Anthropic 内部研发模型成功破解了长期困扰安全界的谜题，揭示了广泛采用的 NIST 椭圆曲线（用于 ECDSA）中种子值的真实来源。该模型在不到半小时内确定，P-192、P-224、P-256、P-384 和 P-521 曲线的种子值均源自 C 语言的 lrand48 伪随机数生成器，并以 Unix 时间戳作为初始种子。

2026 年 10 月 16 日，Anthropic 公布相关研究结果。这一发现推翻了流传数十年的谣言，即这些种子值是由对某些幽默或晦涩短语进行哈希运算生成的。

统计规律指向 lrand48 算法

Claude 模型在种子数据中发现了显著的统计规律。在十个种子值中，有四个在每一个 32 位字中都显示出高位全为零的特征。这种模式随机出现的概率仅为五千八百一十分之一，直接指向了 lrand48 算法。

其生成过程为：首先使用 Unix 时间戳 t 初始化生成器，随后运行 n 次迭代，每次迭代提取 20 个字节作为候选种子。其中，P-256 曲线的标准化种子是该运行过程中的第 1,842 个候选值。

这 10 个素数曲线种子的时间戳落在 1997 年 5 月至 1998 年 4 月之间，而二元曲线的初始化则指向 1984 年 2 月。模型成功恢复了内部伪随机数生成器的状态：对于二元种子采用暴力破解方法，对于素数曲线截断输出的恢复则使用了 LLL 算法进行格约简。

无立即安全风险，排除后门嫌疑

Anthropic 强调，这一发现没有立即的安全影响。" 这不是密码学上的突破、新的攻击手段，也不是 ECDSA 曲线的弱点。" 由于该方法简单且可复现，故意植入后门的可能性大大降低，用户和实现者无需采取任何行动。

研究还表明，几个曲线的基点与 Arjen Lenstra 的 FreeLIP 库有关联，采用 " 种子并丢弃 " 的方法在 1997 年 5 月生成。帖子中提供的可复现代码证实了这一匹配结果。

不过，部分细节仍有待澄清。B-163 的种子来源仍未得到解释，P-224、P-256、P-384 和 P-521 的基点尚未找到确切起源，且在某些运行过程中可行的候选种子被跳过。

密码学家曾对 NIST 曲线提出质疑长达 25 年，ECDSA 的采用始于 2000 年。新的解释用来自 20 世纪 90 年代软件实践的平凡事实取代了之前的猜测，增强了对标准完整性的信心。

这项研究由 Anthropic 的前沿红队完成，文章包含了完整的复现步骤。其中一个具体实例是：P-256 的种子值追溯至 1997 年 8 月 16 日凌晨 01:52:34 的时间读数。

【星途科讯 图文丨周鑫雨 首发于 ZAKER 科技，转载请注明出处】