16 października 2026 r. zespół Frontier Red Team Anthropic opisał, jak wewnętrzny model badawczy Claude odtworzył pochodzenie ziaren pięciu krzywych NIST: P-192, P-224, P-256, P-384 i P-521. Według raportu Anthropic model powiązał je z wyjściami generatora lrand48, inicjalizowanego znacznikami czasu Unix, a do wyniku doszedł w mniej niż pół godziny. Filippo Valsorda podał, że dzień wcześniej zespół odebrał jego nagrodę za rozwiązanie zagadki; zwycięzcy przekazali 36 864 dolary na rzecz ISRG, organizacji prowadzącej Let’s Encrypt (relacja Valsordy).
Chodzi o pochodzenie parametrów krzywych przekazanych NIST przez NSA, nie o złamanie algorytmu podpisu ECDSA. Anthropic opisuje proces, w którym kolejne ziarna-kandydaci, każde o długości 20 bajtów, sprawdzano według reguł generowania krzywych ANSI X9.62.
Pięć odtworzonych uruchomień generatora
Opublikowany przez Anthropic kod podaje dla każdej krzywej zrekonstruowany czas inicjalizacji generatora i numer kandydata. Są to wyniki rekonstrukcji, a nie osobne archiwalne zapisy przebiegów z lat 90.
| Krzywa NIST | Zrekonstruowany czas inicjalizacji (UTC) | Numer kandydata |
| P-192 | 1997-05-18 14:45:34 | 139 |
| P-224 | 1998-04-03 12:52:07 | 7 026 |
| P-256 | 1997-08-16 01:52:34 | 1 842 |
| P-384 | 1997-08-30 14:50:08 | 2 688 |
| P-521 | 1997-08-08 01:12:04 | 1 136 |
lrand48 to generator pseudolosowy z rodziny funkcji POSIX. Rekonstrukcja wiąże jego stan z historycznym znacznikiem czasu, a następnie odtwarza kolejne fragmenty wyjścia składające się na ziarno. Filippo Valsorda opisał własną implementację algorytmu w Go; to on, a nie Anthropic, podał szczegóły tej reimplementacji w swojej relacji.
Co wynik mówi o bezpieczeństwie ECDSA
Anthropic ocenił, że rekonstrukcja nie jest złamaniem kryptografii, nowym atakiem ani wykrytą słabością ECDSA. Zdaniem firmy odtworzenie pochodzenia ziaren czyni mniej prawdopodobną teorię, że krzywe celowo osłabiono. ECDSA jest algorytmem podpisu cyfrowego, a krzywe NIST to konkretne parametry matematyczne, z których można korzystać przy jego użyciu. Wniosek o pochodzeniu tych ziaren nie rozstrzyga każdej możliwej słabości kryptograficznej.
Dlaczego pominięto część kandydatów
Rekonstrukcja nie wyjaśniła w pełni, dlaczego wybrano opublikowane ziarna, skoro inne kandydatury również spełniały część kryteriów. Filippo Valsorda wskazał jedną regułę selekcji: kandydat odpadał, gdy długość bitowa rzędu krzywej n była większa niż długość bitowa ciała p. Podkreślił, że nie jest to to samo co warunek n < p.
Anthropic wskazał, że dla P-256 także kandydat 876 dawał krzywą o rzędzie pierwszym właściwego rozmiaru, podczas gdy opublikowane ziarno odpowiada kandydatowi 1 842. Valsorda oszacował, że po uwzględnieniu znanej reguły pozostaje mniej więcej dwa razy więcej prawidłowych ziaren, niż opublikowano, i zaznaczył, że kolejne kryterium wyboru pozostaje niewyjaśnione.
