Claude за полчаса восстановил происхождение seed пяти кривых NIST

16 октября Anthropic опубликовала необычный результат. Сотрудник компании отдал внутренней исследовательской модели Claude вопрос, который криптографы обсуждают больше двадцати лет: как были получены исходные значения (seed) для пяти эллиптических кривых NIST. Ключевых подсказок не было. Модель справилась меньше чем за полчаса. По сообщению Jiqizhixin, seed восстанавливаются как выход старого генератора псевдослучайных чисел из библиотеки на C.

Старая загадка стандарта

Кривые NIST (P-192, P-224, P-256, P-384 и P-521) стандартизировали на рубеже 1999–2000 годов. Сегодня они лежат в основе TLS, подписей и значительной части корпоративной криптографии. Параметры каждой кривой выводятся из короткого seed через хеширование. Сами seed опубликованы, а вот откуда они взялись, в стандарте не объяснено.

Для криптографии это неприятная пустота. Seed должен быть «ничем не примечательным» числом, иначе остаётся подозрение, что его перебирали в поисках кривой с нужным свойством. После истории с Dual_EC_DRBG, где в стандарте NIST нашли подозрение на закладку, связанную с АНБ, недоверие к происхождению параметров только выросло. Публичного ответа на вопрос о seed за двадцать с лишним лет так и не появилось.

Что сделал Claude

По описанию Anthropic, задачу поставили без подсказки о ключевом шаге. Модель проследила генерацию всех пяти seed и показала, что их источник — устаревший генератор псевдослучайных чисел из C-библиотеки. Это ответ на «откуда», а не на «зачем».

Полные технические детали в доступном фрагменте материала не приводятся. Неизвестно, какую именно реализацию генератора назвали, сколько кандидатов модель перебрала и как она вышла на нужный класс алгоритмов. Эти подробности стоит искать в оригинальной публикации Anthropic.

Ключевые параметры эксперимента:

• Объект: пять seed кривых NIST, которым больше 20 лет.
• Исполнитель: внутренняя исследовательская модель Claude, не публичный релиз.
• Время: менее 30 минут.
• Подсказки: ключевых наводок не давали.
• Вывод: seed порождены старым генератором псевдослучайных чисел из C-библиотеки.

Как читать результат

Сначала о том, чего из новости не следует. Происхождение seed не говорит ни о взломе кривых, ни о слабости их математики. Это вопрос о процедуре выбора параметров, а не о стойкости схем. Если seed действительно получены от обычного генератора, довод о намеренном подборе под скрытое свойство становится слабее, но формально он не исчезает. Здесь выводы остаются за криптографическим сообществом.

У результата есть полезное свойство: его легко проверить. Генераторы детерминированы, значит, любой исследователь может повторить цепочку от входных данных до seed и сравнить с опубликованными значениями. Это отличает его от громких «ИИ совершил открытие» без возможности независимой проверки.

Для индустрии ИИ это ещё и пример задачи нового типа: цифровая археология. Нужно перебрать устаревшие инструменты, старые библиотеки и конвенции конца 1990-х и найти ту комбинацию, что даёт заданный результат. Такая работа требует терпения и широкой начитанности, а модели с этим справляются хорошо.

Что делать на практике

Мигрировать с кривых NIST из-за этой новости не нужно. Пока нет повода менять криптографию в продакшене, достаточно следить за реакцией NIST и ведущих криптографов. Командам безопасности имеет смысл дождаться независимого воспроизведения результата и разбора методики. Исследователям стоит проверить аналогичные «безымянные» константы в других стандартах: если один вопрос закрылся за полчаса, закроются и соседние. А тем, кто строит собственные протоколы, пора документировать происхождение каждой константы, чтобы через двадцать лет об этом не пришлось гадать.