Tajemnicze ziarna NSA to zegar z 1997 roku. Claude rozwiązał 25-letnią zagadkę kryptografii w pół godziny

👁 123 przeczytań

Tajemnicze liczby, które NSA dała w 1997 roku do standardów kryptograficznych NIST, nie były skrótem żartobliwego zdania, jak przez lata powtarzano w branży. Były zwykłym wyjściem prostego generatora liczb losowych z języka C, uruchomionego od zegara komputera. Ustalił to wewnętrzny model badawczy Claude w niecałe pół godziny - ogłosił 16 października 2026 roku zespół Frontier Red Team w Anthropic.

Chodzi o tak zwane ziarna (seeds) krzywych eliptycznych P-192, P-224, P-256, P-384 i P-521. To krzywe ze standardu podpisu cyfrowego ECDSA, który NIST przyjął w 2000 roku w normie FIPS 186-2. Krzywa P-256 działa dziś w ogromnej części internetu: w certyfikatach stron, w podpisach i w wielu protokołach. Każda z tych krzywych powstała z ziarna, a ziarna przekazała NSA bez żadnego wyjaśnienia, skąd się wzięły.

Skąd wzięła się zagadka

Brak wyjaśnienia przez ćwierć wieku karmił podejrzenia. Skoro agencja wywiadowcza dostarczyła liczby, z których powstały krzywe, to może wybrała je tak, żeby tylko ona znała jakąś słabość? Najpopularniejsza odpowiedź na te obawy była anegdotą. Według relacji kryptografów, które zebrał Filippo Valsorda, autor ziaren, matematyk NSA Jerry Solinas, miał je uzyskać, obliczając skrót SHA-1 z angielskich zdań w rodzaju żartu o podwyżce dla siebie. Same zdania miały przepaść przy wymianie komputera. Solinas zmarł na początku 2023 roku.

W październiku 2023 roku Valsorda ogłosił nagrodę: 12 288 dolarów za odnalezienie zdań, z których powstały ziarna, potrojoną do 36 864 dolarów, jeśli zwycięzca przekaże pieniądze na cel charytatywny. Przez trzy lata nikt ich nie znalazł. Według wpisu Anthropic kilku pracowników firmy też próbowało wcześniej tej ścieżki, bez skutku.

Co znalazł Claude

Model nie szukał zdań. Zaczął od statystyki. Zbudował skaner, który sprawdzał, czy w opublikowanych ziarnach widać ślady konkretnych generatorów liczb pseudolosowych. W części ziaren najwyższy bit w każdym 32-bitowym słowie był zerem. Tak wygląda wyjście funkcji lrand48 ze standardowej biblioteki C, która zwraca 31 bitów ze swojego 48-bitowego stanu wewnętrznego.

Przy ziarnach krzywych pierwszych zostało za mało bitów z każdego wyjścia, żeby odczytać stan wprost. Wtedy model sięgnął po redukcję sieci algorytmem LLL (Lenstra-Lenstra-Lovász), klasyczne narzędzie kryptoanalizy, i odtworzył z częściowych danych wewnętrzne stany generatora. Wynik:

• ziarna pięciu krzywych to wyjście lrand48 zainicjowanego czasem Unix z komputera;
• znaczniki czasu wypadają między majem 1997 a kwietniem 1998 roku;
• ziarno P-256 prowadzi do 16 sierpnia 1997 roku, godziny 01:52:34, a do pasującej krzywej potrzeba było 1842 kandydatów;
• punkty bazowe sześciu krzywych (P-192 i pięciu przykładów z normy ANSI X9.62) model powiązał z generatorami z pakietu matematycznego FreeLIP/NTL o znanych ziarnach.

Anthropic opublikowało kod, który pozwala każdemu powtórzyć obliczenia. Wynik sprawdzał dziesięcioosobowy zespół ludzi z firmy, a według relacji serwisów branżowych (m.in. The Decoder i Unite.AI) Valsorda niezależnie odtworzył rozwiązanie. Nagroda 36 864 dolarów trafiła do Internet Security Research Group, organizacji, która prowadzi Let’s Encrypt.

Czy krzywe NIST są bezpieczne

Tak, i to jest najważniejsza część dla zwykłego użytkownika. Anthropic pisze wprost, że nie jest to złamanie kryptografii, nowy atak ani słabość krzywych ECDSA. Nie trzeba niczego zmieniać, wymieniać kluczy ani certyfikatów.

Odkrycie raczej uspokaja. Jeśli ziarna pochodzą z generatora uruchomionego od zegara, to proces był prosty i powtarzalny, a celowe dobranie krzywej ze słabością staje się mniej prawdopodobne. Badacze nie wykluczają tego jednak całkowicie. Kilka rzeczy wciąż czeka na wyjaśnienie:

• punkty bazowe krzywych P-224, P-256, P-384 i P-521;
• punkty bazowe krzywych binarnych i jedno ziarno (B-163);
• to, że proces pominął niektórych kandydatów, którzy na pierwszy rzut oka też dawali poprawne krzywe - badacze nie znaleźli śladów, żeby było to celowe osłabienie.

Ciekawostka dotyczy też krzywych binarnych. Ich ziarna również pasują do lrand48, ale wskazują na luty 1984 roku. Po podwojeniu wartości wychodzi 17 kwietnia 1998 roku, co Anthropic podaje jako robocze, niepotwierdzone wyjaśnienie.

Dlaczego to robi wrażenie

Przez 25 lat zagadką zajmowali się kryptografowie, hobbyści i uczestnicy konkursu z nagrodą. Model rozwiązał centralną część w mniej niż 30 minut, przy czym zrobił to inną drogą niż wszyscy: zamiast zgadywać zdania, przyjrzał się samym bitom. W zapisie rozumowania modelu, który przytacza Anthropic, pada zdanie: „To zdumiewające: rozwiązuje 25-letnią zagadkę”.

Warto zachować proporcje. To nie jest dowód, że AI zastąpi kryptografów. Kluczowe narzędzia, czyli testy statystyczne i redukcja sieci, są znane od dekad. Model wykonał jednak samodzielnie całą pracę detektywistyczną: wymyślił hipotezę, zbudował narzędzie, sprawdził 34 kombinacje generatorów i fragmentów wyjścia, a potem odtworzył stany. Ludzie zweryfikowali wynik po fakcie.

To kolejny sygnał, że modele badawcze zaczynają rozwiązywać problemy, które ludzie odkładali na półkę. Ta sama umiejętność ma też drugą stronę. Kilka dni wcześniej Anthropic i OpenAI ujawniały incydenty, w których ich agenci robili w sieci rzeczy, o które nikt ich nie prosił - więcej w tekstach o fałszywym donosie Claude’a do policji i o modelach OpenAI, które opróżniły portfel kryptowalut. Tym razem model wykorzystał spryt w sprawie, którą można publicznie sprawdzić.

Źródła

• Anthropic, Frontier Red Team: ECDSA curve origins, 16.10.2026
• Filippo Valsorda: ogłoszenie nagrody za ziarna krzywych NIST, 05.10.2023
• The Decoder, 17.10.2026
• Unite.AI, październik 2026