Claude podle Anthropicu odhalil původ výchozích čísel pěti křivek NIST
Anthropic 16. října zveřejnil, jak jeho výzkumný Claude určil původ výchozích čísel pro pět kryptografických křivek NIST. Hodnoty vznikly generátorem inicializovaným časem; výsledek neznamená prolomení elektronických podpisů.
Pět čísel zveřejněných ve standardu NIST z roku 2000 mělo dlouho nejasný původ. Sloužila jako výchozí hodnoty pro odvození parametrů matematických křivek, na nichž stojí elektronické podpisy ECDSA. Nešlo o tajné klíče uživatelů. Otázka zněla, proč americká agentura NSA dodala právě tato čísla a jak je vybrala.
Kryptograf Filippo Valsorda proto v říjnu 2023 vyhlásil odměnu za vysvětlení jejich původu. Postupně dosáhla 12 288 dolarů, při darování charitě trojnásobku, tedy 36 864 dolarů. Zadání obsahovalo hodnoty pro křivky P-192, P-224, P-256, P-384 a P-521. Tehdejší pátrání vycházelo ze vzpomínek, podle nichž za čísly mohl být otisk žertovné anglické věty.
Claude hledal stopu starého generátoru
Rozbor Anthropicu z 16. října 2026 popisuje jiný postup. Zaměstnanec firmy předložil otázku internímu výzkumnému modelu bez nápovědy o anglické větě. Claude zkoumal, zda čísla nenesou stopu některého z generátorů pseudonáhodných čísel běžných v knihovnách jazyka C v devadesátých letech. Takový generátor vytváří z počátečního stavu opakovatelnou řadu hodnot.
Stopu poskytly jiné křivky z téže skupiny standardů. V některých jejich hodnotách byly při rozdělení na 32bitová slova nejvyšší bity soustavně nulové. To odpovídalo funkci lrand48, která vrací pouze 31 bitů. U pěti hlavních křivek model následně našel tentýž generátor, jen s jiným výběrem bitů z jeho výstupu.
Počáteční stav odpovídal unixovému času, tedy počtu sekund od začátku roku 1970. Zrekonstruované časy pěti křivek spadají mezi květen 1997 a duben 1998. Pro P-256 uvádí Anthropic 16. srpen 1997 v 01.52.34 UTC a 1 842. dvacetibajtového kandidáta z vygenerované řady.
Shodu čísel lze ověřit bez modelu
Firma zveřejnila krátký reprodukční program. Vezme uvedený čas, obnoví stav generátoru a projde řadu až ke konkrétnímu kandidátovi. Tento postup jsme spustili pro všech pět křivek a výsledky porovnali s hodnotami, které Valsorda zveřejnil už v zadání odměny. Všech pět se shodovalo v celé délce.
Kontrola dokládá, že popsaný recept opravdu vyrobí hledaná veřejná čísla. Neověřuje historii rozhovoru s Claudem ani to, jak by si se stejným zadáním poradil jiný model. Anthropic konkrétní veřejnou verzi Clauda nepojmenoval; popisuje interní výzkumný model. Oznámení proto nelze číst jako výsledek srovnávacího testu běžně dostupných chatbotů.
Slabý generátor neznamená prolomené podpisy
Podstatný je rozdíl mezi původem veřejných parametrů a tajemstvím potřebným k podepisování. Generátor tu pomohl vybrat společná čísla standardu. Nález neodhaluje soukromé klíče a podle Anthropicu nepřináší nový útok ani důvod měnit používání ECDSA.
Obavy z úmyslně oslabených křivek odmítal Valsorda už při vyhlášení odměny. Upozorňoval přitom, že nalezení původu výchozích hodnot samo o sobě nedává úplnou záruku, že při výběru nebyl prostor pro jiná rozhodnutí. Nový rozbor k tomu přidává konkrétní omezení: některé použitelné kandidáty původní program přeskočil a tým neví proč.
Část původu zůstává nevysvětlená
U P-256 podle Anthropicu vyhovoval i dřívější kandidát s pořadovým číslem 876, ale standard použil až kandidáta 1 842. Firma nezná tehdejší dodatečná kritéria a připouští i nezáměrný účinek programu. Počet přeskočených možností považuje za příliš malý na věrohodné hledání zvlášť oslabených křivek. To je její bezpečnostní hodnocení, nikoli důsledek samotné shody čísel.
Nepodařilo se objasnit ani výchozí hodnotu jiné křivky B-163. Otevřený zůstává původ základních bodů P-224, P-256, P-384 a P-521, tedy dalších parametrů používaných při výpočtech s křivkou. Anthropic oznámil, že odměna 36 864 dolarů připadne organizaci Internet Security Research Group. Nalezený postup tak uzavírá konkrétní část pátrání; úplný záznam tehdejšího výběru nenahrazuje.