Claude 用半小时，解开了密码学界 25 年的谜案

10 月 16 日，Anthropic 披露了一件挺传奇的事：一名员工让内部的 Claude 研究模型去追查 NIST 椭圆曲线"种子"（seed）的来源，不到半小时就有了答案——不是 NSA 后门，而是 1997–1998 年的时间戳，喂给了 C 语言老库里的弱随机数生成器 lrand48。

背景先说清楚：NIST 在 2000 年的 FIPS 186-2 标准里发布了 P-192/224/256/384/521 五条椭圆曲线，每条曲线配了一串"种子"数字，但标准从没说这些种子是怎么来的。20 多年来，密码学界一直有个心结：NSA 会不会在选种子的时候埋了后门？前 NSA 数学家 Jerry Solinas 生前回忆过一句玩笑话（大致是"给 Bob 和 Jerry 加薪"之类），大家顺着这个"短语哈希"的方向找了好几年，一无所获。

Claude 是怎么解的（官方口径+多家媒体交叉印证）：它没理会那个老理论，而是从 1997 年的软件环境出发，假设当时用的是 C 库自带的弱随机数生成器。它写了个扫描器，把每个种子的比特逐段滑动、测试了 34 种老生成器组合，发现了指纹——五个素数域曲线种子的 20 字节里，所有最高位都被清零了，随机情况下这概率约百万分之一，正是 lrand48（只输出 31 位）的特征。然后它用 LLL 格约减算法把隐藏位还原，倒推出的起始值全都解码成 1997 年 5 月到 1998 年 4 月之间的 Unix 时间戳：P-256 的种子，就是 1997 年 8 月 16 日 01:52:34（UTC）那个时间戳往后数第 1842 个候选值。密码学工程师 Filippo Valsorda 用 Go 独立复现并确认了结果。Anthropic 把 36,864 美元赏金捐给了 Let's Encrypt 的运营方 ISRG。

先打消恐慌（官方口径）：这不是密码学被攻破，也不是 ECDSA 有漏洞——种子本来就是公开的，没有秘密可偷；比特币不受影响（用的是 secp256k1）。Anthropic 的结论是：生成过程现在完全可以复现，藏后门的空间"大幅缩小"，现有用户无需采取行动。但也有没解开的部分，明确标注"尚待验证"：B-163 曲线的种子对不上任何尝试；P-224/256/384/521 基点的生成方式仍未知；种子候选值当初怎么筛选的也不清楚。

为什么这条值得看：这是"AI 做应用密码分析"的里程碑式演示。Claude 不是在背训练数据——它写了扫描器、用上了格约减（LLL）这种正经数学工具，主动求解了一个真问题，过程中还一度质疑自己是不是在模拟测试里。对做安全、做研究的人来说，信号很明确：模型已经能把数学工具"用起来"了，下一代的安全研究员可能是"人出思路、模型跑数学"的组合。对普通人，记住一句话就行：你手机里几乎所有加密签名，底层都跑在这些曲线上，而它们 25 年的身世之谜，是被一个 AI 在半小时里解开的。