente valido senza sapere quante alternative fossero state scartate.

Questo è il conflitto tra impegno e trasparenza al centro della vicenda. Il processo di standardizzazione presentava numeri fissi, ma non conservava un resoconto pubblico convincente della loro selezione.

Steve Weis e altri ricercatori hanno cercato di ricostruire quel resoconto mancante attraverso indagini storiche e richieste di accesso agli atti pubblici. Secondo quanto riportato, NIST non disponeva di documentazione superstite che risolvesse la questione, mentre le risposte della NSA non hanno prodotto una risposta.

Nel 2023, l'ingegnere crittografico Filippo Valsorda e altri collaboratori hanno creato una taglia per i seed per una spiegazione riproducibile. Il premio poteva raggiungere 36.864 dollari se donato in beneficenza.

Jerry Solinas è morto quell'anno. La sua morte ha sottratto la persona più strettamente collegata ai numeri, aumentando la probabilità che il processo originale restasse permanentemente privo di documentazione.

Il risultato di Claude cambia la situazione perché i numeri ora forniscono la propria evidenza storica. Codificano proprietà riconoscibili di un vecchio generatore e conducono a ritroso verso date di sviluppo plausibili.

Ciò non cancella il fallimento del processo di standardizzazione. Un progetto crittografico affidabile non dovrebbe richiedere decenni di reverse engineering per stabilire l'origine dei propri parametri pubblici.

Come Claude ha lavorato al di fuori della vecchia ipotesi

L'importante contributo dell'IA non è stato solo il calcolo puro, ma un cambiamento del modello di ricerca.

Gli investigatori umani avevano ereditato da Solinas un indizio memorabile. Si aspettavano una frase, una funzione hash o una combinazione di entrambi. Quell'indizio restringeva la ricerca, ma la ancorava anche a una storia errata.

Anthropic afferma che il suo dipendente ha deliberatamente evitato di indirizzare Claude verso la teoria della frase. Il modello ha invece chiesto quale comportamento software potesse lasciare tracce visibili nei seed.

Si è trattato di una riformulazione produttiva. I vecchi generatori pseudocasuali erano comuni, deterministici e sufficientemente deboli da lasciare rilevabili porzioni della loro struttura interna.

Secondo quanto riportato, Claude ha scritto codice per scorrere i bit dei seed e confrontare blocchi adiacenti con gli output del generatore. Questo ha combinato generazione di ipotesi, creazione di programmi, analisi matematica e verifica.

Ha inoltre utilizzato tecniche consolidate anziché inventare nuova matematica crittografica. La forza bruta ha recuperato un piccolo stato nascosto in un caso. La riduzione reticolare ha gestito l'output troncato in un altro.

La scoperta crittografica di Claude assomiglia quindi a un flusso di lavoro di ricerca accelerato. Il modello ha proposto un meccanismo plausibile, costruito test, scartato alternative e verificato output esatti.

Gli esseri umani hanno comunque svolto ruoli essenziali. Un dipendente di Anthropic ha selezionato il problema, fornito il contesto, gestito l'ambiente di ricerca e riconosciuto l'importanza del risultato.

Il team indicato dall'azienda includeva John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini e Steve Weis.

Il risultato dipendeva anche da decenni di lavoro precedente. I ricercatori avevano documentato i parametri inspiegati, conservato testimonianze storiche, organizzato la taglia e chiarito ciò che una soluzione valida doveva dimostrare.

Claude non ha scoperto autonomamente l'esistenza di un mistero importante. È entrato in un problema attentamente descritto, con standard pubblicati, valori obiettivo noti, indizi storici e un test computazionale oggettivo.

Ciononostante, la velocità conta. I ricercatori conoscevano l'obiettivo da anni, eppure l'ipotesi del generatore alternativo apparentemente non aveva prodotto la ricostruzione completa.

Anthropic ha riportato che il modello si è chiesto se stesse operando all'interno di una simulazione dopo aver trovato la corrispondenza. Ha poi verificato le probabilità e gli esatti schemi di bit prima di accettare che il risultato fosse reale.

Quella reazione è interessante, ma il monologo interno non è la prova più forte. La mappatura riproducibile dagli stati del generatore ai valori pubblicati sostiene il caso tecnico.

I lettori dovrebbero inoltre distinguere questo risultato dalle affermazioni secondo cui l'IA abbia risolto autonomamente una matematica avanzata. Claude ha applicato strumenti noti a un problema forense circoscritto, la cui risposta poteva essere verificata meccanicamente.

Questo limite non rende il risultato banale. Il lavoro scientifico spesso avanza quando qualcuno sceglie la giusta astrazione e la testa in modo efficiente.

La scoperta suggerisce che i modelli di ricerca possano esplorare combinazioni trascurate di tecniche ordinarie. Tali sistemi possono diventare particolarmente utili dove si incontrano archivi, codice, standard e matematica.

Possono anche ereditare ipotesi errate dai prompt. Se il dipendente avesse enfatizzato la frase umoristica, Claude avrebbe potuto ripetere lo stesso percorso di ricerca improduttivo.

La lezione per i team di ricerca è operativa. I modelli funzionano meglio quando possono generare ipotesi concorrenti, scrivere codice di verifica e confrontarsi con obiettivi falsificabili.

Un risultato di ricerca dovrebbe lasciare dietro di sé più di una trascrizione impressionante. Richiede codice riproducibile, input specificati, un ambiente documentato e confini chiari attorno alle questioni irrisolte.

Il risultato attenua i timori di backdoor senza dimostrare una progettazione perfetta

La ricostruzione rende meno plausibile una manipolazione deliberata dei seed, ma non certifica ogni decisione relativa alle curve NIST.

Anthropic afferma esplicitamente che il risultato non è una violazione crittografica, un nuovo attacco o una vulnerabilità appena identificata. Gli utenti non devono sostituire le chiavi a causa di questa scoperta.

Il debole generatore lrand48 non sarebbe sicuro per produrre una chiave crittografica privata. Chiunque ne avesse stimato il momento di inizializzazione avrebbe potuto ricostruirne l'output.

Non è ciò che è accaduto in questo caso. I seed forniti dalla NSA erano input pubblici impiegati per derivare parametri pubblici delle curve. La loro prevedibilità ora aiuta a spiegarne la provenienza.

La distinzione è cruciale. Un generatore debole può essere pericoloso quando la segretezza dipende da un output imprevedibile. Può favorire la trasparenza quando i ricercatori devono ricostruire un processo di progettazione pubblico.

Anthropic sostiene che la sequenza basata sui timestamp lasci meno spazio a una sovversione mirata. Il processo recuperato appare come una generazione ordinaria, anziché una selezione opaca da alternative nascoste illimitate.

Tuttavia, la ricostruzione presenta diverse lacune. Claude non ha recuperato il seed binario B-163, pur avendo corrisposto ad altri quattro seed di curve binarie NIST.

Non ha inoltre spiegato i punti base per P-224, P-256, P-384 o P-521. Un punto base è il punto pubblico fisso che viene moltiplicato nella generazione di chiavi e firme a curva ellittica.

Claude ha invece ricondotto altri sei punti base a un generatore della libreria di interi lunghi FreeLIP. Tra questi figuravano P-192 e cinque curve di esempio ANSI generate nel maggio 1997.

Il modello ha individuato piccoli valori interi di inizializzazione per quei punti base. Ha inoltre ricostruito un processo che scartava sette output prima di generare coordinate candidate.

Eppure le curve più discusse restano accompagnate da storie irrisolte sui punti base. Ciò significa che l'espressione “mistero risolto” si applica con maggiore forza ai seed, non a ogni parametro.

La selezione delle candidate presenta un'altra incertezza. P-256 ha usato la candidata 1.842, ma anche la candidata 876 ha prodotto una curva di ordine primo con le dimensioni e la costruzione previste.

Anthropic ha identificato ulteriori candidate valide saltate durante le esecuzioni P-224 e ANSI. L'azienda non sa se tali omissioni siano spiegate da criteri di selezione, dal comportamento dell'implementazione o da un'altra ragione.

Considera implausibile un indebolimento mirato perché sono state saltate relativamente poche candidate valide. Una ricerca pratica di una rara debolezza segreta richiederebbe normalmente una libertà di selezione molto più ampia.

Questo ragionamento è credibile, ma non assoluto. La ricostruzione numerica non può rivelare quante esecuzioni complete siano avvenute prima della sequenza pubblicata.

Non può neppure stabilire le intenzioni dei progettisti. La corrispondenza di timestamp e stati del generatore mostra come i valori possano essere riprodotti, non perché sia stata compiuta ogni scelta finale.

È qui che conta la revisione indipendente. Anthropic ha sviluppato Claude, condotto l'esperimento, interpretato il risultato e pubblicato la narrazione tecnica.

Il suo codice di riproduzione consente a soggetti esterni di verificare le corrispondenze esatte dei seed. I crittografi indipendenti devono comunque esaminare le ipotesi relative al troncamento, all'interpretazione dei timestamp, ai criteri delle candidate e alla plausibilità storica.

La scoperta di Claude sulle curve della NSA è quindi più solida di un benchmark aziendale. Produce un artefatto tecnico falsificabile anziché un punteggio in una valutazione progettata dal fornitore.

Tuttavia, la conclusione più prudente resta più circoscritta del titolo. Claude ha trovato origini convincenti e riproducibili per la maggior parte dei seed presi di mira e per diversi punti base.

Non ha dimostrato che nessuna proprietà nascosta esista in ogni curva standardizzata. Né ha reso retroattivamente adeguato il processo di documentazione originale.

La scoperta riduce un'importante categoria di sospetti. Non può trasformare registri storici mancanti in una pista di audit completa.

Bitcoin non è la curva al centro di questa storia

Bitcoin usa una curva ellittica diversa, quindi la scoperta di Claude non ripara né compromette i wallet Bitcoin.

Le firme di Bitcoin si basano su secp256k1, mentre il seed NIST centrale ricostruito appartiene a P-256 e a curve standardizzate correlate. Questi nomi descrivono insiemi di parametri diversi.

Secp256k1 usa costanti sorprendentemente semplici. Il suo progetto lascia meno valori regolabili rispetto alle curve i cui coefficienti derivano da seed non spiegati.

Questa semplicità ha da tempo sostenuto la fiducia nel fatto che i suoi progettisti non abbiano esplorato un ampio spazio nascosto alla ricerca di una debolezza segreta. Non offre una protezione universale contro bug di implementazione o algoritmi futuri.

Anche Ethereum usa secp256k1 per le firme degli account. Bitcoin ha mantenuto la curva quando l'aggiornamento Taproot ha introdotto le firme Schnorr nel 2021.

Le implicazioni riportate da CoinDesk separano correttamente la questione del seed NIST dal modello di sicurezza di Bitcoin. Il filo conduttore è la crittografia a curva ellittica, non la stessa curva.

Claude non ha violato una chiave privata a curva ellittica. Ha ricostruito la storia della generazione di seed pubblici a partire da numeri pubblici.

Nessun saldo di wallet è diventato accessibile perché lrand48 compariva nel processo storico. Il seed standardizzato non era mai destinato a rimanere segreto.

Uno sviluppatore di wallet che usasse lrand48 per chiavi private introdurrebbe una grave vulnerabilità. Questo scenario distinto non va confuso con la generazione di parametri pubblici di progettazione.

La scoperta non dice neppure nulla di decisivo sul calcolo quantistico. Un computer quantistico tollerante agli errori sufficientemente capace potrebbe minacciare le firme a curva ellittica tramite l'algoritmo di Shor.

Quell'attacco prenderebbe di mira la relazione matematica tra chiavi pubbliche e private. Non dipenderebbe da come è stato selezionato il seed originale di una curva.

Nessun computer quantistico dimostrato pubblicamente può attualmente recuperare chiavi Bitcoin operative alla scala richiesta. Le tempistiche restano incerte perché l'hardware deve migliorare in dimensioni, affidabilità e correzione degli errori.

L'impatto immediato ricade invece sulla fiducia nelle curve standardizzate. Le organizzazioni che usano P-256 possono considerare il processo di seed ricostruito come un'ulteriore garanzia storica.

Non dovrebbero trattare il risultato come un motivo per interrompere la pianificazione post-quantistica. La migrazione verso standard resistenti ai quanti affronta una minaccia diversa e una tempistica diversa.

La storia offre anche un avvertimento per il giornalismo tecnologico. Nomi familiari come NSA, crittografia e Bitcoin possono far sembrare un'indagine sulla storia dei parametri una violazione in corso.

L'evento reale è più sottile. Un sistema di IA ha risolto parte di un vecchio problema di provenienza, e tale soluzione rafforza modestamente la fiducia nei progetti esistenti.

Nulla è stato decifrato. Nessuna blockchain è stata compromessa. Nessuna chiave segreta governativa è stata esposta.

Questo risultato più circoscritto conta perché gli standard sicuri dipendono da più della difficoltà matematica. Dipendono anche da processi che soggetti esterni possono ispezionare e riprodurre.

Quando la documentazione fallisce, persino parametri solidi accumulano sospetti. Claude ha contribuito a recuperare prove che il processo di standardizzazione avrebbe dovuto conservare fin dall'inizio.

Tre segnali mostreranno se questo diventerà un modello di ricerca

Il prossimo test consiste nel verificare se esperti indipendenti convalideranno il metodo e se scoperte simili assistite dall'IA resisteranno al di fuori di Anthropic.

Il primo segnale è la replica tecnica indipendente. I crittografi dovrebbero rieseguire il codice pubblicato, esaminare gli stati recuperati e verificare se un altro processo plausibile spiega gli stessi valori.

Una riproduzione esatta rafforzerebbe il risultato centrale. La scoperta di ipotesi nascoste o alternative ambigue restringerebbe la conclusione di Anthropic.

Il secondo segnale è il progresso sui parametri irrisolti. B-163 resta inspiegato, insieme a diversi punti base NIST e ai criteri alla base delle curve candidate saltate.

Una ricostruzione successiva mostrerebbe che il metodo si estende oltre il pattern visibile più semplice. Un fallimento continuo definirebbe un confine più chiaro attorno al contributo di Claude.

Il terzo segnale è la prestazione ripetuta su problemi di ricerca non correlati. Un singolo risultato sorprendente non può dimostrare che i sistemi di IA conducano in modo affidabile ricerca matematica o sulla sicurezza in autonomia.

I casi futuri dovrebbero includere standard di verifica definiti da esperti, registri computazionali completi e revisione esterna. Il lavoro più persuasivo produrrà artefatti che gli specialisti potranno contestare senza dover riporre fiducia nel fornitore del modello.

Il risultato di Anthropic solleva anche una questione pratica per le organizzazioni di standardizzazione. I parametri pubblici dovrebbero essere accompagnati da procedure di generazione trasparenti, codice sorgente, vettori di test e registri di progettazione conservati.

Questi requisiti riducono la dipendenza dalla reputazione istituzionale. Evitano inoltre che ricercatori futuri trascorrano anni a ricostruire decisioni che avrebbero dovuto essere documentate.

La ricompensa di $36.864 sarà donata all'Internet Security Research Group, secondo Anthropic. Questa organizzazione non profit gestisce Let’s Encrypt, che fornisce certificati per siti web ampiamente utilizzati.

Il premio dà alla scoperta una conclusione concreta, ma il significato più ampio risiede altrove. L'IA ha trovato valore in un'intersezione trascurata tra vecchio software, testimonianze storiche e matematica crittografica.

È un modello utile per sviluppatori e team di ricerca. I modelli possono cercare tra codice, standard e ragionamenti archiviati, mentre gli esseri umani definiscono le soglie di prova e ispezionano le conclusioni.

I team dovrebbero conservare le ipotesi generate, i percorsi falliti, gli script e gli output di verifica. Una risposta rifinita da sola non può distinguere una scoperta da una coincidenza formulata con sicurezza.

La scoperta crittografica di Claude merita attenzione perché soggetti esterni possono testarne l'affermazione centrale. È uno standard più elevato dell'accettare un punteggio di benchmark o una drammatica trascrizione del modello.

I prossimi uno-tre mesi dovrebbero portare repliche, critiche e tentativi di spiegare i parametri rimanenti. Tali risposte determineranno quanto ampiamente debba essere interpretato il risultato.

Per ora, la scoperta di Claude sulle curve della NSA risolve gran parte di un celebre mistero sui seed senza chiudere ogni questione crittografica. Seguite le revisioni indipendenti, ispezionate il codice di riproduzione e osservate se i valori irrisolti cedono allo stesso approccio.