IT之家 · 智能时代 · 2026/10/17 06:53:05
Claude 破解 NSA 椭圆曲线参数来源，排除后门疑虑
Anthropic 团队利用 Claude 模型在不到 30 分钟内逆向推导出美国国家安全局（NSA）提供的椭圆曲线数字签名标准（ECDSA）种子生成过程。分析证实这些参数源自 1997-1998 年 Unix 时间戳初始化的 lrand48 伪随机数生成器，有效降低了长期存在的“刻意植入后门”疑虑，但并未发现新的攻击手段。
报道全文原始报道全文
IT之家注：这里的种子（seed），可以理解为“生成椭圆曲线参数时使用的一段起始数据”，生成规则像一台固定程序的机器，种子就是投入机器的原料。同样的原料，按照同样的规则处理，就能得到同样的结果。公开种子后，其他人可以复算，检查曲线参数是否确实按公布的步骤生成。
谜题源于 2000 年纳入美国数字签名标准的一组椭圆曲线。相关种子由美国国家安全局（NSA）提供，却未说明生成过程，长期引发是否暗藏后门的猜测。这些曲线用于椭圆曲线数字签名算法（ECDSA），帮助验证数字信息的真实性。
据 Anthropic 介绍，Claude 转而排查上世纪 90 年代常见的软件工具，发现这些种子实际来自 C 语言库中的伪随机数生成器 lrand48，初始化输入则是 Unix 时间戳。
模型通过识别位模式、恢复生成器状态并反向推算，将相关生成时间追溯至 1997 年至 1998 年。其中，P-256 的标准种子对应一次运行中的第 1,842 个候选值。团队已公开复现代码。
结果显示，P-192、P-224、P-256、P-384 和 P-521 的种子，均可由 1997 年至 1998 年的 Unix 时间戳初始化生成。其中，P-256 对应 1997 年 8 月 16 日，经过 1,842 轮候选生成得到标准中的种子。
Anthropic 强调，这不是破解 ECDSA，也没有发现新的攻击方式，结果降低了参数被刻意植入后门的疑虑，用户无需因此采取措施。不过，研究尚未解释全部细节，包括 B-163 种子的来源、部分曲线基点的生成方式，以及为何跳过某些可用候选曲线。
