In un articolo pubblicato il 16 ottobre 2026, Anthropic ha riferito che Claude ha ricondotto i seed di cinque curve NIST a campo primo a sequenze generate da lrand48, inizializzato con timestamp Unix. Anthropic afferma che il risultato non è una rottura crittografica né un nuovo attacco. Nel resoconto, l’azienda pubblica anche codice per riprodurre la ricostruzione.
Cinque seed collegati a lrand48
Le curve esaminate sono P-192, P-224, P-256, P-384 e P-521. Secondo Anthropic, ciascun seed candidato è formato da 20 byte ricavati dall’output di lrand48() >> 23; il generatore era inizializzato con un timestamp Unix. Nel codice di riproduzione, i timestamp associati alle curve a campo primo vanno da maggio 1997 ad aprile 1998.
Il resoconto tratta i seed, cioè i valori iniziali usati per generare i parametri, e i punti base come elementi distinti. In un filone separato, Anthropic riferisce di aver ricostruito il metodo di generazione di sei punti base con FreeLIP: quello di P-192 e quelli di cinque curve di esempio dello standard ANSI X9.62. Il procedimento descritto parte da un piccolo intero, scarta sette output e ricava coordinate x candidate da valori a 26 bit ridotti modulo p, finché ne trova una sulla curva.
ECDSA e curve NIST non sono la stessa cosa
ECDSA è un algoritmo di firma digitale basato sulla crittografia a curve ellittiche; le curve NIST sono parametri matematici che possono essere usati con quell’algoritmo. La distinzione è coerente con il contesto sulle curve ellittiche in NIST SP 800-186. L’utente bascule, in una discussione su r/cryptography, ha inoltre precisato che le curve NIST P esistono indipendentemente da ECDSA e che l’algoritmo può essere usato anche con curve non NIST (intervento di bascule). La ricostruzione riguarda quindi i parametri delle curve esaminate, non ogni possibile uso di ECDSA.
P-256: il candidato 876 e quello pubblicato
Per P-256, Anthropic colloca il seed pubblicato al candidato 1.842 nella sequenza ricostruita. Riferisce anche che il candidato 876 produceva una curva valida di ordine primo, con dimensioni e metodo di generazione pertinenti al confronto. Anthropic dice di non conoscere i criteri per cui fu scelto il candidato 1.842 invece del 876.
Altri casi restano senza origine ricostruita
Nell’analisi di Anthropic, il seed della curva binaria B-163 resta senza spiegazione. Lo stesso vale per i punti base di P-224, P-256, P-384 e P-521 e per quelli delle curve binarie NIST.
Anthropic afferma che il risultato non costituisce una rottura crittografica, un nuovo attacco o una nuova debolezza delle curve esaminate e che gli utenti non devono intraprendere alcuna azione.
