Claude NSA 曲线发现解开 25 年谜团，但并非所有问题都有答案

Claude 将五个来源不明、由 NSA 提供的数字追溯到一个 20 世纪 90 年代的随机数生成器，解开了一桩持续约 25 年的密码学谜团。Claude 对 NSA 曲线的发现并未揭示加密已被攻破，也没有发现新的攻击方式。相反，它重建了这些重要参数可能是如何生成的。

Anthropic 表示，其内部研究模型在不到 30 分钟内得出了这一结果。该模型将公开的 NIST 曲线种子与 lrand48 联系起来；后者是较早期 C 软件库中包含的一个可预测生成器。随后，它还原出了对应于 1997 年 5 月至 1998 年 4 月之间日期的时间戳。

这一结果削弱了一项长期存在的怀疑。密码学家曾质疑，NSA 是否遍历了许多可能的曲线，直到找到暗藏漏洞的曲线。不过，这项发现并未重建每一项设计决策，而且 Anthropic 仍是评估自身模型的利益相关方。

Claude 对 NSA 曲线的发现重建了五个种子

Claude 找到了一条可复现的路径，可从历史时间戳推导出五个标准化 NIST 曲线种子。

Anthropic 于 2026 年 10 月 16 日在一份详细的曲线起源报告中公布了这一结果。该公司称，一名员工将这个开放问题交给其内部研究模型时，并未强调主流理论。

这一理论涉及一句被遗忘的幽默短语。NSA 数学家 Jerry Solinas 曾回忆，某个种子可能来自类似“Give Bob and Jerry a raise”的文字。此前的调查者花费多年测试各种可能的短语和哈希方法，却始终未能找到已公布的数值。

Claude 将这一问题作为软件取证任务处理。它考虑的是，20 世纪 90 年代末创建曲线的程序员可能会使用哪些工具。这使搜索从人类语言转向了常见的软件库。

该模型测试了 34 种旧式生成器及其输出不同片段的组合。它注意到，多个种子部分内容中的最高位始终为零。Anthropic 计算认为，这一可见模式随机出现的概率为 5,810 分之一。

这一线索指向了 lrand48，这是一种内部状态为 48 位的线性同余生成器。线性同余生成器通过在每次输出后应用相同的算术运算，生成可重复的数字序列。

随后，该模型从已公布的数值逆向推导。对于其中一组，它尝试了 17 个隐藏位的全部 131,072 种可能设置。连续输出与预期序列相符。

素数曲线种子还需要额外一步，因为每次生成器输出都被截断了。Claude 使用了格约简，这是一种可从部分数值信息中恢复结构的数学技术。

Anthropic 表示，五个 NIST 素数曲线种子和五个 ANSI X9.62 示例种子呈现出相同模式。每个恢复出的状态都重新生成了完整的 160 位种子，提供的匹配证据远强于表面相似性。

Claude 还将每个序列向后推演到与 srand48 一致的状态，srand48 是用于初始化该生成器的函数。每个恢复出的初始化值均对应于 1997 年 5 月至 1998 年 4 月之间一个合理的 Unix 时间戳。

P-256 序列始于对应 1997 年 8 月 16 日的时间戳。生成器在经过 1,842 个候选值后得到了标准化种子。Anthropic 发布了简短的复现代码，供独立研究人员生成相同数值。

这种可复现性使该结果区别于宽泛的历史猜测。公开代码将具体日期、生成器和迭代次数映射到完全一致的已公布种子。

不过，它仍未提供 NSA 内部究竟发生过什么的文献证明。没有恢复出的源代码、开发笔记或机构档案能够确认原始设计者严格遵循了这一流程。

这里的证据是计算性的，而非档案性的。它表明，一个简单且符合历史背景的过程能够精确生成这些数字。这使“纯属巧合”成为替代解释的可能性极低。

为何来源不明的 NIST 曲线种子引发怀疑

人们担忧的从来不是种子本身是否保密，而是其选择过程缺乏解释，为隐藏影响留下了空间。

椭圆曲线密码学利用数学曲线支持签名、密钥交换及其他安全操作。其安全性一部分依赖于困难的数学问题，另一部分则依赖于可信的公开参数。

NIST 在 2000 年通过其数字签名标准 FIPS 186-2 采用了一组由 NSA 提供的曲线。该规范公布了种子值，但没有说明这些值的来源。

种子有助于推导曲线公开方程的一部分。公布种子可支持“nothing up my sleeve”论证，即设计者并未随意操纵每一个参数。

这种保证取决于人们是否知道种子本身是如何选定的。若没有记录在案的流程，观察者就无法排除通过反复试验来获得偏好曲线的可能性。

密码学家 Neal Koblitz 和 Alfred Menezes 在其 2015 年的谜题论文中研究了这一问题。他们的分析将曲线争议置于有关透明度、信任和政府设计标准的更广泛讨论之中。

在有关 Dual EC DRBG 的披露出现后，怀疑进一步加深。Dual EC DRBG 是另一种与 NSA 有关联的随机数生成器。研究人员曾警告，其来源不明的常量在特定条件下可能支持后门。

NIST 最终撤回了对 Dual EC 的推荐，并发布了修订后的 Dual EC 指引。这一事件并未证明标准化椭圆曲线中存在类似弱点。

但它说明了为什么来源不明的参数值得审查。一个拥有非凡密码分析能力的政府机构，同时也承担着有助于获取受保护通信内容的情报任务。

因此，缺失的起源故事带有制度层面的分量。用户不得不信任由一个可能从掌握他人无法获得的弱点中受益的机构提供的曲线。

NIST 曲线种子从一开始就是公开的。它们不是密码、签名密钥或钱包密钥。它们的重要性来自其可能揭示的设计历史。

理论上，恶意设计者可以测试大量候选种子，舍弃普通曲线，并公布一条具有微妙可利用属性的曲线。外部人士会看到一个形式上有效的种子，却不知道有多少替代方案曾被舍弃。

这正是该故事核心的承诺与透明度冲突。标准制定过程给出了固定数字，却未能保留一份令人信服、可供公众查验的选择过程记录。

Steve Weis 和其他研究人员通过历史调查与公开记录请求追寻这份缺失的记录。据报道，NIST 没有留存能解答该问题的文件，而 NSA 的回应也未能给出答案。

2023 年，密码学工程师 Filippo Valsorda 及贡献者为可复现的解释设立了一项种子悬赏。如果捐给慈善机构，奖金最高可达 36,864 美元。

Jerry Solinas 于当年去世。他的离世带走了与这些数字关系最密切的人，使原始流程永久缺乏文档记录的可能性进一步增加。

Claude 的结果改变了这一局面，因为这些数字如今提供了自身的历史证据。它们编码了一个旧生成器可辨认的特性，并可反向推导至合理的开发日期。

这并未抹去标准制定流程的失败。可信的密码学设计不应需要数十年的逆向工程，才能确定其公开参数的来源。

Claude 如何跳出旧有假设

重要的 AI 贡献并不只是原始计算能力，还在于改变了搜索模型。

人类调查者从 Solinas 那里继承了一条令人印象深刻的线索。他们预期答案是一句短语、一个哈希函数，或两者的结合。这条线索既缩小了搜索范围，也将搜索锚定在一个错误的故事上。

Anthropic 表示，其员工有意避免引导 Claude 走向短语理论。该模型转而询问，哪些软件行为可能会在种子内部留下可见痕迹。

这是一种富有成效的重新框定。旧式伪随机生成器曾很常见，具有确定性，而且足够脆弱，以至于其内部结构的一部分仍可能被检测出来。

据报道，Claude 编写了代码，在种子位中滑动扫描，并将相邻片段与生成器输出进行比较。这一过程结合了假设生成、程序创建、数学分析和验证。

它采用的也是既有技术，而非发明新的密码学数学方法。在一种情况下，暴力破解恢复了较小的隐藏状态；在另一种情况下，格约简处理了截断输出。

因此，这项 Claude 密码学发现更像是一套加速的研究工作流。该模型提出了一个合理机制，构建测试，排除替代解释，并核验精确输出。

人类仍扮演了关键角色。一名 Anthropic 员工选择问题、提供背景、运行研究环境，并识别出该结果的重要性。

该公司列出的团队成员包括 John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini 和 Steve Weis。

这一结果也依赖数十年的既有工作。研究人员记录了来源不明的参数，保存了历史证词，组织了悬赏，并明确了有效解决方案应满足的条件。

Claude 并非独立发现存在一桩重要谜团。它进入的是一个经过仔细描述的问题，已有公开标准、已知目标值、历史线索和客观的计算验证标准。

即便如此，其速度依然重要。研究人员多年来一直知道目标，但替代生成器的假设显然此前并未产生完整重建。

Anthropic 引述该模型的话称，在发现匹配结果后，它曾怀疑自己是否身处模拟之中。之后，它在接受结果真实之前检查了概率和精确位模式。

这种反应很有意思，但内部独白并非最有力的证据。从生成器状态到已公布数值的可复现映射，才构成技术层面的论据。

读者还应将这一结果与“AI 自主解决高等数学”的说法区分开来。Claude 是将已知工具应用于一个范围明确、答案可被机械验证的取证问题。

这一限制并不意味着该成就微不足道。科学工作往往在有人选择正确抽象并高效检验它时取得进展。

这项发现表明，研究模型可以搜索被忽视的常规技术组合。这类系统在档案、代码、标准与数学交汇的领域可能尤其有用。

它们也可能继承提示词中的错误假设。若该员工强调了那句幽默短语，Claude 可能会重复同一条没有产出的搜索路径。

对研究团队而言，这一教训具有操作意义。当模型能够生成相互竞争的假设、编写验证代码，并面对可证伪的目标时，其表现会更好。

一项研究成果不应只留下令人印象深刻的文字记录。它还需要可复现的代码、明确的输入、记录在案的环境，以及对尚未解决问题的清晰边界。

这一结果缓解了后门担忧，但并未证明设计完美无缺

这项重建使蓄意操纵种子的可能性变得更低，但并不能证明 NIST 对每条曲线的决定都毫无问题。

Anthropic 明确表示，这一发现并非密码学破解、新型攻击，也不是新发现的弱点。用户无需因此发现而更换密钥。

较弱的 lrand48 生成器不适合用于生成私有加密密钥。任何能够估算其初始化时间的人，都可能重建其输出。

但这里发生的并非这种情况。NSA 提供的种子是用于推导公开曲线参数的公开输入。它们的可预测性如今反而有助于解释其来源。

这一区别至关重要。当安全性依赖于输出的不可预测性时，弱生成器可能造成危险；而当研究人员需要重建公开设计流程时，它则可以促进透明度。

Anthropic 认为，基于时间戳的序列为针对性植入后门留下的空间更小。恢复出的流程看起来像是常规生成，而不是从数量无限、隐藏的备选方案中进行不透明筛选。

不过，这项重建仍存在若干缺口。尽管 Claude 匹配了另外四个 NIST 二进制曲线种子，但未能恢复 B-163 二进制种子。

它也未能解释 P-224、P-256、P-384 或 P-521 的基点。基点是在生成椭圆曲线密钥和签名时所乘的固定公开点。

Claude 确实将另外六个基点追溯至 FreeLIP 长整数库中的一个生成器。其中包括 P-192，以及五条于 1997 年 5 月生成的 ANSI 示例曲线。

该模型发现了这些基点的小整数初始化值，还重建出一种在生成候选坐标前丢弃七个输出的过程。

然而，讨论最广泛的曲线仍保留着尚未解答的基点历史。因此，“谜团已解”这一说法最适用于种子，而非每一个参数。

候选曲线的选择带来了另一项不确定性。P-256 使用了候选项 1,842，但候选项 876 也生成了一条具有预期规模和构造的素数阶曲线。

Anthropic 识别出在 P-224 和 ANSI 运行期间被跳过的其他可行候选项。该公司尚不清楚是选择标准、实现行为还是其他原因导致了这些遗漏。

该公司认为，针对性弱化不太可能，因为被跳过的可行候选项相对较少。要实际搜索一种罕见的秘密弱点，通常需要大得多的选择自由度。

这一推理可信，但并非绝对。数值重建无法揭示在已发布序列之前究竟发生过多少次完整运行。

它也无法确定设计者的意图。匹配时间戳和生成器状态只能说明这些数值如何能够被复现，而不能解释每项最终选择的原因。

这正是独立审查的重要所在。Anthropic 开发了 Claude，进行了实验，解读了结果，并发布了技术叙述。

其复现代码使外部人士能够核查精确的种子匹配。独立密码学家仍须审查与截断、时间戳解读、候选标准及历史合理性相关的假设。

因此，Claude 对 NSA 曲线的发现比公司基准测试更有说服力。它产出的是可证伪的技术成果，而非供应商自行设计的评估中的分数。

不过，最稳妥的结论仍比标题所暗示的更为有限。Claude 为大多数目标种子和若干基点找到了有力且可复现的来源。

它并未证明每一条标准化曲线中都不存在隐藏属性。它也没有追溯性地使原始文档流程变得充分。

这一发现降低了一类重要怀疑。但它无法将缺失的历史记录变成完整的审计线索。

Bitcoin 并非这一故事的核心曲线

Bitcoin 使用的是另一条椭圆曲线，因此 Claude 的发现既不会修复，也不会危及 Bitcoin 钱包。

Bitcoin 签名依赖 secp256k1，而核心重建出的 NIST 种子属于 P-256 及相关标准化曲线。这些名称描述的是不同的参数集。

Secp256k1 使用了格外简单的常数。与系数源自未解释种子的曲线相比，它的设计中可调整的数值更少。

这种简洁性长期以来一直支撑着人们的信心：其设计者并未在庞大的隐藏空间中搜寻某种秘密弱点。但这并不能普遍防御实现漏洞或未来算法带来的风险。

Ethereum 也将 secp256k1 用于账户签名。Bitcoin 在 2021 年通过 Taproot 升级引入 Schnorr 签名时，保留了这条曲线。

CoinDesk 的报道影响正确地区分了 NIST 种子问题与 Bitcoin 的安全模型。两者的共同点是椭圆曲线密码学，而非同一条曲线。

Claude 并未破解椭圆曲线私钥。它是从公开数字中重建了公开种子生成的历史。

历史流程中出现 lrand48 并未让任何钱包余额变得可访问。标准化种子从未被设定为必须保密。

若钱包开发者使用 lrand48 生成私钥，将造成严重漏洞。这一独立情形不应与生成公开设计参数混为一谈。

这一发现对量子计算也没有决定性结论。一台能力足够的容错量子计算机可通过 Shor 算法威胁椭圆曲线签名。

这类攻击针对的是公钥与私钥之间的数学关系。它并不依赖于曲线原始种子如何被选择。

目前，没有公开展示的量子计算机能够以所需规模恢复正在使用的 Bitcoin 密钥。时间表仍不确定，因为硬件必须在规模、可靠性和纠错能力上取得进步。

其直接影响反而落在对标准化曲线的信任上。使用 P-256 的组织可以将重建出的种子流程视为额外的历史保障。

他们不应将这一结果视为暂停后量子规划的理由。向抗量子标准迁移应对的是不同威胁，也对应不同时间表。

这个故事也为科技报道提供了一项警示。NSA、密码学和 Bitcoin 等熟悉的名称，可能让一项参数历史调查听起来像是正在发生的入侵事件。

实际事件更为微妙。一个 AI 系统解决了一项长期来源问题的一部分，而这一解决方案适度增强了人们对现有设计的信心。

没有任何内容被解密。没有区块链遭到入侵。没有秘密政府密钥被曝光。

这一更为有限的结果很重要，因为安全标准依赖的不仅是数学难度。它们还依赖于外部人士能够检查和复现的流程。

当文档缺失时，即使参数本身可靠，也会积累怀疑。Claude 帮助恢复了本应从一开始就由标准流程保留的证据。

三个信号将表明这是否会成为一种研究模式

下一项考验在于，独立专家是否会验证这一方法，以及类似的 AI 辅助发现能否在 Anthropic 之外经受检验。

第一个信号是独立技术复现。密码学家应重新运行已发布的代码，检查恢复出的状态，并测试是否有另一种合理流程能够解释相同数值。

精确复现将增强核心发现的可信度。若发现隐藏假设或存在歧义的替代方案，则会缩小 Anthropic 的结论范围。

第二个信号是对未解决参数的进展。B-163 仍无法解释，若干 NIST 基点以及候选曲线被跳过背后的标准也是如此。

后续重建将表明，这一方法能否超越最容易观察到的模式。持续失败则会为 Claude 的贡献划定更清晰的边界。

第三个信号是在无关研究问题上的重复表现。一次引人注目的结果不足以证明 AI 系统能够可靠地开展独立的数学或安全研究。

未来案例应包括由专家定义的验证标准、完整的计算记录以及外部审查。最有说服力的工作将产出可供专家质疑的成果，而无需信任模型供应商。

Anthropic 的结果也为标准组织提出了一个实际问题。公开参数应附带透明的生成流程、源代码、测试向量和保存完好的设计记录。

这些要求能减少对机构声誉的依赖。它们也能避免未来研究人员花费数年时间重建本应记录在案的决策。

Anthropic 表示，36,864 美元赏金将捐赠给 Internet Security Research Group。该非营利组织运营 Let’s Encrypt，后者提供被广泛使用的网站证书。

这项奖励为发现提供了一个具体的结尾，但更大的意义在于其他方面。AI 在旧软件、历史证词和密码学数学这个被忽视的交汇点发现了价值。

这为开发者和研究团队提供了一种有益模式。模型可以在代码、标准和归档推理中搜索，而人类则定义证据门槛并审查结论。

团队应保留生成的假设、失败路径、脚本和验证输出。仅有一份润色完美的答案，无法区分真正的发现与自信的巧合。

Claude 的密码学发现值得关注，因为外部人士可以检验其核心主张。这比接受基准分数或戏剧化的模型文字记录具有更高标准。

未来一到三个月应会出现复现、批评以及解释剩余参数的尝试。这些回应将决定这一成就应被作多广泛的解读。

目前，Claude 对 NSA 曲线的发现解决了这桩著名种子谜团的大部分内容，却未能解答每一个密码学问题。关注独立审查，检查复现代码，并观察未解决的数值是否会以同样的方法得到解释。