Claude a retrouvé en une demi-heure l'origine des seed de cinq courbes NIST

Le 16 octobre, Anthropic a publié un résultat inhabituel. Un employé de l'entreprise a soumis à Claude, un modèle de recherche interne, une question que les cryptographes débattent depuis plus de vingt ans : comment ont été obtenues les valeurs initiales (seed) des cinq courbes elliptiques du NIST ? Aucun indice clé n'avait été donné. Le modèle y est parvenu en moins d'une demi-heure. Selon Jiqizhixin, les seed se reconstituent comme la sortie d'un ancien générateur de nombres pseudo-aléatoires issu d'une bibliothèque C.

Une vieille énigme du standard

Les courbes NIST (P-192, P-224, P-256, P-384 et P-521) ont été standardisées à la charnière de 1999–2000. Elles sous-tendent aujourd'hui TLS, les signatures et une part importante de la cryptographie d'entreprise. Les paramètres de chaque courbe sont dérivés d'un court seed par hachage. Les seed eux-mêmes sont publiés, mais le standard n'explique pas d'où ils viennent.

Pour la cryptographie, ce vide est gênant. Un seed doit être un nombre « sans particularité » ; sinon, on peut soupçonner qu'il a été choisi par essais successifs pour obtenir une courbe dotée d'une propriété voulue. Depuis l'affaire Dual_EC_DRBG, où l'on a soupçonné une porte dérobée liée à la NSA dans un standard du NIST, la méfiance envers l'origine des paramètres n'a fait que croître. En plus de vingt ans, aucune réponse publique n'a été apportée à la question des seed.

Ce qu'a fait Claude

D'après la description d'Anthropic, la tâche a été posée sans aucun indice sur l'étape clé. Le modèle a retracé la génération des cinq seed et montré que leur source est un générateur de nombres pseudo-aléatoires obsolète, issu d'une bibliothèque C. Cela répond à la question du « d'où », pas à celle du « pourquoi ».

Le fragment de document disponible ne donne pas les détails techniques complets. On ignore quelle implémentation précise du générateur a été identifiée, combien de candidats le modèle a testés et comment il est arrivé à la bonne classe d'algorithmes. Ces précisions sont à chercher dans la publication originale d'Anthropic.

Principaux paramètres de l'expérience :

• Objet : cinq seed de courbes NIST vieux de plus de 20 ans.
• Exécutant : un modèle de recherche interne de Claude, et non une version publique.
• Durée : moins de 30 minutes.
• Indices : aucune piste clé n'a été fournie.
• Conclusion : les seed sont issus d'un ancien générateur de nombres pseudo-aléatoires d'une bibliothèque C.

Comment lire ce résultat

Commençons par ce que cette annonce ne permet pas de conclure. L'origine des seed ne signifie ni que les courbes ont été cassées, ni que leurs mathématiques sont faibles. Elle concerne la procédure de choix des paramètres, pas la robustesse des schémas. Si les seed proviennent bien d'un générateur ordinaire, l'argument d'un choix délibéré en vue d'une propriété cachée s'affaiblit, mais il ne disparaît pas formellement. Les conclusions reviennent ici à la communauté des cryptographes.

Ce résultat présente un avantage : il se vérifie facilement. Les générateurs sont déterministes, donc n'importe quel chercheur peut refaire la chaîne, des données d'entrée jusqu'aux seed, et la comparer aux valeurs publiées. C'est ce qui le distingue des annonces tonitruantes du type « l'IA a fait une découverte », sans possibilité de vérification indépendante.

Pour l'industrie de l'IA, c'est aussi l'exemple d'un nouveau type de tâche : l'archéologie numérique. Il faut passer en revue des outils obsolètes, de vieilles bibliothèques et les conventions de la fin des années 1990, puis trouver la combinaison qui produit un résultat donné. Ce travail exige de la patience et une vaste culture technique, deux domaines où les modèles se débrouillent bien.

Que faire en pratique

Il n'y a pas lieu d'abandonner les courbes NIST à cause de cette annonce. Tant qu'aucun motif ne justifie de changer la cryptographie en production, il suffit de suivre les réactions du NIST et des principaux cryptographes. Les équipes de sécurité ont intérêt à attendre une reproduction indépendante du résultat et l'analyse de la méthode. Les chercheurs devraient examiner les constantes « sans nom » comparables dans d'autres standards : si une question a été close en une demi-heure, les voisines peuvent l'être aussi. Quant à ceux qui conçoivent leurs propres protocoles, il est temps de documenter l'origine de chaque constante, pour que dans vingt ans personne n'en soit réduit aux conjectures.