Claude descobre em meia hora a origem dos seeds das curvas NIST ECDSA

Em 16 de outubro de 2026, a equipe Frontier Red Team, da Anthropic, anunciou que resolveu uma das questões mais antigas da criptografia aplicada. O modelo interno de pesquisa Claude levou menos de meia hora para determinar como foram obtidos os seeds de 20 bytes das curvas padrão NIST P-192, P-224, P-256, P-384 e P-521. Não havia hash. Os seeds vieram do gerador de números pseudoaleatórios lrand48, da biblioteca C, inicializado com o tempo Unix.

Vinte anos sem explicação

O ECDSA é o padrão mais difundido de criptografia de curvas elípticas. O NIST o adotou em 2000, dentro do FIPS 186-2, junto com um conjunto de curvas padrão de diferentes níveis de resistência. O coeficiente b de cada curva é definido pelo valor de hash de um seed publicado. Os próprios seeds foram fornecidos pela NSA, que não disse uma palavra sobre sua origem. Para a P-256, o seed é C49D3608 86E70493 6A6678E1 139D26B7 819F7E90.

A falta de explicações levantou suspeitas: será que os parâmetros foram escolhidos a dedo para embutir um ponto fraco? Neal Koblitz e Alfred Menezes analisaram o caso no texto «A Riddle Wrapped in an Enigma». Entusiastas chegaram a oferecer uma recompensa a quem descobrisse a origem dos seeds.

A versão mais popular era a da piada. Em 2015, Jerry Solinas, funcionário de longa data da NSA, escreveu que os seeds provavelmente foram obtidos aplicando um hash a uma frase como «Give Bob and Jerry a raise», com algum tipo de contador. O código foi escrito por Bob Reiter, mas ele não se lembrava dos detalhes. Os arquivos não foram encontrados, e o próprio Solinas morreu em 2023.

Como o Claude saiu do beco sem saída

Vários funcionários da Anthropic já haviam tentado encontrar o hash dessa frase e não acharam nada. A versão se mostrou falsa. Em outubro de 2026, um deles fez ao modelo interno uma pergunta sem qualquer pista: seria possível entender como esses seeds foram gerados?

O Claude partiu do caminho inverso e passou a raciocinar sobre como deveria funcionar o programa que criou as curvas. Ele supôs que o programa usava um PRNG de bibliotecas C dos anos 1990. Esses geradores são tão fracos que é possível reconhecer sua saída e, a partir dela, reconstruir o estado inicial.

O modelo escreveu um scanner que percorria cada seed bit a bit e verificava se fragmentos vizinhos eram saídas consecutivas de um gerador daquela época. Ao todo, foram testadas 34 combinações de gerador e recortes da saída. Depois, o Claude notou um padrão: em parte dos seeds, os bits mais significativos eram zero. Se cada seed for escrito como cinco palavras de 32 bits, em quatro dos dez o bit mais significativo é zero em todas as 20 palavras. Ao acaso, isso ocorre com probabilidade de 1/5810. É essa a assinatura do gerador congruente linear lrand48.

O que foi encontrado

Segundo a descrição da Anthropic, o algoritmo funcionava assim: o PRNG era inicializado com o tempo Unix t, depois eram feitas n iterações, e em cada uma eram tomados 20 bytes como candidato a seed. Os primeiros 20 bytes eram o candidato 1, os seguintes, o candidato 2, e assim por diante.

• Curvas afetadas: NIST P-192, P-224, P-256, P-384, P-521.
• Origem: lrand48 com seed na forma de tempo Unix.
• Tamanho do candidato: 20 bytes por iteração.
• P-256: 1842 iterações até o seed padrão.
• Tempo de trabalho do modelo: menos de meia hora.
• Versão do hash da frase de brincadeira: não se confirmou.

Conclusão prática

A Anthropic afirma explicitamente que isso não é uma quebra criptográfica, nem um novo ataque, nem uma fraqueza nas curvas. Desenvolvedores e administradores não precisam tomar nenhuma providência: a maioria dos pesquisadores já confiava nessas curvas. Não é necessário trocar bibliotecas, configurações de TLS ou esquemas de assinatura por causa dessa notícia.

Para a avaliação de confiança, o resultado é positivo. Os seeds foram obtidos de forma simples, com um PRNG comum inicializado pelo relógio, e agora qualquer pessoa pode reproduzir o processo. Sobra muito menos espaço para um ajuste oculto dos parâmetros do que na versão do hash misterioso.

O método em si merece atenção. O modelo não tentou confirmar a lenda conhecida: remontou o quadro a partir das limitações técnicas da época e encontrou uma impressão digital estatística. Para auditar padrões antigos cuja documentação se perdeu, esse é um roteiro viável: primeiro, uma hipótese sobre como poderia ter sido a ferramenta; depois, a verificação pelos rastros nos dados.