In een verslag dat Anthropic op 16 oktober 2026 publiceerde, meldt het bedrijf dat Claude de seeds van vijf NIST-priemveldcurves heeft teruggevoerd op uitvoer van lrand48, een pseudowillekeurige generator die met Unix-tijdstempels was geïnitialiseerd. Anthropic zegt dat het de reconstructie met code kan reproduceren en dat de bevinding geen cryptografische doorbraak of nieuwe zwakte is. Het onderzoeksverslag van Anthropic gaat over de herkomst van geselecteerde curveparameters, niet over een nieuwe aanval op ECDSA.

Vijf NIST-seeds en een generator uit de C-bibliotheek

De vijf onderzochte curves zijn P-192, P-224, P-256, P-384 en P-521. Volgens Anthropic bestond elke kandidaat-seed uit 20 bytes, opgebouwd uit uitvoer van lrand48() >> 23. De bijbehorende initialisatietijdstempels vallen volgens de reproductiecode tussen mei 1997 en april 1998.

Anthropic meldt ook hetzelfde patroon te hebben gevonden bij vijf voorbeeldseeds uit ANSI X9.62. Het verslag schrijft de vondst toe aan Claude, dat de herkomst volgens Anthropic in minder dan een halfuur achterhaalde.

ECDSA is een algoritme, geen curvefamilie

ECDSA is een algoritme voor digitale handtekeningen; NIST P-curves zijn wiskundige parameters die ermee kunnen worden gebruikt. De twee termen betekenen dus niet hetzelfde. In een toelichting op r/cryptography merkt commenter bascule op dat ECDSA ook met niet-NIST-curves kan worden gebruikt. NIST beschrijft elliptische-curvesystemen en curvekeuzes in SP 800-186.

De herkomstbevinding gaat daarmee over vijf specifieke NIST-seeds, niet over iedere curve of elke implementatie van ECDSA.

P-256: kandidaat 876 vóór de gepubliceerde kandidaat 1.842

Anthropic meldt dat kandidaat 876 voor P-256 eveneens een bruikbare priemordecurve van de relevante grootte opleverde met de gebruikte methode voor parametergeneratie. De gepubliceerde P-256-seed stond op kandidaat 1.842. Anthropic zegt niet te weten waarom kandidaat 876 werd overgeslagen.

Zes basepoints gereconstrueerd; andere herkomsten blijven onopgelost

Anthropic zegt ook de generatie van zes basepoints te hebben gereconstrueerd: die van P-192 en vijf voorbeeldcurves uit ANSI X9.62. De beschreven methode gebruikt FreeLIP: na initialisatie met een klein getal worden zeven uitvoerwaarden overgeslagen. Daarna worden kandidaat-x-coördinaten gevormd uit 26-bits uitvoer, teruggebracht modulo p, totdat een coördinaat op de curve ligt.

De seed van de binaire curve B-163 blijft volgens Anthropic onverklaard. Hetzelfde geldt voor de basepoints van P-224, P-256, P-384, P-521 en de NIST-binaire curves.

Anthropic stelt dat de bevinding geen cryptografische doorbraak, nieuwe aanval of zwakte in ECDSA is en dat gebruikers niets hoeven te doen.