Claude a retrouvé en une demi-heure l'origine des seeds des courbes NIST ECDSA

Le 16 octobre 2026, l'équipe Frontier Red Team d'Anthropic a annoncé avoir réglé l'une des plus anciennes questions de la cryptographie appliquée. Son modèle de recherche interne Claude a déterminé en moins d'une demi-heure comment avaient été obtenus les seeds de 20 octets des courbes standard NIST P-192, P-224, P-256, P-384 et P-521. Il n'y avait pas de hash. Les seeds ont été produits par le générateur de nombres pseudo-aléatoires lrand48 de la bibliothèque C, initialisé avec l'heure Unix.

Vingt ans sans explication

ECDSA est le standard de cryptographie sur courbes elliptiques le plus répandu. Le NIST l'a adopté en 2000 dans FIPS 186-2, avec un ensemble de courbes standard de niveaux de sécurité différents. Le coefficient b de chaque courbe est déterminé par le hash d'un seed publié. Ces seeds ont été fournis par la NSA, qui n'a jamais dit d'où ils venaient. Pour P-256, il s'agit de C49D3608 86E70493 6A6678E1 139D26B7 819F7E90.

Ce silence a nourri les soupçons : les paramètres auraient-ils été choisis pour y glisser une faiblesse ? Neal Koblitz et Alfred Menezes ont examiné cette affaire dans le texte « A Riddle Wrapped in an Enigma ». Des amateurs ont même offert une récompense à quiconque retrouverait l'origine des seeds.

L'hypothèse la plus populaire était celle de la plaisanterie. En 2015, Jerry Solinas, ancien de la NSA, écrivait que les seeds avaient probablement été obtenus en hachant une phrase du genre « Give Bob and Jerry a raise », avec un compteur quelconque. Le code avait été écrit par Bob Reiter, mais celui-ci n'en gardait pas les détails en mémoire. Les archives n'ont pas été retrouvées, et Solinas lui-même est mort en 2023.

Comment Claude a contourné l'impasse

Plusieurs employés d'Anthropic avaient déjà cherché le hash de cette fameuse phrase sans rien trouver. L'hypothèse était fausse. En octobre 2026, l'un d'eux a posé au modèle interne une question sans aucun indice : peut-on comprendre comment ces seeds ont été générés ?

Claude a raisonné à rebours et s'est demandé comment le programme qui avait créé les courbes devait fonctionner. Il a supposé qu'il utilisait un PRNG issu des bibliothèques C des années 1990. De tels générateurs sont assez faibles pour que leur sortie soit reconnaissable et que, une fois reconnue, on puisse en reconstituer l'état initial.

Le modèle a écrit un scanner qui parcourait chaque seed bit à bit et vérifiait si des fragments voisins correspondaient à des sorties consécutives d'un générateur de l'époque. Au total, 34 combinaisons de générateur et de découpages de la sortie ont été testées. Claude a ensuite repéré une régularité : chez une partie des seeds, les bits de poids fort étaient nuls. Si l'on écrit le seed comme cinq mots de 32 bits, le bit de poids fort est nul dans quatre seeds sur dix, sur les 20 mots. Le hasard produit cela avec une probabilité de 1/5810. C'est la signature du générateur congruentiel linéaire lrand48.

Ce qui a été trouvé

D'après la description d'Anthropic, l'algorithme fonctionnait ainsi : le PRNG était initialisé avec l'heure Unix t, puis n itérations étaient effectuées, et à chacune on prélevait 20 octets comme seed candidat. Les 20 premiers octets forment le candidat 1, les suivants le candidat 2, et ainsi de suite.

• Courbes concernées : NIST P-192, P-224, P-256, P-384, P-521.
• Source : lrand48 initialisé avec l'heure Unix.
• Taille d'un candidat : 20 octets par itération.
• P-256 : 1842 itérations jusqu'au seed standard.
• Temps de travail du modèle : moins d'une demi-heure.
• Hypothèse du hash d'une phrase pour rire : non confirmée.

Ce qu'il faut en retenir en pratique

Anthropic écrit explicitement qu'il ne s'agit ni d'une attaque cryptographique, ni d'une nouvelle attaque, ni d'une faiblesse des courbes. Aucune action n'est requise de la part des développeurs et des administrateurs : la plupart des chercheurs faisaient déjà confiance à ces courbes. Il n'y a aucune raison de changer de bibliothèque, de configuration TLS ou de schéma de signature à cause de cette annonce.

Pour l'évaluation de la confiance, le résultat joue en faveur des courbes. Les seeds ont été obtenus de façon simple : un PRNG courant, amorcé par l'horloge, et n'importe qui peut désormais le reproduire. Il reste bien moins de place pour un ajustement caché des paramètres qu'avec l'hypothèse d'un mystérieux hash.

La méthode mérite aussi qu'on s'y arrête. Le modèle ne s'est pas mis en quête d'une confirmation de la légende connue : il a reconstitué le tableau à partir des contraintes techniques de l'époque et trouvé une empreinte statistique. Pour auditer d'anciens standards dont la documentation est perdue, c'est un schéma de travail réutilisable : d'abord une hypothèse sur l'outil qui a pu être employé, puis une vérification à partir des traces laissées dans les données.