26年悬案，Claude用30分钟查清了NSA种子的来路

一道悬了 26 年的密码学题，Anthropic 说他们的 Claude 用了不到 30 分钟，给出了可复现的答案。

题目听着不复杂：美国那五条标准椭圆曲线，种子到底从哪来。2000 年它们被写进美国的数字签名标准，种子由美国国家安全局提供，生成过程却一直没公开。从那天起，一个疑问就挂在密码学界头顶：这串数字是随手挑的，还是精心挑的？

悬了26年的不是密码，是一串种子的出处

种子在密码学里指造参数用的那段起始数据。椭圆曲线的参数不是随手画出来的，标准做法是把它喂进一套固定的计算步骤，算出最终写进标准的那些数。

公开这套流程的意义很直白：种子摊在桌面上，任何人都能照着同样的步骤复算一遍。你不能一边说这条曲线没问题，一边藏着自己是怎么造它的，密码学里的信任，很大一部分就建立在这种“你可以自己验”上面。

NSA 当年给了结果，没给过程。于是这二十多年里，隔一阵就有人猜：曲线参数里是不是埋了只有它自己知道的弱点。这种猜疑不是凭空来的，2013 年 Dual_EC_DRBG 随机数标准被曝出存在人为留下的缺陷，让“标准里可能藏着后门”从猜想变成了有先例的事。

Claude干的是考古，不是攻数学

Anthropic 在 10 月 16 日的博文里说，Claude 没去碰数学证明，而是回头翻上世纪 90 年代的软件工具。

它发现这些种子来自 C 语言标准库里的伪随机数生成器 lrand48，喂进去的初始值则是 Unix 时间戳。

难的是后一步：从结果反推过程。Claude 识别位模式、恢复生成器当时的状态，再倒推出是哪一秒跑出来的。P-256 的标准种子对应 1997 年 8 月 16 日一次运行中的第 1,842 个候选值​。另外四条曲线 P-192、P-224、P-384、P-521 的种子，也都能用 1997 到 1998 年之间的时间戳复现出来。团队把复现代码公开了。

放回当年的场景，画面大概很朴素：某个工程师写了个造种子的程序，输入就是那台机器的秒数，跑出来的第 1842 个结果被抄进了标准。这里没有玄机，只有 1997 年的机器和它的时钟。

别再读成“AI破解了密码学”

最流行的一种读法是“AI 把椭圆曲线密码破解了”。它有来路，AI 攻破密码学是今年最抓眼球的叙事，26 年对 30 分钟也确实够刺激。但它解释不了 Anthropic 自己写在博文里的那句话：这不是破解 ECDSA，没有发现新的攻击方式，用户不需要因此做任何事。Claude 解开的是历史记录，数学难题本身没被碰过。

另一种读法走得更远，认为 NSA 这回算彻底清白了。种子确实不像被人为挑选的，是时间戳跑出来的产物，这的确降低了故意埋弱点的疑虑。可同一篇博文里也列了没解释干净的部分：B-163 这条曲线的种子还没找到来路，部分曲线基点的生成方式不明，当年为什么跳过了某些可用的候选曲线也说不清。降低疑虑和排除嫌疑中间，还差着一段距离。

分量不在“AI又赢了一次”

真正值得记的是任务类型：把海量可能的低位模式翻一遍，再用逻辑约束一层层卡死。这活人类不是做不了，是没耐心做，你可以写脚本枚举 1997 到 1998 年每一天每一秒的种子，但你得先想到种子可能出自 lrand48 加 Unix 时间戳这一步。想到它靠的是对三十年前工具链的熟悉，而这恰好是模型从海量旧代码里学到的东西。

对普通读者的意义更直接。你每天用的 HTTPS、手机支付、电子签名，背后多半就有这几条曲线在工作，它们的信任基础从来不是某家机构说了算，而是参数公开、流程可复算。这次补上的，是这本账上一行搁了 26 年的空白。

顺手给你一个以后能用的判断方式。再看到“AI 攻破了某某”的新闻，问三件事就够：它解开的是数学难题还是历史记录，有没有公开可复现的东西，原报告有没有写“用户该做什么”。三问里两问答不上来，当故事看就行。这套问法对安全和密码学类新闻都管用，但它判断不了漏洞本身有多严重，那是另一码事。

下一次再看到“AI 攻破密码学”的标题，先去找那份能复算的代码，找得到再信。你手里要是有拿不准的 AI 安全新闻，发我，我按这三步帮你过一遍。

作者提示含AI生成内容。作者声明本文无利益相关，欢迎值友理性交流，和谐讨论～