Anthropic ha pubblicato il 16 ottobre 2026 una ricostruzione secondo cui un modello di ricerca interno di Claude ha ricondotto i semi di cinque curve prime NIST a output del generatore pseudocasuale lrand48, inizializzato con timestamp Unix. L’azienda afferma che il modello ha trovato la corrispondenza in meno di mezz’ora e che il risultato non è una nuova debolezza di ECDSA: riguarda l’origine dei parametri delle curve, non una violazione delle firme digitali. Anthropic
Come Anthropic ricostruisce i semi
Secondo Anthropic, il generatore veniva inizializzato con un timestamp e produceva sequenze usate per formare candidati da 20 byte. Ogni candidato veniva verificato secondo le regole di generazione delle curve ANSI X9.62. La ricostruzione individua l’output lrand48() >> 23 per cinque semi NIST e cinque esempi ANSI X9.62; per ciascuno dei dieci semi, lo stato recuperato del generatore riproduce tutti i 160 bit.
Filippo Valsorda ha riferito di aver riprodotto il processo con un’implementazione in Go. Descrivendo la stessa famiglia di generatori, usa i nomi drand48 e srand48, mentre Anthropic indica lrand48. Valsorda ha anche riferito che il gruppo di Anthropic ha reclamato la sua ricompensa il 15 ottobre 2026 e che il premio, portato a 36.864 dollari, è stato donato all’Internet Security Research Group (ISRG). Filippo Valsorda
I timestamp e i candidati delle cinque curve
Il codice pubblicato da Anthropic associa a ogni curva un timestamp di inizializzazione ricostruito e la posizione del seme tra i candidati esaminati.
| Curva NIST | Timestamp UTC ricostruito | Posizione del candidato |
| P-192 | 1997-05-18 14:45:34 UTC | 139 |
| P-224 | 1998-04-03 12:52:07 UTC | 7.026 |
| P-256 | 1997-08-16 01:52:34 UTC | 1.842 |
| P-384 | 1997-08-30 14:50:08 UTC | 2.688 |
| P-521 | 1997-08-08 01:12:04 UTC | 1.136 |
Questi valori rendono visibile il risultato curva per curva: P-256 è una delle cinque ricostruzioni, non l’unico caso individuato.
Che cosa implica per la sicurezza di ECDSA
Anthropic afferma che la ricostruzione non è una rottura crittografica, un nuovo attacco o una debolezza di ECDSA. L’azienda sostiene inoltre che l’origine ricostruita rende meno plausibile l’ipotesi di una scelta intenzionalmente manipolata dei semi. Le curve NIST in questione possono essere usate con ECDSA, ma la provenienza dei loro parametri e l’algoritmo di firma ECDSA sono aspetti distinti.
Perché alcuni candidati furono scartati
Per P-256, Anthropic segnala anche il candidato 876, che genera una curva di ordine primo della dimensione corretta; il seme pubblicato corrisponde invece al candidato 1.842. Valsorda riferisce una regola di scarto: escludere i candidati quando la lunghezza in bit dell’ordine della curva, indicato con n, supera quella del campo, indicato con p. Secondo Valsorda, resta circa il doppio dei semi validi rispetto a quelli pubblicati e un ulteriore criterio di selezione non è chiarito. La ricostruzione dei semi, quindi, non spiega ogni scelta fatta durante la selezione delle curve.
