Anthropic 於二零二六年十月十六日公布，旗下 Claude 模型在不到半小時內解開困擾密碼學界二十五年的謎題：美國國家標準與技術研究院標準橢圓曲線的種子參數，並非來自任何雜湊演算法，而是九零年代 C 標準函式庫的 lrand48 偽隨機數產生器輸出，並以 Unix 時間戳初始化。結果顯示這些曲線的參數來歷單純且可以完整重現，降低外界長期懷疑存在刻意後門的可能性。該公司同時表示，懸賞獎金三萬六千八百六十四美元將全數捐予互聯網安全研究組織。

ECDSA 曲線種子之謎是什麼？

橢圓曲線密碼學是主流公開金鑰標準，NIST 於二千年納入 FIPS 186-2。規格中的 seed 參數決定曲線係數，由國家安全局提供卻未附說明，來源因此成為長期懸案。

ECDSA 是目前使用最廣泛的橢圓曲線密碼學標準，NIST 於二千年把它納入 FIPS 186-2 數位簽章標準，列出一組不同規模與安全強度的標準曲線。對於素數域與二元域上的曲線，規格同時公布一個稱為 seed 的參數，該參數的雜湊值用來定義曲線方程中的係數 b。這些 seed 由國家安全局提供，沒有附上任何解釋或理由，其出處因此成為一個長達二十五年的公開疑問。

爭議的核心在於信任假設。密碼學界長期擔心，若曲線參數的產生方式不透明，理論上就可能被人為挑選出帶有隱藏弱點的曲線。Neal Koblitz 與 Alfred Menezes 曾以「謎中之謎」為題整理這段歷史與相關疑慮。後來更有愛好者發起調查，並設立懸賞，徵求任何能找出 seed 來源的人。

Claude 如何找出這些種子？

Claude 推測產生曲線的軟體使用九零年代 C 函式庫的偽隨機數產生器，再逐位比對輸出。它從高位全為零的特徵辨識出 lrand48，再藉晶格基約簡還原被截斷的狀態。

根據 Anthropic 的說明，過去流傳的說法是這些 seed 來自某句幽默密語的雜湊值，但沿這條線索搜尋一直沒有結果，而且該說法後來被證明不成立。Claude 改從另一個角度切入，先設想產生曲線的軟體當年必須如何運作，並推測它使用了隨九零年代 C 函式庫一同發佈的偽隨機數產生器。這類老舊產生器的輸出足夠弱，特徵可以被辨識，一旦辨識成功，便有機會還原其初始狀態。

Claude 為此撰寫了一個掃描器，沿著每個已公布的 seed 逐位滑動，測試相鄰區塊是否為某個九零年代產生器的連續輸出，掃描範圍涵蓋三十四種產生器與輸出切片的組合。過程中它注意到部分 seed 的高位全部為零：寫成五個三十二位元字之後，十個 seed 中有四個的二十個字最高位皆為零，純屬巧合的機率為五千八百一十分之一。這正是線性同餘產生器 lrand48 的特徵，因為它只回傳四十八位元狀態中的高三十一位元。

要還原狀態，Claude 先取第一個字，窮舉十七個隱藏位元的全部值，再檢查後續四個字是否吻合，這個方法成功適用於前述四個 seed。素數域曲線的 seed 出自同一個產生器，但只保留了每次輸出的較少位元，因此需要從這些片段還原產生器的內部狀態。這在數學上屬於被截斷線性同餘產生器的標準問題，可用 Lenstra、Lenstra 與 Lovász 的晶格基約簡演算法求解，由於無法預先確定種子顯示的是狀態中的哪些位元，Claude 對每一個視窗都執行了一次求解。

這次發現對密碼學安全有什麼影響？

這不是密碼學破解，也不是新攻擊或曲線弱點。參數來自可公開重現的簡單流程，反而讓外界更相信這些曲線在選定時沒有被植入後門或刻意弱點。

Anthropic 明確指出，這次發現並非密碼學破解，也不是新的攻擊手法或曲線本身的弱點。相反，它讓外界更有理由相信這些曲線在選定時沒有被刻意植入後門。多年來，公眾對 NIST 曲線參數的來源抱持懷疑，因為它們被提交給 NIST 時完全沒有說明挑選方式，令人猜測是否為了方便日後植入弱點而設計。

如今結果顯示，seed 的產生方式相當簡單：一個常見的偽隨機數產生器，以時鐘數值作為初始值，並且任何人都可以重現。這種單純性大幅壓縮了被暗中操弄的空間。Claude 在推導過程中亦留下可重現的程式碼，讓外部研究者可以自行驗證每一個 seed 與對應的時間戳。

哪些曲線的來源仍未解開？

第五個二元曲線 seed（B-163）無法對應任何假設。此外，P-224、P-256、P-384 與 P-521 的底點來源尚未解釋，NIST 二元曲線的底點亦未有答案。

研究並非全部有解。第五個二元域 seed（B-163）與 Claude 嘗試過的所有方法都不吻合，目前仍未獲得解釋。此外，P-224、P-256、P-384 與 P-521 四個素數域曲線的底點如何產生，同樣未有答案，NIST 二元曲線的底點也不例外。相對地，Claude 找出部分底點的來源：一九九七年五月產生的六條曲線，其底點出自 Arjen Lenstra 長整數運算套件 FreeLIP 的隨機數產生器，早期版本的 NTL 函式庫亦曾搭載同一段程式碼。

這套流程的規則相當直接：以小整數初始化產生器，丟棄七次輸出，再從二十六位元輸出取候選 x 座標並對質數取餘，重複直到該點落在曲線上。Claude 找出 P-192 的產生器初始值為二萬，prime239v1 至 v3 分別為二萬零四百二十、二萬零五百零七與二萬零五百零九，prime192v2 與 v3 則為二萬零五百一十二與二萬零五百一十七。Anthropic 表示，據其所知，此前從未有任何 NIST 底點的來源被解釋過。

研究團隊亦觸及「是否曾跳過可用曲線」的問題。他們觀察到部分理論上可行的曲線並未被採用，例如 P-256 公布的是第一八四二個候選 seed，但同一次執行中的第八七六個候選同樣可以產生一條規模正確、參數以相同方式挑選的曲線。由於被跳過的候選數量很少，團隊認為曲線被刻意弱化的可能性不高，因為那將意味著弱化曲線既常見又容易找到。

懸賞獎金與後續公布如何處理？

懸賞金三萬六千八百六十四美元將捐予互聯網安全研究組織。Anthropic 亦列出十一名參與成員，並在鳴謝中向已故的 Jerry Solinas 致意。

懸賞是由 Filippo Valsorda 發起，用於徵求這些 seed 的來源。Anthropic 表示，總額三萬六千八百六十四美元的獎金將捐予互聯網安全研究組織，而非由發現者保留。這項安排把懸賞的意義從個人獎勵轉向公共基礎設施，因為該組織長期資助互聯網的安全與加密相關工作。

該項研究由 Anthropic 的 John Wood、Henry de Valence、Ava Howell、Zack Voase、Lucy Sweet、Amir Omidi、Paul Crowley、Iain McGinniss、Nicholas Carlini 與 Steve Weis 共同完成。團隊在鳴謝中特別向已故的 Jerry Solinas 致意，他曾長期任職國家安全局，並在二〇一五年回應過 seed 來源的傳聞，於二〇二三年離世。Anthropic 亦在公告中表明，這項發現沒有需要立即採取的行動，讀者可以把它視為一段長期猜測的收尾。

出處連結有哪些？

本文資訊整理自 Anthropic 於二零二六年十月十六日發布的研究公告，該公告附有可重現的程式碼與各 seed 對應時間戳，讀者可經下列連結查閱完整推導。

Anthropic 研究公告：https://www.anthropic.com/research/ecdsa-curve-origins

總結：這次發現適合哪些讀者關注？

這項發現適合關注密碼學與人工智能推理能力的讀者。它同時示範模型如何以假設驅動的方式處理長期未解問題，對研究自動化與模型能力的評估具參考價值。

這次發現的價值，在於把一個長期停留在猜測層面的問題，變成可以重複驗證的計算結果。對密碼學從業者而言，NIST 標準曲線的參數來歷獲得較合理的解釋，過去關於後門的疑慮雖無法完全消除，但已被大幅削弱。至今仍未解開的 B-163 seed 與四條素數域曲線的底點，則為後續研究保留了明確的題目。

對人工智能領域的觀察者而言，事件同樣值得留意。Claude 在沒有人為提示線索的情況下，自行推測舊軟體的設計方式、建立辨識特徵、再以晶格基約簡還原狀態，整個流程接近研究者的工作方法。這類案例顯示，模型的價值不只在於回答既有問題，也在於能把模糊的歷史線索轉化為可檢驗的假設，對評估模型在研究場景中的實際能力具有參考意義。