Claude 在 2026 年 10 月 16 日解开了密码学界悬了约 25 年的一个问题。Anthropic 当天发布研究报告称，一名员工让内部研究模型在没有任何旧线索提示的情况下追查 NIST 椭圆曲线种子的来历，模型不到半小时就确认：P-192、P-224、P-256、P-384 和 P-521 五条曲线的种子都不是某句口令的哈希，而是 C 库随机数生成器 lrand48 以 Unix 时间戳为种子跑出来的输出。这些种子当年由 NSA 提供且未说明出处，长期被怀疑可能藏有后门。
它是怎么一步步复原的
模型先换了思路：不猜口令，而是猜当年生成曲线的软件会用什么随机数生成器。它写了扫描程序，把公开种子逐段与 1990 年代常见生成器的输出特征比对，注意到多条种子顶部比特清零的异常 pattern，进而锁定 lrand48；再用格规约方法从截断输出中恢复生成器内部状态，反推回初始化时刻。复原结果显示，五条素数曲线的运行时间落在 1997 年 5 月到 1998 年 4 月之间，其中 P-256 的种子是 1997 年 8 月 16 日那次运行的第 1842 个候选。Anthropic 已公开可复现这些种子的代码，任何人都能重跑验证。
这不是漏洞，用户不需要做任何处理
Anthropic 明确表示，这不是对 ECDSA 的破解，也不是新攻击或曲线弱点；恰恰相反，种子生成方式如此普通，反而让蓄意挑选弱曲线的说法更难成立。报告同时说明，多数研究者原本就信任这些曲线，普通用户和企业不需要更换曲线、不需要轮换密钥。追溯种子来源的 36,864 美元悬赏将捐给负责 Let's Encrypt 的互联网安全研究组织 ISRG。
还有三处没有解释完
悬念没有全关上：二进制曲线 B-163 的种子仍未复原；P-224、P-256、P-384、P-521 的基点生成方式还没找到；生成时为什么跳过了个别同样可用的候选，例如 P-256 同一次运行的第 876 个候选，报告也没有答案。Anthropic 认为被跳过的候选数量很少，不足以支撑刻意挑选弱曲线的猜测，但把这些列为开放问题。对安全团队来说，这篇报告的实际用法是存档备查：今后评审里再遇到 NIST 曲线来源的质疑，可以直接指向这次可复现的复原结果。
