Anthropic veröffentlichte am 16. Oktober 2026 einen Bericht, dem zufolge ein internes Claude-Forschungsmodell die Herkunft der Seeds von fünf NIST-Kurven auf Unix-Zeitstempel zurückführte, mit denen der Pseudozufallszahlengenerator lrand48 initialisiert worden war. Laut Anthropic dauerte die Rekonstruktion weniger als eine halbe Stunde.
Der Kryptograf Filippo Valsorda berichtete, Anthropics Team habe bereits am 15. Oktober 2026 seine Seed-Herkunfts-Bounty beansprucht. Die auf 36.864 US-Dollar angewachsene Prämie sei an die Internet Security Research Group (ISRG) gegangen, schrieb Valsorda.
Wie Claude die Seeds zurückverfolgte
Die Seeds waren 20 Byte lange Startwerte für die Erzeugung von Kurvenparametern nach ANSI X9.62. Anthropic zufolge setzte das Modell aufeinanderfolgende Ausgaben von lrand48 zu Kandidaten zusammen und prüfte diese anhand der Standardkriterien. Dabei untersuchte es 34 Kombinationen aus Generator und Ausgabebits und erkannte ein Muster in den jeweils führenden Bits. Für die Rekonstruktion des Generatorzustands aus gekürzten Ausgaben kam LLL-Gitterreduktion zum Einsatz.
Anthropic berichtete, dass sich insgesamt zehn Seeds für Primkurven auf Ausgaben von lrand48() >> 23 zurückführen ließen: fünf NIST- und fünf ANSI-X9.62-Beispiele. Jeder rekonstruierte Generatorzustand reproduzierte demnach alle 160 Bits des jeweiligen Seeds.
Die fünf rekonstruierten Zeitstempel
Anthropics veröffentlichter Code nennt für jede der fünf NIST-Primkurven einen rekonstruierten UTC-Zeitpunkt und die Position des zugehörigen Kandidaten. Die Werte reichen von Mai 1997 bis April 1998; sie sind Ergebnisse der Rekonstruktion.
| NIST-Kurve | Rekonstruierter UTC-Zeitstempel | Kandidatenposition |
| P-192 | 1997-05-18 14:45:34 UTC | 139 |
| P-224 | 1998-04-03 12:52:07 UTC | 7.026 |
| P-256 | 1997-08-16 01:52:34 UTC | 1.842 |
| P-384 | 1997-08-30 14:50:08 UTC | 2.688 |
| P-521 | 1997-08-08 01:12:04 UTC | 1.136 |
Was der Befund über ECDSA aussagt
ECDSA ist ein digitales Signaturverfahren; die Untersuchung betraf die Herkunft von Seeds für konkrete NIST-Kurven, die mit diesem Verfahren verwendet werden können. Anthropic bewertete die Rekonstruktion als weder kryptografischen Bruch noch neuen Angriff oder Schwäche von ECDSA. Nach Einschätzung des Unternehmens macht der Befund eine absichtliche Hintertür weniger plausibel.
Valsorda berichtete außerdem, den Generierungsprozess unabhängig in Go nachgebildet zu haben. Diese Reproduktion bestätigte für ihn den rekonstruierten Ablauf; die Sicherheitsbewertung des Befunds stammt von Anthropic.
Warum nicht alle Kandidaten ausgewählt wurden
Valsorda beschrieb ein Ablehnungskriterium: Ein Kandidat wurde demnach verworfen, wenn die Bitlänge der Kurvenordnung n größer war als die Bitlänge des Primfelds p. Für P-256 nennt Anthropic auch Kandidat 876 als weiteren Kandidaten, der eine Kurve mit einer Primordnung passender Größe ergab; der veröffentlichte Seed stammt laut Rekonstruktion von Kandidat 1.842.
Nach Valsordas Zählung blieben ungefähr doppelt so viele gültige Seeds übrig, wie veröffentlicht wurden. Eine weitere Auswahlregel blieb in seiner Darstellung ungeklärt. Auch Anthropic ließ die Gründe für übersprungene Kandidaten offen. Laut Anthropics Bericht waren zudem der Seed von B-163 sowie die Basispunkte von P-224, P-256, P-384, P-521 und den NIST-Binärkurven ungeklärt.
