Claude 破解 25 年密码学悬案：NIST 曲线种子不是 NSA 后门，是时间戳加老式随机数

10 月 16 日，Anthropic 前沿红队博客发布了一项奇特的研究成果：Claude 解决了密码学界悬置 25 年的公案——NIST 标准椭圆曲线（ECDSA 所用的 P-192 到 P-521 系列）那几个神秘的「种子值」到底从哪来。HN 首页 648 分。

一桩 1998 年的悬案

1997-1998 年，NSA 的 Jerry Solinas 为 NIST FIPS 186-2 标准生成椭圆曲线参数时，提供了一批「随机」种子值，但没有留下生成方法记录。Solinas 2015 年公开表示「我们找不到那么久之前的存档」。由于种子来历不明，25 年来社区一直流传「后门假说」：这些值可能是某个保密口令的哈希——如果真是，NSA 理论上可能掌握特殊性质。

Claude 的解法：假设、扫描、格基规约

Claude 没有去追那个传说中的口令，而是换了思路——假设种子就是 90 年代最常见的 C 库随机数生成器 `lrand48`，种子是 Unix 时间戳。它写了一个扫描器测试种子位块与生成器连续输出的匹配，发现了一个标志性模式（输出高位被清零，偶然概率仅 1/5810），随后用 LLL 格基规约算法恢复被截断的 PRNG 内部状态，再反推回 srand48 的初始化时间戳——种子对应的生成日期落在 1997 年 5 月到 1998 年 4 月之间，与历史时间线完全吻合。素数曲线种子来自 lrand48() >> 23，二进制曲线则匹配同一生成器加减半的时间戳。全部复现均经计算验证。

结论：这些种子是「带时间戳的平凡 PRNG 输出」，不是口令哈希，更不是精心挑选的后门。Anthropic 明确表示后门假说「可信度大大降低」、曲线安全信心增强、「无需采取任何行动」。附带的 36,864 美元奖金捐给了互联网安全研究组。

对企业的启示

两件事值得记下。其一，如果你的安全团队近年因「NIST 曲线后门疑云」在选型时绕开过 P-256 等曲线，这份研究提供了更新的风险评估输入——主流曲线的回门担忧进一步降温（当然，研究也坦承部分候选曲线与基点来源仍未解释）。其二，注意这个研究的方法论本身就是信号：AI 不只是「辅助解题」，而是能提出假设-设计验证-使用高等数学工具的完整研究闭环。从数学开放问题（OpenAI 10/6）到密码学考古（本次），AI 做科研的边界正在以月为单位外扩。