Claude desvela en media hora el origen de los parámetros seed de las curvas NIST ECDSA

El 16 de octubre de 2026, el equipo Frontier Red Team de Anthropic anunció que había resuelto una de las preguntas más antiguas de la criptografía aplicada. El modelo de investigación interno Claude determinó en menos de media hora cómo se obtuvieron los valores seed de 20 bytes de las curvas estándar NIST P-192, P-224, P-256, P-384 y P-521. No había ningún hash. El seed lo produjo el generador de números pseudoaleatorios lrand48 de la biblioteca C, inicializado con la hora Unix.

Veinte años sin explicación

ECDSA es el estándar más extendido de criptografía de curva elíptica. NIST lo adoptó en 2000 dentro de FIPS 186-2, junto con un conjunto de curvas estándar de distinta fortaleza. El coeficiente b de cada curva se determina a partir del hash de un seed publicado. Los seed los proporcionó la NSA, sin decir una palabra sobre su procedencia. Para P-256 es C49D3608 86E70493 6A6678E1 139D26B7 819F7E90.

La falta de explicaciones alimentó las sospechas: ¿se eligieron los parámetros para introducir un punto débil? Neal Koblitz y Alfred Menezes analizaron el asunto en el texto «A Riddle Wrapped in an Enigma». Algunos aficionados llegaron a ofrecer una recompensa a quien encontrara el origen de los seed.

La hipótesis más popular era la de la broma. En 2015, Jerry Solinas, veterano de la NSA, escribió que los seed probablemente se obtuvieron aplicando un hash a una frase del tipo «Give Bob and Jerry a raise», y además con algún contador. El código lo escribió Bob Reiter, pero no recordaba los detalles. No se encontraron archivos, y el propio Solinas murió en 2023.

Cómo Claude salió del callejón sin salida

Varios empleados de Anthropic ya habían intentado buscar el hash de esa frase y no habían encontrado nada. La hipótesis resultó ser falsa. En octubre de 2026, uno de ellos planteó al modelo interno una pregunta sin ninguna pista: ¿es posible averiguar cómo se generaron esos seed?

Claude partió del final y razonó cómo debía de funcionar el programa que creó las curvas. Supuso que usaba un generador de números pseudoaleatorios (PRNG) de las bibliotecas C de los años noventa. Esos generadores son tan débiles que su salida se puede reconocer y, una vez reconocida, es posible reconstruir también el estado inicial.

El modelo escribió un escáner que recorría cada seed bit a bit y comprobaba si los fragmentos contiguos eran salidas consecutivas de un generador de aquella época. En total se probaron 34 combinaciones de generador y cortes de la salida. Después, Claude detectó un patrón: en una parte de los seed, los bits más significativos eran cero. Si se escribe el seed como cinco palabras de 32 bits, en cuatro de los diez el bit más significativo es cero en las 20 palabras. La probabilidad de que ocurra por azar es de 1/5810. Esa es la firma del generador congruencial lineal lrand48.

Qué se encontró

Según la descripción de Anthropic, el algoritmo era así: el PRNG se inicializaba con la hora Unix t, después se hacían n iteraciones y en cada una se tomaban 20 bytes como candidato a seed. Los primeros 20 bytes eran el candidato 1, los siguientes el candidato 2, y así sucesivamente.

• Curvas afectadas: NIST P-192, P-224, P-256, P-384, P-521.
• Origen: lrand48 con seed en forma de hora Unix.
• Tamaño del candidato: 20 bytes por iteración.
• P-256: 1842 iteraciones hasta el seed estándar.
• Tiempo de trabajo del modelo: menos de media hora.
• Hipótesis del hash de una frase en broma: no se confirmó.

Conclusión práctica

Anthropic afirma explícitamente que no se trata de una rotura criptográfica, ni de un nuevo ataque, ni de una debilidad en las curvas. No se requiere ninguna acción de desarrolladores ni administradores: la mayoría de los investigadores ya confiaba en estas curvas. No hace falta cambiar bibliotecas, configuraciones de TLS ni esquemas de firma por esta noticia.

Para valorar la confianza, el resultado juega a favor. Los seed se obtuvieron de forma sencilla, con un PRNG común arrancado desde el reloj, y ahora cualquiera puede reproducirlo. Queda mucho menos margen para un ajuste oculto de los parámetros que con la versión del misterioso hash.

Conviene recordar aparte el método en sí. El modelo no buscó confirmación para la leyenda conocida, sino que reconstruyó el panorama a partir de las limitaciones técnicas de la época y encontró una huella estadística. Para auditar estándares antiguos cuya documentación se ha perdido, es una plantilla útil: primero, una hipótesis sobre cómo pudo ser la herramienta; después, la comprobación con los rastros que quedan en los datos.