Claude NSA 曲線發現解開 25 年謎團，但並非所有問題都有答案

Claude 將五個來源不明、由 NSA 提供的數字追溯至一個 1990 年代的隨機產生器，解開了一個歷時約 25 年的密碼學謎團。這項 Claude NSA 曲線發現並沒有揭露已被攻破的加密技術或新的攻擊方法；相反，它重建了這些重要參數很可能是如何產生的。

Anthropic 表示，其內部研究模型在不足 30 分鐘內得出這個結果。該模型將已公開的 NIST 曲線種子連繫到 lrand48，這是一個舊式 C 軟件函式庫內附、可預測的產生器。其後，它復原了介乎 1997 年 5 月至 1998 年 4 月之間日期所對應的時間戳記。

這個結果削弱了一項長期存在的懷疑。密碼學家曾質疑，NSA 是否在眾多可能的曲線中反覆搜尋，直至找到暗藏弱點的曲線。不過，這項發現並未重建每一項設計決策，而 Anthropic 亦是評估自家模型的利益相關方。

Claude NSA 曲線發現重建了五個種子

Claude 找到了一條可重現的路徑，將歷史時間戳記連繫至五個標準化 NIST 曲線種子。

Anthropic 在 2026 年 10 月 16 日於一份詳細的曲線來源報告中發表結果。公司表示，一名員工將這個公開難題交給其內部研究模型，並未特別強調主流理論。

該理論涉及一句被遺忘的幽默短句。NSA 數學家 Jerry Solinas 曾回憶，一個種子可能來自類似「Give Bob and Jerry a raise」的字詞。過去的調查者花了多年測試可能的短句和雜湊方法，卻一直找不到已發表的數值。

Claude 將這個問題視為軟件鑑證練習處理。它考慮到，1990 年代末期建立曲線的程式員大概會使用甚麼工具。這令搜尋重點從人類語言轉向常見的軟件函式庫。

該模型測試了 34 種舊式產生器組合，以及其輸出的不同切片方式。它注意到，多個種子部分的最高位元持續為零。Anthropic 計算，這個可見模式隨機出現的機率為 5,810 分之 1。

這項線索指向 lrand48，它是一種內部狀態為 48 位元的線性同餘產生器。線性同餘產生器會在每次輸出後套用相同的算術運算，產生可重複的數字序列。

模型其後從已發表的數值逆向推算。對其中一組數值，它嘗試了全部 131,072 種、涉及 17 個隱藏位元的可能設定。連續輸出與預期序列相符。

質數曲線種子還需要額外一步，因為每個產生器輸出均被截斷。Claude 使用格約減，這是一種從局部數值資訊中復原結構的數學技術。

Anthropic 表示，五個 NIST 質數曲線種子與五個 ANSI X9.62 示例種子都呈現相同模式。每個復原的狀態都能重新產生完整的 160 位元種子，所提供的吻合程度遠強於表面相似。

Claude 亦將每個序列逐步倒推至與 srand48 相符的狀態；srand48 是用來初始化產生器的函式。每個復原的初始化均對應一個合理的 Unix 時間戳記，介乎 1997 年 5 月至 1998 年 4 月。

P-256 序列始於一個對應 1997 年 8 月 16 日的時間戳記。產生器在 1,842 個候選值後到達標準化種子。Anthropic 發表了簡短的重現程式碼，讓獨立研究人員可產生相同數值。

這種可重現性令結果有別於鬆散的歷史猜測。公開程式碼將具體日期、產生器及迭代次數，對應至完全相同的已發表種子。

不過，這仍未提供有關 NSA 內部情況的文件證明。沒有任何復原的原始碼、開發筆記或機構紀錄，確認原設計者確實遵循這個精確程序。

這些證據屬於計算層面而非檔案層面。它顯示一個簡單且在歷史上合理的程序，能夠準確產生這些數字。這令巧合作為另一種解釋變得極難成立。

為何來源不明的 NIST 曲線種子引起懷疑

令人憂慮的從來不是種子保密，而是其來歷未獲解釋，為隱藏影響留下空間。

橢圓曲線密碼學使用數學曲線支援簽名、密鑰交換及其他安全操作。其安全性部分取決於困難的數學問題，部分則取決於可信的公開參數。

NIST 於 2000 年透過其數碼簽名標準 FIPS 186-2，採納了一組由 NSA 提供的曲線。規格公開了種子數值，卻沒有說明這些數值從何而來。

種子有助導出曲線公開方程式的一部分。公布種子可以支持「nothing up my sleeve」的論點，即設計者並未任意操控每一個參數。

這種保證有賴於知道種子本身如何選出。沒有記錄在案的程序，觀察者便無法排除設計者反覆嘗試、以取得偏好曲線的可能性。

密碼學家 Neal Koblitz 與 Alfred Menezes 在其 2015 年的謎團論文中研究了這個問題。他們的分析將曲線爭議置於更廣泛、有關透明度、信任及政府設計標準的辯論之中。

在披露 Dual EC DRBG 的相關情況後，懷疑進一步加深。這是另一個與 NSA 有關聯的隨機數產生器。研究人員曾警告，其來源不明的常數可能在特定條件下支援後門。

NIST 最終撤回對 Dual EC 的推薦，並發表修訂後的 Dual EC 指引。該事件並未證明標準化橢圓曲線存在類似弱點。

但它顯示，來源不明的參數值得仔細審視。一個擁有非凡密碼分析專業知識的政府機構，同時亦肩負情報任務，而這些任務鼓勵其取得受保護通訊的存取權。

因此，缺失的來源說明具有制度層面的份量。使用者必須信任由一個可從掌握他人未知弱點中獲益的機構所提供的曲線。

NIST 曲線種子從一開始已經公開。它們不是密碼、簽名金鑰或錢包秘密。其重要性來自它們可能揭示的設計歷史。

惡意設計者理論上可測試大量候選種子，剔除普通曲線，並發表一條具有微妙可利用特性的曲線。外部人士會看到形式上有效的種子，卻無從得知有多少替代方案曾被捨棄。

這正是故事核心中，承諾與透明度之間的衝突。標準制定程序提出了固定數字，卻未保留一份令人信服、可供公眾查核的選擇紀錄。

Steve Weis 與其他研究人員透過歷史調查及公開紀錄申請，追查這份缺失的紀錄。據報 NIST 沒有保留下來、可解決問題的文件，而 NSA 的回覆亦未能提供答案。

2023 年，密碼學工程師 Filippo Valsorda 與其他貢獻者為可重現的解釋設立了種子懸賞。如捐予慈善機構，獎金可高達 36,864 美元。

Jerry Solinas 在該年去世。他的離世令與這些數字關係最密切的人不再能夠作答，亦增加原始程序永久沒有文件記錄的可能性。

Claude 的結果改變了這個情況，因為這些數字如今自行提供歷史證據。它們編碼了舊式產生器可辨識的特性，並可逆向追溯至合理的開發日期。

這並不能抹去標準制定程序的失誤。值得信賴的密碼學設計，不應需要數十年的逆向工程，才能確立其公開參數的來源。

Claude 如何跳出舊有假設

這項 AI 貢獻的重要之處不只在於原始計算能力，而在於改變了搜尋模型。

人類調查者從 Solinas 那裏承襲了一項令人難忘的線索。他們預期答案會是一句短語、一個雜湊函式，或兩者的組合。這項線索雖然縮小了搜尋範圍，卻同時令搜尋錨定於錯誤的敘事。

Anthropic 表示，其員工刻意避免引導 Claude 走向短語理論。模型轉而詢問，哪些軟件行為可能會在種子內留下可見痕跡。

這是一個有效的重新框定。舊式偽隨機產生器相當常見、具確定性，且弱得足以令其內部結構的部分特徵仍可被偵測。

據報 Claude 撰寫程式碼，在種子位元中滑動掃描，並將相鄰區塊與產生器輸出比較。這結合了假設生成、程式建立、數學分析及驗證。

它亦採用了既有技術，而非發明新的密碼學數學。暴力破解在一個案例中復原了小型隱藏狀態；格約減則在另一個案例中處理了截斷輸出。

因此，這項 Claude 密碼學發現更像是加速後的研究流程。模型提出一個合理機制、建立測試、排除替代方案，並核對精確輸出。

人類仍然擔當不可或缺的角色。一名 Anthropic 員工選定問題、提供背景、運行研究環境，並辨識出結果的重要性。

公司列出的團隊包括 John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini 及 Steve Weis。

結果亦依賴數十年的先前工作。研究人員記錄了來源不明的參數、保存歷史證詞、組織懸賞，並釐清有效解決方案所需符合的條件。

Claude 並非獨立發現這個重要謎團的存在。它進入的是一個經過仔細描述的問題，當中已有公開標準、已知目標數值、歷史線索及客觀的計算驗證方法。

即使如此，速度仍然重要。研究人員多年來一直知道目標，但這個替代產生器假設顯然此前未能完成整個重建。

Anthropic 引述該模型在找到吻合結果後，懷疑自己是否正在模擬中運作。它其後檢查機率及精確位元模式，才接受結果確實存在。

這種反應很有意思，但內部獨白並非最有力的證據。從產生器狀態到已發表數值的可重現對應關係，才構成技術層面的論據。

讀者亦應將此結果與 AI 自主解決高等數學的說法區分開來。Claude 將已知工具應用於一個範圍明確的鑑證問題，而其答案可透過機械方式核實。

這項限制不代表成就微不足道。科學工作往往在有人選對合適的抽象方式並高效測試時取得進展。

這項發現顯示，研究模型能夠探索一般技術中被忽略的組合。此類系統在檔案、程式碼、標準與數學交匯之處，可能尤其有用。

它們亦可能承襲提示中的錯誤假設。若該員工強調那句幽默短語，Claude 可能會重複相同、無效的搜尋路徑。

給研究團隊的啟示在於實務層面：當模型能夠提出競爭性假設、撰寫驗證程式碼，並面對可被證偽的目標時，表現會更好。

研究成果不應只留下一段令人印象深刻的文字記錄。它需要可重現的程式碼、明確指定的輸入、已記錄的環境，以及清楚界定尚未解決問題的範圍。

結果減輕後門疑慮，但未能證明設計完美無瑕

重建結果令蓄意操控種子的可能性較低，但並未認證 NIST 每一項曲線決策。

Anthropic 明確表示，這項發現不是密碼學突破、新型攻擊，或新發現的弱點。用戶毋須因這項發現而更換金鑰。

脆弱的 lrand48 產生器不適合用來生成私密加密金鑰。任何能估算其初始化時間的人，都可能重建其輸出。

但這並非此處發生的情況。NSA 提供的種子是用於推導公開曲線參數的公開輸入。它們的可預測性如今有助解釋其來源。

這項區別至關重要。當保密性依賴不可預測的輸出時，脆弱的產生器可能很危險；但當研究人員需要重建公開設計流程時，它亦可支持透明度。

Anthropic 認為，基於時間戳的序列為針對性植入後門留下較少空間。重建出來的流程看似例行生成，而非從無限多個隱藏選項中不透明地挑選。

不過，這項重建仍有幾個缺口。Claude 雖然配對了另外四個 NIST 二元曲線種子，卻未能找回 B-163 二元種子。

它亦未能解釋 P-224、P-256、P-384 或 P-521 的基點。基點是在生成橢圓曲線金鑰和簽名時所乘上的固定公開點。

Claude 的確將另外六個基點追溯至 FreeLIP 大整數函式庫中的一個產生器。其中包括 P-192，以及五條於 1997 年 5 月生成的 ANSI 範例曲線。

該模型找到了這些基點的小整數初始化值，亦重建出一個在生成候選座標前先捨棄七個輸出的流程。

然而，最受廣泛討論的曲線，其基點歷史仍未獲解答。這意味著「謎團已解」最適用於種子，而非每一項參數。

候選項目的選擇帶來另一項不確定性。P-256 使用了第 1,842 個候選項，但第 876 個候選項同樣產生了具備預期大小及構造的質數階曲線。

Anthropic 識別出在 P-224 和 ANSI 運行期間被略過的其他可行候選項。該公司不知道是選擇準則、實作行為，還是其他原因導致這些略過情況。

它認為針對性削弱並不可信，因為被略過的可行候選項相對不多。要實際搜尋罕見的秘密弱點，通常需要大得多的選擇自由度。

這個推論可信，但並非絕對。數值重建無法揭示已發表序列之前曾進行多少次完整運行。

它也無法確立設計者的意圖。時間戳和產生器狀態的配對顯示這些數值如何可以被重現，而非每項最終選擇背後的原因。

這正是獨立審查的重要所在。Anthropic 開發了 Claude、進行實驗、詮釋結果，並發表技術敘述。

其重現程式碼讓外界可以核對完全一致的種子配對。獨立密碼學家仍須檢視有關截斷、時間戳詮釋、候選準則及歷史合理性的假設。

因此，Claude 對 NSA 曲線的發現，比公司基準測試更有力。它產生的是可被證偽的技術成果，而非供應商自行設計的評測分數。

不過，最穩妥的結論仍比標題所暗示的更狹窄。Claude 為大部分目標種子及數個基點找到了令人信服且可重現的來源。

它並未證明每一條標準化曲線都不存在隱藏特性，也沒有追溯性地令原有文件記錄流程變得充分。

這項發現減少了一個重要類別的疑慮，但無法將缺失的歷史記錄轉化為完整的審計軌跡。

Bitcoin 並非本故事核心的曲線

Bitcoin 使用的是另一條橢圓曲線，因此 Claude 的發現既不會修復，也不會危及 Bitcoin 錢包。

Bitcoin 簽名依賴 secp256k1，而中央重建的 NIST 種子則屬於 P-256 及相關標準化曲線。這些名稱代表不同的參數集。

Secp256k1 使用極其簡單的常數。相較於係數源自未解釋種子的曲線，其設計留下較少可調整的數值。

這種簡潔性長期以來支持人們相信，其設計者並未在龐大的隱藏空間中搜尋秘密弱點。但這並不能全面防範實作錯誤或未來演算法。

Ethereum 亦使用 secp256k1 作帳戶簽名。Bitcoin 在其 2021 年 Taproot 升級引入 Schnorr 簽名時，仍沿用這條曲線。

CoinDesk 的報道影響正確地把 NIST 種子問題與 Bitcoin 的安全模型區分開來。兩者的共同線索是橢圓曲線密碼學，而非同一條曲線。

Claude 並未破解橢圓曲線私密金鑰。它是從公開數字中重建公開種子生成歷史。

歷史流程中出現 lrand48，並未令任何錢包餘額變得可存取。標準化種子從來不應被視為秘密。

若錢包開發者使用 lrand48 生成私密金鑰，將造成嚴重漏洞。這個獨立情況不應與生成公開設計參數混為一談。

這項發現對量子運算亦沒有任何決定性結論。具備足夠能力的容錯量子電腦可透過 Shor 演算法威脅橢圓曲線簽名。

這種攻擊針對的是公開與私密金鑰之間的數學關係，並不取決於曲線最初的種子如何選定。

目前沒有任何公開展示的量子電腦能以所需規模復原正在使用的 Bitcoin 金鑰。時間表仍不明朗，因為硬件仍須在規模、可靠性及錯誤修正方面提升。

眼前影響反而落在對標準化曲線的信任上。使用 P-256 的機構可將重建出的種子流程視為額外的歷史保證。

它們不應把結果當作停止規劃後量子遷移的理由。轉向抗量子標準，處理的是另一種威脅及另一條時間線。

這個故事亦為科技報道帶來警示。NSA、密碼學及 Bitcoin 等熟悉名稱，容易令參數歷史調查聽起來像正在發生的入侵事件。

實際事件更為細緻。AI 系統解開了一個舊有來源問題的部分謎團，而這個答案適度加強了人們對現有設計的信心。

沒有任何資料被解密。沒有區塊鏈遭入侵。沒有秘密政府金鑰被曝光。

這個較狹窄的結果仍然重要，因為安全標準不只取決於數學難度，也取決於外界能檢視和重現的流程。

當文件記錄失效，即使參數健全也會累積疑慮。Claude 協助找回了標準流程原本就應保留的證據。

三個訊號將顯示這是否會成為研究模式

下一項考驗，是獨立專家會否驗證該方法，以及類似的 AI 輔助發現能否在 Anthropic 以外站得住腳。

第一個訊號是獨立技術重現。密碼學家應重新運行已發表的程式碼、檢視復原的狀態，並測試是否有另一個合理流程可以解釋相同數值。

完全重現將強化核心發現。若發現隱藏假設或含糊的替代可能，則會收窄 Anthropic 的結論。

第二個訊號是未解參數的進展。B-163 仍未獲解釋，數個 NIST 基點及被略過候選曲線背後的準則亦然。

後續重建將顯示這種方法能否延伸至最容易辨認的模式以外。若持續未能成功，將更清楚界定 Claude 貢獻的邊界。

第三個訊號，是在不相關研究問題上的重複表現。一項矚目結果不足以證明 AI 系統能可靠地進行獨立數學或安全研究。

未來案例應包括由專家定義的驗證標準、完整的計算記錄及外部審查。最具說服力的工作，會產生讓專家毋須信任模型供應商也能質疑的成果。

Anthropic 的結果亦為標準制定機構提出實際問題。公開參數應附有透明的生成程序、原始碼、測試向量，以及保存下來的設計記錄。

這些要求可減少對機構聲譽的依賴，也可避免日後研究人員花上多年重建本應記錄下來的決策。

Anthropic 表示，36,864 美元獎金將捐贈予 Internet Security Research Group。該非牟利機構營運 Let’s Encrypt，提供廣泛使用的網站憑證。

這個獎項為發現帶來具體結局，但更大的意義在別處。AI 在舊軟件、歷史證詞和密碼學數學這個被忽略的交匯點中發現了價值。

這為開發者和研究團隊提供一個有用模式。模型可跨越程式碼、標準和存檔推理進行搜尋，而人類則定義證據門檻並檢視結論。

團隊應保留生成的假設、失敗路徑、腳本及驗證輸出。單憑一個潤飾完善的答案，無法區分真正的發現與看似自信的巧合。

Claude 的密碼學發現值得關注，因為外界可測試其核心主張。這比接受基準測試分數或戲劇性的模型文字記錄，有更高的標準。

未來一至三個月應會出現重現、批評及解釋剩餘參數的嘗試。這些回應將決定這項成就應被如何廣泛詮釋。

目前而言，Claude 對 NSA 曲線的發現解開了這個著名種子謎團的大部分，卻未解答每一個密碼學問題。請留意獨立審查、檢視重現程式碼，並觀察未解數值能否以同一方法得出答案。