Anthropic meldde op 16 oktober 2026 dat een intern Claude-onderzoeksmodel de oorsprong had gereconstrueerd van de seeds voor vijf NIST-priemcurves: P-192, P-224, P-256, P-384 en P-521. Volgens het bedrijf kwamen de seeds voort uit uitvoer van de pseudowillekeurige getallengenerator lrand48, die met Unix-tijdstempels was geïnitialiseerd. Claude vond de reconstructie volgens Anthropic in minder dan een halfuur. Anthropics onderzoek
Hoe de reconstructie werkt
De NSA leverde de seedparameters aan NIST zonder hun herkomst toe te lichten, schrijft Anthropic. De seeds dienen als invoer bij het genereren van elliptische krommen. Anthropic beschrijft hoe opeenvolgende kandidaten van 20 bytes werden getest aan de hand van de regels uit ANSI X9.62.
De onderzoekers herkenden volgens Anthropic een bitpatroon dat paste bij lrand48. Ze vergeleken 34 combinaties van generator en uitvoerbits en gebruikten onder meer LLL-lattice-reductie om de toestand van de generator terug te vinden uit afgekorte uitvoer. Anthropic meldt dat tien seeds voor priemcurves — vijf NIST-seeds en vijf voorbeelden uit ANSI X9.62 — overeenkomen met lrand48() >> 23. Met elke teruggevonden generatorstatus zijn volgens het bedrijf alle 160 seedbits opnieuw te genereren.
Anthropic noemt de generator lrand48; Filippo Valsorda beschrijft de verwante drand48-familie en de initialisatie met srand48. Valsorda meldde ook dat hij de methode in Go reproduceerde. Zijn technische verslag
De vijf gereconstrueerde tijdstempels
Anthropics gepubliceerde code vermeldt voor elke curve een gereconstrueerde tijdstempel en kandidaatpositie. De tijdstempels zijn uit de seedgegevens afgeleid; het zijn geen afzonderlijke archiefregistraties van de oorspronkelijke runs in de jaren negentig. Anthropics onderzoek
| NIST-curve | Gereconstrueerde tijdstempel (UTC) | Kandidaatnummer |
| P-192 | 18 mei 1997, 14:45:34 | 139 |
| P-224 | 3 april 1998, 12:52:07 | 7.026 |
| P-256 | 16 augustus 1997, 01:52:34 | 1.842 |
| P-384 | 30 augustus 1997, 14:50:08 | 2.688 |
| P-521 | 8 augustus 1997, 01:12:04 | 1.136 |
De curves kunnen worden gebruikt met ECDSA, maar zijn niet hetzelfde als het handtekeningalgoritme zelf. Anthropic zegt dat de reconstructie geen cryptografische doorbraak, nieuwe aanval of zwakte in ECDSA oplevert. Het bedrijf stelt dat de bevinding een opzettelijke achterdeur minder aannemelijk maakt. Anthropics beoordeling
Waarom sommige kandidaten werden overgeslagen
Valsorda beschrijft één afwijsregel: een kandidaat werd afgewezen als de bitlengte van de curveorde n groter was dan die van het veld p. Voor P-256 leverde kandidaat 876 volgens Anthropic ook een curve met een priemorde van de juiste grootte op; de gepubliceerde seed hoort bij kandidaat 1.842. Valsorda schrijft dat er ongeveer twee keer zoveel geldige seeds overblijven als er zijn gepubliceerd. Een ander selectiecriterium blijft volgens hem onverklaard. Valsorda’s verslag
Ook de seed voor B-163 en de oorsprong van de basispunten voor P-224, P-256, P-384, P-521 en de NIST-binaire krommen zijn in Anthropics verslag niet opgehelderd.
Valsorda meldde dat het Anthropic-team zijn bounty op 15 oktober 2026 claimde. De prijs bedroeg $36.864 en werd volgens hem aan de Internet Security Research Group (ISRG) geschonken. Valsorda’s verslag
