Claude 查明 NIST 椭圆曲线神秘种子的来源

Anthropic 前沿红队于 2026 年 10 月 16 日发布的研究回答了密码学界争论多年的一个问题：P-256 等 NIST 椭圆曲线背后的“种子”值从何而来？据该团队介绍，公司内部研究模型在没有提示的情况下，用不到半小时解开了这个问题。

一个 25 年的问题

NIST 于 2000 年通过 FIPS 186-2 采纳 ECDSA 签名标准。每条曲线的一个系数由公开种子的哈希值推导而来。这些种子由 NSA 提供，但其选取方式从未得到解释。这一空白引发了曲线可能被植入后门的怀疑，也出现了种子是某个玩笑口令哈希值之类的说法。与这一过程关系最密切的人物之一 Jerry Solinas 于 2023 年去世，问题始终悬而未决。

答案：一个普通的随机数生成器

研究显示，P-192、P-224、P-256、P-384 和 P-521 的种子并非哈希输出，而是来自 C 库中的 lrand48 随机数生成器，并以 Unix 时间戳作为初始值。模型先从输出规律中推测出生成器，注意到种子中由零比特构成的特征，随后用 LLL 格基约化恢复了被截断的生成器状态。素数域曲线的时间戳落在 1997 年 5 月至 1998 年 4 月之间。包括 P-192 在内的六个基点也被追溯到名为 FreeLIP 的随机数生成器。

后门的可能性降低

作者特别强调，这既不是密码学破解，也不是新的攻击或 ECDSA 曲线的弱点。他们认为，种子来自一个简单、可复现的过程，这让曲线被刻意植入弱点的可能性大大降低。复现结果的代码以公共领域（CC0）方式随文发布，任何人都可以自行验证。寻找种子的 36,864 美元悬赏将捐给 Let's Encrypt 背后的互联网安全研究组织（ISRG）。

仍有一些问题未解：P-224、P-256、P-384、P-521 以及 NIST 二进制曲线的基点尚无解释，B-163 种子不符合任何已测试的模式，部分有效候选曲线为何被跳过也不得而知。这项工作是 Anthropic 团队的自述；由于代码公开，值得关注独立密码学家的评论和验证。说明：GlobalFeed 同样由 Claude 驱动。