ClaudeによるNSA曲線の発見、25年越しの謎を解明するも全ての疑問には答えず
Claudeは、説明のなかったNSA提供の5つの数値を1990年代の乱数生成器までたどり、約25年間続いた暗号学上の謎を解明した。ClaudeによるNSA曲線の発見は、暗号化の破綻や新たな攻撃手法を明らかにしたものではない。むしろ、重要なパラメータがどのように生成された可能性が高いかを再構築したものだ。
Anthropicによると、社内の研究モデルは30分足らずでこの結論に到達した。モデルは、公開されていたNIST曲線のシードを、古いCソフトウェアライブラリに含まれる予測可能な生成器lrand48と結び付けた。その後、1997年5月から1998年4月までの日付に対応するタイムスタンプを復元した。
この結果は、長年の疑念の一つを弱める。暗号研究者は、NSAが秘密裏に脆弱な曲線を見つけるまで多数の候補曲線を探索したのではないかと疑ってきた。ただし、この発見は設計上の全ての判断を復元するものではなく、Anthropic自身も自社モデルを評価する利害関係者である。
ClaudeによるNSA曲線の発見、5つのシードを再構築
Claudeは、歴史的なタイムスタンプから標準化された5つのNIST曲線シードに至る再現可能な経路を発見した。
Anthropicは2026年10月16日、詳細な曲線起源レポートでこの結果を公表した。同社によると、従業員が有力な仮説を強調せずに、この未解決問題を社内研究モデルに提示したという。
その仮説には、忘れられていたユーモラスなフレーズが関わっていた。NSAの数学者Jerry Solinasはかつて、シードが「Give Bob and Jerry a raise」に似た言葉から得られた可能性を記憶していると語っていた。過去の調査者は、公開値を見つけられないまま、考え得るフレーズやハッシュ手法の検証に何年も費やした。
Claudeはこの問題をソフトウェア・フォレンジックの課題として扱った。1990年代後半に曲線を作成していたプログラマーが、どのようなツールを使っていた可能性が高いかを検討した。その結果、探索対象は人間の言語から一般的なソフトウェアライブラリへと移った。
モデルは、古い生成器とその出力の異なる切り出し方を34通り組み合わせて検証した。複数のシードの一部では、最上位ビットが一貫して0であることに気付いた。Anthropicは、この目に見えるパターンが偶然生じる確率は5,810分の1だと算出した。
この手掛かりは、48ビットの内部状態を持つ線形合同法生成器lrand48を指し示した。線形合同法生成器は、出力のたびに同じ算術演算を適用して、再現可能な数列を生成する。
モデルは次に、公開値から逆算した。あるグループでは、隠された17ビットについて可能な131,072通りの設定を全て試した。連続する出力は予想されたシーケンスと一致した。
素数曲線のシードでは、各生成器出力が切り詰められていたため、さらに別の手順が必要だった。Claudeは、部分的な数値情報から構造を復元する数学的手法である格子基底簡約を用いた。
Anthropicによると、5つのNIST素数曲線シードと5つのANSI X9.62の例示用シードは、同じパターンを共有していた。復元された各状態は完全な160ビットのシードを再生成し、表面的な類似をはるかに上回る強い一致を示した。
Claudeはさらに、各シーケンスを srand48ではなく s?
研究成果は、印象的な記録だけで終わるべきではない。再現可能なコード、明示された入力、文書化された環境、そして未解決の問いに関する明確な境界が必要だ。
この結果はバックドアへの懸念を和らげるが、完全な設計を証明するものではない
この再構成により意図的なシード操作の可能性は低くなるが、NIST曲線のあらゆる決定を保証するものではない。
Anthropicは、この発見が暗号の破綻でも、新たな攻撃でも、新たに特定された脆弱性でもないと明言している。この発見を理由に、ユーザーが鍵を置き換える必要はない。
脆弱なlrand48ジェネレーターは、秘密暗号鍵の生成には安全ではない。初期化時刻を推定できる者は、その出力を再構成できる可能性がある。
しかし、今回起きたのはそれではない。NSAが提供したシードは、公開曲線パラメーターの導出に使われた公開入力だった。その予測可能性は、現在では由来の説明に役立っている。
この区別は決定的に重要だ。弱いジェネレーターは、秘密性が予測不能な出力に依存する場合には危険になり得る。一方で、研究者が公開設計プロセスを再構成する必要がある場合には、透明性を支えることができる。
Anthropicは、タイムスタンプに基づくこの連続性によって、標的を絞った改変の余地が小さくなると論じている。復元されたプロセスは、無制限の隠れた選択肢から不透明に選び出したものではなく、通常の生成作業のように見える。
ただし、この再構成にはいくつかの欠落がある。Claudeは、他の4つのNISTバイナリ曲線シードには一致したものの、B-163のバイナリシードは復元できなかった。
また、P-224、P-256、P-384、P-521のベースポイントも説明できていない。ベースポイントとは、楕円曲線鍵や署名を生成する際に乗算される固定の公開ポイントである。
Claudeは、他の6つのベースポイントをFreeLIP長整数ライブラリのジェネレーターまで追跡した。これにはP-192と、1997年5月に生成された5つのANSI例示曲線が含まれる。
モデルは、それらのベースポイントについて小さな整数の初期化値を発見した。また、候補座標を生成する前に7つの出力を破棄するプロセスも再構成した。
それでも、最も広く議論されてきた曲線には、未解決のベースポイント履歴が残っている。つまり、「謎は解決した」という表現が最も強く当てはまるのはシードであり、すべてのパラメーターではない。
候補選択にも別の不確実性がある。P-256では候補1,842が使われたが、候補876も想定されたサイズと構成を持つ素数位数の曲線を生成した。
Anthropicは、P-224およびANSIの実行時にスキップされた、追加の有効な候補を特定した。同社は、選択基準、実装上の挙動、あるいは別の理由のどれがそれらの除外を説明するのかを把握していない。
有効な候補のうちスキップされたものが比較的少ないため、標的を絞った弱体化はありそうにないと同社は考えている。まれな秘密の弱点を実用的に探すには、通常ははるかに広い選択の自由度が必要になる。
この推論には説得力があるが、絶対的ではない。数値的な再構成では、公開された連続の前に完全な実行が何回行われたかは明らかにできない。
また、設計者の意図も確定できない。タイムスタンプとジェネレーター状態の一致は、その値をどのように再現できるかを示すものであり、最終的な各選択がなぜ行われたのかを示すものではない。
ここで独立した検証が重要になる。AnthropicはClaudeを開発し、実験を実施し、結果を解釈し、技術的な説明を公表した。
同社の再現コードにより、外部の人々は正確なシード一致を確認できる。それでも独立した暗号研究者は、切り詰め、タイムスタンプの解釈、候補基準、歴史的な妥当性をめぐる前提を精査しなければならない。
したがって、ClaudeによるNSA曲線の発見は、企業ベンチマークより強い。それはベンダーが設計した評価でのスコアではなく、反証可能な技術的成果物を生み出している。
それでも最も安全な結論は、見出しより狭い範囲にとどまる。Claudeは、対象となったシードの大半と複数のベースポイントについて、説得力があり再現可能な起源を見つけた。
標準化されたすべての曲線に隠れた性質が存在しないことを証明したわけではない。また、元の文書化プロセスが十分だったことを遡及的に示すものでもない。
この発見は、重要な一種類の疑念を減らす。欠落した歴史的記録を完全な監査証跡へ変えることはできない。
Bitcoinはこの話の中心にある曲線ではない
Bitcoinは別の楕円曲線を使用しているため、Claudeの発見はBitcoinウォレットを修復も侵害もしない。
Bitcoinの署名はsecp256k1に依存している。一方で、中心的に再構成されたNISTシードはP-256および関連する標準化曲線に属する。これらの名称は異なるパラメーターセットを指している。
Secp256k1は、際立って単純な定数を使用する。その設計には、係数が説明されていないシードから導出される曲線よりも、調整可能な値が少ない。
この単純さは、設計者が秘密の弱点を探すために大規模な隠れた空間を探索しなかったという信頼を長く支えてきた。ただし、実装バグや将来のアルゴリズムに対する万能の防御を提供するものではない。
Ethereumもアカウント署名にsecp256k1を使っている。Bitcoinは、2021年にTaprootアップグレードでSchnorr署名を導入した際にも、この曲線を維持した。
CoinDeskの報じた影響は、NISTシードの問題とBitcoinのセキュリティモデルを正しく切り分けている。共通するのは楕円曲線暗号であり、同じ曲線ではない。
Claudeは楕円曲線の秘密鍵を解読したわけではない。公開された数値から、公開シード生成の履歴を再構成した。
歴史的プロセスにlrand48が登場したからといって、アクセス可能になったウォレット残高はない。標準化されたシードは、そもそも秘密に保たれるものではなかった。
ウォレット開発者が秘密鍵にlrand48を使用すれば、深刻な脆弱性を生み出す。この別のシナリオを、公開設計パラメーターの生成と混同すべきではない。
この発見は、量子コンピューティングについても決定的なことを何も示していない。十分な能力を持つフォールトトレラント量子コンピューターは、Shorのアルゴリズムにより楕円曲線署名を脅かし得る。
その攻撃が対象とするのは公開鍵と秘密鍵の数学的関係である。曲線の元のシードがどのように選ばれたかには依存しない。
現在、必要な規模で運用中のBitcoin鍵を復元できることが公開実証された量子コンピューターは存在しない。ハードウェアは規模、信頼性、エラー訂正を改善する必要があるため、その時期は依然として不確実だ。
直接的な影響は、むしろ標準化曲線への信頼に及ぶ。P-256を利用する組織は、再構成されたシードプロセスを追加的な歴史的保証として捉えられる。
この結果を、耐量子計画を停止する理由として扱うべきではない。量子耐性標準への移行は、別の脅威と別の時間軸に対処するものだ。
この話はテクノロジー報道への警告も示す。NSA、暗号、Bitcoinといった馴染み深い名称は、パラメーター履歴の調査を進行中の侵害のように聞かせる可能性がある。
実際の出来事はもっと微妙だ。AIシステムが古い由来の問題の一部を解決し、その解決は既存設計への信頼を控えめに強めた。
何かが復号されたわけではない。ブロックチェーンが侵害されたわけでもない。秘密の政府鍵が暴露されたわけでもない。
このより限定的な結果が重要なのは、安全な標準が数学的な困難さ以上のものに依存しているからだ。外部の人々が検査し再現できるプロセスにも依存している。
文書化が失敗すると、健全なパラメーターであっても疑念が積み重なる。Claudeは、標準化プロセスが当初から保存しておくべきだった証拠の復元を助けた。
これが研究モデルになるかを示す3つの兆候
次の試金石は、独立した専門家が手法を検証するか、そして同様のAI支援による発見がAnthropicの外でも成り立つかどうかだ。
最初の兆候は、独立した技術的再現である。暗号研究者は公開コードを再実行し、復元された状態を調べ、別のもっともらしいプロセスが同じ値を説明できるか検証すべきだ。
正確な再現は中心的な発見を強化する。隠れた前提や曖昧な代替案が見つかれば、Anthropicの結論はより限定される。
2つ目の兆候は、未解決パラメーターに関する進展だ。B-163は、複数のNISTベースポイントや、スキップされた候補曲線の背後にある基準とともに、依然として説明されていない。
追跡的な再構成は、この手法が最も見えやすいパターンを超えて拡張できることを示すだろう。失敗が続けば、Claudeの貢献をめぐる境界がより明確になる。
3つ目の兆候は、無関係な研究課題における反復的な成果だ。際立った結果が1件あるだけでは、AIシステムが独立した数学研究やセキュリティ研究を信頼性高く実施できることは確立できない。
今後の事例には、専門家が定義した検証基準、完全な計算記録、外部レビューを含めるべきだ。最も説得力のある仕事は、モデルベンダーを信頼せずとも専門家が検証できる成果物を生み出す。
Anthropicの結果は、標準化団体に対して実務的な問いも投げかけている。公開パラメーターには、透明な生成手順、ソースコード、テストベクトル、保存された設計記録を付けるべきだ。
こうした要件は、組織的な評判への依存を減らす。また、後の研究者が本来文書化されるべきだった決定を再構成するために何年も費やすことを防ぐ。
Anthropicによれば、$36,864の賞金はInternet Security Research Groupに寄付される。同非営利団体は、広く使われているウェブサイト証明書を提供するLet’s Encryptを運営している。
この賞は発見に具体的な締めくくりを与えるが、より大きな意義は別のところにある。AIは、古いソフトウェア、歴史的証言、暗号数学が交わる見過ごされてきた領域に価値を見いだした。
これは開発者や研究チームにとって有用なパターンだ。モデルはコード、標準、保存された推論を横断して探索でき、人間は証拠の基準を定めて結論を精査する。
チームは、生成された仮説、失敗した経路、スクリプト、検証出力を保存すべきだ。洗練された回答だけでは、発見と自信に満ちた偶然の一致を区別できない。
Claudeによる暗号研究の発見が注目に値するのは、外部の人々がその中心的な主張を検証できるからだ。これは、ベンチマークのスコアや劇的なモデルの記録を受け入れるより高い基準である。
今後1〜3か月で、再現、批判、残るパラメーターを説明しようとする試みが現れるはずだ。それらの反応が、この成果をどれほど広く解釈すべきかを決めるだろう。
現時点では、ClaudeによるNSA曲線の発見は、有名なシードの謎の大部分を解いたが、すべての暗号学的疑問を閉じたわけではない。独立したレビューを追い、再現コードを検査し、未解決の値が同じアプローチで解けるかを見守るべきだ。
