Anthropic模型破译NIST曲线种子 证实源自1997年时间戳

NSA埋雷疑云26年，AI用30分钟查了个明白 — AI技术投降派

AI技术投降派

模型通过反推lrand48状态证实核心椭圆曲线种子仅为系统时间戳，其约30比特的极小自由度彻底排除了NSA植入数学后门的可能性，宣告学界因轻信当事人回忆而误判了整整26年。

AI-assisted summary of NSA埋雷疑云26年，AI用30分钟查了个明白 — original source. Check the original for full context.

Source published:

Key ideas

  • Anthropic内部研究模型在未获思维提示的情况下，仅耗时约30分钟便侦破了困扰密码学界26年的NIST椭圆曲线种子来源之谜，证实其本质仅是1997年的Unix时间戳。 (0:00)
  • 模型通过分析二进制统计指纹，发现二元曲线种子中10个字有4个最高位为零（真随机概率仅1/5810），由此锁定90年代C标准库函数lrand48，并借助LLL格基规约倒退内部状态解出时间戳。 (4:22)
  • 该发现并未对现有密码体系构成破解，由于全部自由度仅约30位、无法容纳定制后门，实质性消除了学界对NSA埋雷的疑云，用户无需更换任何密钥或证书。 (7:56)
  • 悬赏发起人Filippo Valsorda使用Go语言独立复现后，将三倍赏金共36,864美元捐赠给ISRG；Anthropic以公有领域协议开源了全部逐位吻合的复现代码。 (6:21)

Detailed notes

## Background 该视频由BilibiliUP主“AI技术投降派”于2026年10月18日发布。简介介绍了Anthropic前沿红队近期发表的研究报告，讲述其内部AI模型在无提示情况下从第一性原理出发，仅用30分钟便侦破了困扰密码学界26年的NIST椭圆曲线种子来源之谜，证实其本质只是1990年代C标准库配合Unix时间戳摇号生成的产物，排除了长年以来的NSA埋雷阴谋论。

## TL;DR 守护现代全球互联网加密与数字身份的NIST椭圆曲线标准，其种子自1997年由NSA交付以来来源成谜，尤其在2013年Dual_EC后门曝光后引发了长达26年的埋雷质疑。过去全人类密码学者受当事人“英文短语哈希”的误导性回忆影响而徒劳穷举，Anthropic的研究模型则摒弃先入为主的偏见，通过滑动比对发现1/5810概率的统计指纹，锁定老旧函数lrand48，并结合LLL格基规约逆向推导，最终还原出1997年的Unix时间戳与摇号逻辑。该结果证明留给设计者的自由度不足以植入后门，彻底排除了恶意埋雷的恐慌，且代码已开源供任何人秒级全量复现，但同时也指出了B-163种子与基点选取等少数遗留谜题。

## Atmosphere & style 全片呈现出一种硬核侦探破案般的快节奏与豁然开朗感，叙事条理极其严密清晰，既有对密码学历史丑闻的严肃回溯，又带着理工科特有的冷幽默与戏谑。讲述者语气沉稳且充满思辨，将AI破解过程剥茧抽丝般层层展开，当尘封26年的数学谜题最终退化为一行“土得掉渣”的古老代码时，情绪从凝重悬疑瞬间转为释然与旷达。整段视听体验犹如一场见证“复现即证明”的纯粹智力探险，在赞叹算法精妙之余，也引人深切反思人类先验盲从与技术偏见。

## Bulletin - [00:00](https://www.bilibili.com/video/BV1HQnT6VEgX?t=0s) Anthropic内部研究模型在未获思维提示的情况下，仅耗时约30分钟便侦破了困扰密码学界26年的NIST椭圆曲线种子来源之谜，证实其本质仅是1997年的Unix时间戳。 - [04:22](https://www.bilibili.com/video/BV1HQnT6VEgX?t=262s) 模型通过分析二进制统计指纹，发现二元曲线种子中10个字有4个最高位为零（真随机概率仅1/5810），由此锁定90年代C标准库函数lrand48，并借助LLL格基规约倒退内部状态解出时间戳。 - [07:56](https://www.bilibili.com/video/BV1HQnT6VEgX?t=476s) 该发现并未对现有密码体系构成破解，由于全部自由度仅约30位、无法容纳定制后门，实质性消除了学界对NSA埋雷的疑云，用户无需更换任何密钥或证书。 - [06:21](https://www.bilibili.com/video/BV1HQnT6VEgX?t=381s) 悬赏发起人Filippo Valsorda使用Go语言独立复现后，将三倍赏金共36,864美元捐赠给ISRG；Anthropic以公有领域协议开源了全部逐位吻合的复现代码。

## Key takeaways - [00:00](https://www.bilibili.com/video/BV1HQnT6VEgX?t=0s) 现代加密网络与芯片普遍依赖NIST五条标准曲线，其参数通过160位种子经SHA-1哈希生成，旨在实现“袖子里没有藏牌”的安全承诺。 - [02:08](https://www.bilibili.com/video/BV1HQnT6VEgX?t=128s) 1997年NSA数学家交付种子但未公开生成方式，结合2013年Dual_EC后门丑闻与千万美元贿赂曝光，导致密码学界长期怀疑标准被蓄意埋雷。 - [03:12](https://www.bilibili.com/video/BV1HQnT6VEgX?t=192s) 当事人Jerry Solinas曾误称种子来自英文短语哈希，导致全行业二十余年沿着错误共识进行穷举搜索，FOIA官方调阅也无果而终。 - [04:22](https://www.bilibili.com/video/BV1HQnT6VEgX?t=262s) Anthropic研究人员未给模型预设“英文短语”等先验偏见，模型从第一性原理推测当年的NSA程序员更倾向调用C标准库函数。 - [04:22](https://www.bilibili.com/video/BV1HQnT6VEgX?t=262s) 模型在测试34种伪随机数生成器组合时，抓住了最高位锁定为0的统计指纹（发生概率仅0.017%），精准锁定lrand48函数。 - [05:31](https://www.bilibili.com/video/BV1HQnT6VEgX?t=331s) 针对截断LCG问题，模型利用LLL格基规约反向倒推内部状态，在低16位出现魔数0x330E时成功提取出原始Unix时间戳。 - [06:21](https://www.bilibili.com/video/BV1HQnT6VEgX?t=381s) 包括P-256、P-192在内的14条曲线种子全部被逐位精确复现，其中P-256是1997年8月16日时间戳经循环调用摇号至第1842个候选生成的。 - [06:21](https://www.bilibili.com/video/BV1HQnT6VEgX?t=381s) 二元曲线的时间戳存在除以2的时钟处理痕迹，展示了早期编程中鲜活的历史细节。 - [07:56](https://www.bilibili.com/video/BV1HQnT6VEgX?t=476s) 安全结论表明这绝非密码学破解，且NSA可选的时间戳与候选组合自由度上限仅约30比特，根本不足以埋入特制弱点后门。 - [07:56](https://www.bilibili.com/video/BV1HQnT6VEgX?t=476s) 该案仍留下三处细节谜团：B-163种子疑似誊抄错误对不上、部分曲线基点来源未解，以及P-256为何跳过第876个合规候选等挑选机制空白。 - [09:26](https://www.bilibili.com/video/BV1HQnT6VEgX?t=566s) 人类专家受困20年源于过度迷信当事人回忆的先验假设，而模型的核心价值在于不盲从既有共识、严格从数学特征出发推理。 - [09:26](https://www.bilibili.com/video/BV1HQnT6VEgX?t=566s) 本次AI成果跳脱出需要人工逐行审阅数千页证明的困境，通过开源脚本由全网直接运行“复现即证明”。

## Detailed walkthrough ### [00:00](https://www.bilibili.com/video/BV1HQnT6VEgX?t=0s) 开场与前情：袖子里没有藏牌与26年的密码学疑案

2026年10月16日，Anthropic的前沿红队发布了一篇标题极为直白的短文——《Claude揭开ECDSA曲线的起源》，而其副标题只有短短的四个词：“只是时间戳而已”（It's just timestamps）。这篇简短的报告终结了一个在密码学界悬了整整26年的历史疑案：一群全球最顶尖的密码学家追查了二十多年毫无结果，最终却被一个AI在短短半小时内彻底侦破。案子破开后，背后的答案朴素得令人咋舌——它仅仅来自一行写于1997年的古老代码。视频开篇便亮出了最核心的安全定论：这项研究绝不是密码学被攻破，普通用户完全不需要更换任何密钥或证书；“听完你会明白，这个安全结论本身才是全案最动人的部分。”

现代数字世界的地基在很大程度上依赖于椭圆曲线密码。人们每天访问的加密网站、智能手机里的安全芯片，乃至许多国家的电子护照，核心都运行在五条知名的NIST椭圆曲线上：P-192、P-224、P-256、P-384以及P-521。这五条曲线早在2000年就被正式写入美国国家标准。每一条曲线都有一个至关重要的参数，为了确保公平与安全性，这个参数并不是由设计者手工挑选的，而是通过将一颗160位的随机种子输入SHA-1哈希函数运算得出。这套流程在密码学中有一个专门的承诺机制，形象地被称为“袖子里没有藏牌”（nothing up my sleeve）：如同魔术师卷起袖子向观众示意手中空无一物，常量既然是通过透明公开的单向哈希生成，设计者理论上就无法预先植入一条暗藏数学弱点的后门曲线。

```mermaid flowchart LR accTitle: "袖子里没有藏牌机制" accDescr: "展示160位种子通过SHA-1哈希生成椭圆曲线参数并引发后门疑云的过程" subgraph S1["公开验证流程"] A["160位随机种子"] -->|"SHA-1 哈希运算"| B["椭圆曲线参数"] B --> C["NIST五条标准曲线<br>(P-192 至 P-521)"] end subgraph S2["隐藏疑点 (埋雷手法)"] D["反复挑选/摇取种子"] -.->|"计算出带有弱点的曲线"| A end ```

[02:08](https://www.bilibili.com/video/BV1HQnT6VEgX?t=128s) 合理怀疑：埋雷是有先例的

1997年，美国国家安全局（NSA）的数学家Jerry Solinas亲手将这五颗种子交给了标准委员会。整个流程表面看起来完全符合公开规范，但始终存在一个致命的信息黑洞：这些种子最初到底是拿什么生成的，官方从未公开过半个字。疑点恰恰潜藏于此：虽然哈希验证过程人人都可以复核，但如果设计者拥有随意挑选种子的能力，他就可以通过编写脚本一颗接一颗地不断尝试，直到筛选出一条碰巧带有唯独自己知晓的数学弱点的曲线，再将其冠冕堂皇地提交为国家标准。这种在标准里暗藏后门的手法被称为“埋雷”。

对NSA埋雷的怀疑绝非密码学界的被害妄想，因为历史上切实发生过铁证如山的丑闻。2013年斯诺登事件爆发后，NSA极力主推的双椭圆曲线确定性随机比特生成器（Dual_EC_DRBG）被实锤证明带有预留后门。随后路透社曝光，NSA曾向知名信息安全公司RSA秘密支付了1000万美元，促使该后门算法成为商业加密软件的默认选项。到了2015年，黑客甚至将Juniper防火墙内Dual_EC后门的公钥常数替换成了自己的密钥，成功解密了海量用户的VPN网络流量。这一连串严酷的现实让整个密码学界如坐针毡：眼前这批每天守护全球数字资产、种子来源成谜的标准曲线，恰恰来自这家刚刚被坐实曾在国际标准中蓄意埋下后门的同一家机构。

[03:12](https://www.bilibili.com/video/BV1HQnT6VEgX?t=192s) 人类的方向，错得整整齐齐

面对这颗盘亘在互联网底层的定时炸弹，密码学界全力展开了长达数年的大排查，然而全人类的努力从一开始就把方向搞错了。2015年前后，作为当年交付种子的核心当事人，Jerry Solinas本人公开回忆称，这些种子大概是用某些英文短语经过SHA哈希生成的；他随口举了一个著名的例子：“Jerry deserves a raise”（Jerry该涨工资了）。随着学术界与工业界的质疑声浪不断升级，Solinas自己也把记忆中所有可能用过的类似短语挨个试了一遍，结果没有一颗种子能对得上号。生成种子的原始计算机也早已报废淘汰，Solinas后来用略带调侃的语气形容道：如果那些原始数据还在，“就放在约柜旁边的一块硬盘上”。

密码学家们随后尝试走官方的信息公开渠道。面对根据《信息自由法案》（FOIA）提出的调阅请求，美国国家标准与技术研究院（NIST）官方回复称没有任何相关档案文档，而NSA则直接拒绝做出任何回应。2023年，Jerry Solinas与世长辞，这个秘密似乎注定要被带入坟墓。同年10月，知名密码学家Filippo Valsorda自掏腰包设立了一笔12,288美元的赏金，向全球悬赏征集任何一颗NIST曲线种子的真实来历。整个安全社区随即展开了大规模的分布式暴力穷举，但所有研究者都不由自主地下意识默认了一个前提：大家要寻找的是一个能够让SHA-1哈希之后吐出这颗种子的英文输入文本。“这个共识错得离谱，而且错得整整齐齐。”

[04:22](https://www.bilibili.com/video/BV1HQnT6VEgX?t=262s) 破案：统计指纹与1/5810的数学破绽

转机出现在2026年10月。Anthropic内部的一名研究人员纯粹出于好奇，向团队内部的研究模型提出了这个问题。在这场测试中存在一个关键细节：提问者没有给模型提供任何思维提示，甚至完全没提那句误导了整个学界十多年的“英文短语”。该模型没有盲从既有文献的思维定势，而是像一名基于第一性原理破案的侦探一样展开推理：它首先推测，在20世纪90年代的软硬件环境下，一名NSA程序员在编写代码生成伪随机数时，大概率不会专门打造复杂的专用密码学硬件装置，而是会随手调用C标准库里的老古董函数。

顺着这一思路，模型编写了一个自动化扫描程序，沿着各个椭圆曲线种子的二进制位（bit）逐位滑动比对，测试了34种主流伪随机数生成器及其切片提取方式的组合。很快，决定性的统计指纹浮出水面：当模型将两条二元曲线的种子分别拆解为5个32位的字（word）时，在总共10个字当中，竟然有整整4个字的最高有效位全部精确为0。在真随机的情况下，出现这种分布特征的数学概率仅仅只有大约1/5810（约0.017%）。而这一独特的数学偏差，恰好是20世纪90年代Unix系统C标准库经典函数`lrand48`的固有签名特征——该函数在生成随机数时，只会返回48位内部状态的高31位，导致其输出的最高位永远锁死为0。

[05:31](https://www.bilibili.com/video/BV1HQnT6VEgX?t=331s) 审讯：倒着跑出时间戳

锁定了核心嫌疑函数`lrand48`之后，接下来便进入了精密的数学审讯阶段。针对二元曲线种子中遗失的高位，模型直接穷举了 $2^{17}$ 种隐藏位组合；而针对素数曲线（P曲线）的种子，由于代码只截取并保留了生成器每次输出的低8位，这构成了密码学教科书上极为典型的截断线性同余生成器（truncated LCG）问题，模型直接调用LLL格基规约（Lenstra–Lenstra–Lovász lattice reduction）算法高效求出内部状态。

```mermaid flowchart TD accTitle: "模型破译种子状态流程" accDescr: "从统计指纹发现lrand48，通过LLL格归约倒退运行，匹配魔数0x330E并解出Unix时间戳" A["统计指纹检测<br>(10个字中4个最高位为0，概率1/5810)"] --> B["锁定90年代C标准库函数<br>lrand48"] B --> C1["二元曲线：穷举 2^17 隐藏位"] B --> C2["素数P曲线：LLL格基规约<br>(解决截断LCG问题)"] C1 --> D["沿状态转移方程反向倒推内部状态"] C2 --> D D --> E{"低16位是否出现<br>魔数 0x330E?"} E -- "是" --> F["该状态即为初始 srand48 的 Unix时间戳"] ```

破解过程中最精彩绝伦的一步，是将线性同余生成器的状态转移方程彻底倒转过来反向运行。当模型把生成器一步步往历史方向倒退时，其48位的内部状态突然呈现出了`srand48`刚刚完成初始化时的标准形态——状态的低16位固定成为了标志性的魔数`0x330E`。在倒退至这一刻的瞬间，高32位所保留的状态数值本身，赫然就是一个不折不扣的Unix时间戳。

[06:21](https://www.bilibili.com/video/BV1HQnT6VEgX?t=381s) 出土：答案土得掉渣，而且人人可验

最终出土的真相朴素得令人忍俊不禁：今天支撑着全球互联网加密流量大半壁江山的P-256曲线，其种子源自1997年8月16日的一个系统Unix时间戳。当年的NSA程序员直接把这个时间戳当作初始种子喂给了`srand48`，然后通过循环调用连续摇号，直到摇至第1842个候选数值时，该数值才碰巧通过所有曲线检验标准并被正式采纳。而另一条常用的P-192曲线，则是使用了1997年5月的时间戳，并在摇到第139个候选时入选。经过全量验证，5条P系列素数曲线、5条ANSI曲线以及4条二元曲线，总计14条主流曲线的种子全部完美破译，所有160位二进制数值实现了一位不差的逐位吻合。

破译过程中还出现了一个充满历史生活气息的俏皮细节：在分析二元曲线的种子时，提取出的时间戳直接转换后显示为1984年，这明显违背了密码学的发展史。研究人员随后发现，只要将该时钟数值乘以2（或者说把时钟数值除以2），时间便丝毫不差地落在了1998年4月17日。这无可辩驳地表明，当年坐在终端前的程序员在调用播种函数之前，先把抓取到的系统时钟砍了半。

为了确保研究的完全透明与可信度，Anthropic在官方博客正文中直接以公有领域（Public Domain）协议贴出了全部复现代码。任何人都可以在自己的个人电脑上运行脚本，仅需数秒钟即可完全重现所有种子的摇号生成过程。悬赏发起人Filippo Valsorda迅速使用Go语言进行了全流程的独立复现与验证，随后言出必行地将奖金翻至三倍，共计36,864美元全额捐赠给了Let's Encrypt的母机构互联网安全研究组（ISRG）。在这场破案历程中，还有一位名叫Steve Weis的资深密码学家参与其中——他从2018年起便不断向美国政府提交针对这些种子的信息公开申请，后来入职Anthropic并作为共同作者列名于本篇报告中。报告发布后，他在社交平台X上感慨地只写了一句话：“Claude找到了种子。”过去二十年间由四个独立信源煞有介事传出的各种背景秘闻，最终被证明没有一个是对的。

[07:56](https://www.bilibili.com/video/BV1HQnT6VEgX?t=476s) 结案：三条结论与三处未解之谜

面对这一轰动安全圈的重大发现，必须极其严密地界定其三项核心安全结论： 1. **这不是密码学破解**：研究丝毫没有产生任何针对椭圆曲线的新型数学攻击手段，这五条长期服役的标准曲线本身并未暴露任何安全破绽。 2. **后门疑虑被实质性消除**：该结果不仅没有增加安全隐患，反而极大打消了萦绕学界多年的后门阴云。Filippo Valsorda为此专门算过一笔账：即便NSA在当年可以随意指定1997年的任意一天、任意秒级时间戳，并任意挑选前16个摇出的候选者，留给攻击者的自由度上限也仅仅只有大约30个比特（bit）。在如此狭窄的自由度空间内，想要碰巧撞上一条只有NSA自己知晓漏洞的“特制缺陷曲线”，除非弱曲线在整个数学空间中密布到随处可见；“可要是那样，整个椭圆曲线密码早就整体完蛋了。”正如信息安全界的泰斗级老将Peiter Zatko（Mudge）评价道：“这对整整一代NIST密码学阴谋论是毁灭性的消息。” 3. **官方建议无需任何操作**：权威处置建议指出任何个人和机构都不需要采取任何行动或替换已有曲线，大多数密码学研究者原本就信任其数学强度，“好好用吧”。

尽管核心真相大白，但案件仍留下了三处尚未闭环的谜团： - **B-163种子悬案**：B-163曲线的种子在穷举中对不上任何已知的生成路径，学界普遍推测当年在整理标准或排版印刷出版时，可能仅仅是人工誊抄录入写错了字符。 - **基点来源空白**：P-224、P-256、P-384与P-521这几条核心曲线的基点（Base Point）究竟是如何选取的，目前在数学回溯中仍是一片空白。 - **被跳过的候选者之谜**：以P-256为例，系统最终采纳的是第1842个候选种子，但分析表明排在前面的第876个候选数值同样符合各项合格指标。当年的程序员为何要跳过合规的中间候选？正如安全社区精准总结的那样：“这解释了种子怎么生成，没解释种子怎么挑选。”

[09:26](https://www.bilibili.com/video/BV1HQnT6VEgX?t=566s) 收束：复现即证明与人类认知的反思

全案最引人深思之处，莫过于为何全世界顶尖的密码学家整整二十多年未能迈过这道门槛。究其根本，是因为一个微小的错误记忆带偏了整个时代的视线：当年当事人Solinas随口提及的“英文短语哈希”说法，让包括他自己在内的整个密码学社区在错误的道路上空耗了二十余年。“人类没有输在算力，输的是先验；大家太迷信当事人的口供了，这个模型的价值恰恰是他不迷信。”模型完全可能读过海量的相关文献，但它的思维路径并没有被这套先入为主的共识所绑架。

当然，社区内部也伴随着清醒而冷静的审视声音。有批评者指出，模型的底层训练语料几乎全部源自这些密码学家多年来公开发表的论文与讨论，直接宣称AI独立破案，对那些未能被署名的幕后研究者并不完全公平。另有学者尖锐地提到权限不对称的问题：Anthropic内部研究人员能够调用无拘无束的研究模型直切要害，而普通公众如果向商业接口提出类似底层探查问题，往往会首先触发过度敏感的安全护栏。

与此前AI辅助证明纯数学猜想时生成上千页推导、不得不依赖人类博士生逐条核验背书的模式不同，本次成果的检验范式更为古老也更具说服力：AI给出核心算法与数字，任何人在自己的普通电脑上重跑验证代码，每一个比特分毫不差，这便是“复现即证明”。正如博主在结语中感叹，这是由宇宙规律本身出面作为公证人，而整篇技术报告的收束正如那句从容的建议：“好好用吧！”

## Notable quotes > [09:26](https://www.bilibili.com/video/BV1HQnT6VEgX?t=566s) 人类没有输在算力，输的是先验；大家太迷信当事人的口供了，这个模型的价值恰恰是他不迷信。

## Mentioned Anthropic, Jerry Solinas, Filippo Valsorda, Steve Weis, Peiter Zatko, Claude, NSA, NIST, RSA, Juniper, Let's Encrypt, ISRG, Dual_EC_DRBG, P-192, P-224, P-256, P-384, P-521, B-163, ANSI, SHA-1, lrand48, srand48, LLL格基规约算法, 信息自由法案

## Video description 2026年10月16日，Anthropic 前沿红队发了一篇短文，副标题只有四个词：It&#39;s just timestamps，只是时间戳而已。背后是一个悬了26年的密码学疑案：全世界的加密网站、手机安全芯片、电子护照，相当一部分跑在五条NIST椭圆曲线上，而这些曲线的&quot;种子&quot;1997年由NSA数学家亲手交付，来源从未公开。谁能量身定制种子，谁就可能埋一条只有自己知道弱点的曲线。这正是2013年Dual_EC后门实锤之后，密码学界最不舒服的一颗雷。

一名Anthropic员工向内部研究模型提问，没给任何提示。模型像第一性原理侦探一样推理：1990年代的NSA程序员会用什么随机数？它扫描34种生成器组合，在种子的统计指纹里发现10个字有4个最高位为零（纯随机概率仅1/5810），锁定90年代C标准库的lrand48；再用LLL格归约恢复隐藏状态，把生成器倒着运行，直到低16位出现魔数0x330E——那一刻，状态本身就是一个Unix时间戳。不到半小时，五颗P曲线种子的来历全部落地，加上ANSI和二元曲线共14条，160位逐位吻合。复现代码以公有领域协议贴在博客正文，任何人在自己电脑上几秒钟就能重摇出全部种子。

00:05 开场：30分钟与26年 00:56 前情：袖子里没有藏牌 02:08 合理怀疑：埋雷是有先例的 03:12 人类的方向，错得整整齐齐 04:22 破案：统计指纹1/5810 05:31 审讯：倒着跑出时间戳 06:21 出土：答案土得掉渣，而且人人可验 07:56 结案：三条结论，三处未解 09:26 收束：复现即证明

先说清楚安全结论：这不是密码学破解，没有新攻击，你什么都不用换。结果反而降低了后门疑虑——悬赏发起人Filippo Valsorda用Go独立复现后把三倍赏金36,864美元全额捐给了Let&#39;s Encrypt母机构；就算NSA能随便挑1997年的时间戳，全部自由度也只有约30位，装不下一个后门。但案子没有全破：B-163的种子、四条曲线的基点、被跳过的候选，都还是空白。

人类为什么二十多年没找到？因为当事人一句&quot;英文短语哈希&quot;的错误回忆，把整个社区的搜索方向带偏了。这个模型的价值，恰恰是它不迷信。

报告原文：anthropic.com/research/ecdsa-curve-origins

[Source](https://www.bilibili.com/video/BV1HQnT6VEgX)

中文简报

Anthropic模型破译NIST曲线种子 证实源自1997年时间戳 模型通过反推lrand48状态证实核心椭圆曲线种子仅为系统时间戳，其约30比特的极小自由度彻底排除了NSA植入数学后门的可能性，宣告学界因轻信当事人回忆而误判了整整26年。 守护现代全球互联网加密与数字身份的NIST椭圆曲线标准，其种子自1997年由NSA交付以来来源成谜，尤其在2013年Dual_EC后门曝光后引发了长达26年的埋雷质疑。过去全人类密码学者受当事人“英文短语哈希”的误导性回忆影响而徒劳穷举，Anthropic的研究模型则摒弃先入为主的偏见，通过滑动比对发现1/5810概率的统计指纹，锁定老旧函数lrand48，并结合LLL格基规约逆向推导，最终还原出1997年的Unix时间戳与摇号逻辑。该结果证明留给设计者的自由度不足以植入后门，彻底排除了恶意埋雷的恐慌，且代码已开源供任何人秒级全量复现，但同时也指出了B-163种子与基点选取等少数遗留谜题。 Anthropic内部研究模型在未获思维提示的情况下，仅耗时约30分钟便侦破了困扰密码学界26年的NIST椭圆曲线种子来源之谜，证实其本质仅是1997年的Unix时间戳。 (0:00) 模型通过分析二进制统计指纹，发现二元曲线种子中10个字有4个最高位为零（真随机概率仅1/5810），由此锁定90年代C标准库函数lrand48，并借助LLL格基规约倒退内部状态解出时间戳。 (4:22) 该发现并未对现有密码体系构成破解，由于全部自由度仅约30位、无法容纳定制后门，实质性消除了学界对NSA埋雷的疑云，用户无需更换任何密钥或证书。 (7:56) 悬赏发起人Filippo Valsorda使用Go语言独立复现后，将三倍赏金共36,864美元捐赠给ISRG；Anthropic以公有领域协议开源了全部逐位吻合的复现代码。 (6:21)

Reading summary

Anthropic红队于2026年10月发布研究，证实困扰密码学界26年的NIST椭圆曲线种子并非NSA精心设计的数学后门，而是源自1997年使用C标准库函数生成的Unix时间戳。这一发现排除了长久以来的后门疑云，并表明相关加密标准无需更换。 26年埋雷疑云与先验偏差的误导 (2:08) 自2000年被采纳为美国国家标准以来，支撑全球现代加密流量的五条NIST椭圆曲线（P-192至P-521）始终笼罩在后门猜测中。由于NSA此前在Dual_EC_DRBG算法中确实植入过受控后门并向RSA秘密支付1000万美元，学界对其1997年提交的160位随机种子抱有极高戒心。尽管参数通过公开的SHA-1哈希承诺机制生成，但如果设计者能无限次尝试种子，便可能人为筛选出潜藏数学漏洞的曲线。 然而，全球顶尖密码学家多年来的排查完全陷入了僵局。当年提交种子的核心当事人Jerry Solinas曾公开回忆称种子可能来自诸如“Jerry deserves a raise”等英文短语的哈希。这一口供导致包括Filippo Valsorda悬赏12,288美元在内的民间与学界努力，均长期集中于大规模穷举英文文本。FOIA调阅无果叠加关键当事人去世，使该谜案一度被认为无法破解。 统计破绽锁定老旧随机数生成器 (4:22) 转机源于Anthropic内部研究人员向模型提出该问题时，未提供任何有关“英文短语”的先验提示。模型立足于第一性原理，推测20世纪90年代的程序员更倾向于直接调用C标准库函数，遂编写扫描程序对比了34种主流伪随机数生成器组合。 分析随即捕获到了关键数学指纹：在二元曲线种子的10个32位字中，有4个字的最高有效位精确为0，真随机下出现该概率仅约1/5810（约0.017%）。这与90年代Unix系统C标准库中的`lrand48`函数特性完全吻合，该函数仅输出48位内部状态的高31位，导致最高位恒为0。 反向状态推导与全量复现验证 (5:31) 锁定函数后，针对素数P曲线种子的低8位截断特征，研究人员利用LLL格基规约算法破解了截断线性同余生成器问题。通过将状态转移方程向历史方向倒推，其48位内部状态的低16位精准回退至`srand48`初始化时的固定魔数`0x330E`，而高32位则完整显露出当年的系统Unix时间戳。 最终核验显示，P-256曲线的种子是在1997年8月16日播种后摇号至第1842个候选数值所得，P-192则来自1997年5月的时间戳。包括P系列、ANSI曲线及二元曲线在内的14条主流曲线种子实现逐位吻合。Anthropic随后开源了复现脚本，密码学家Filippo Valsorda迅速用Go语言独立复现，并将翻倍至36,864美元的悬赏全额捐赠给ISRG。 安全定论与人类认知的局限反思 (7:56) 此项突破属于机制还原而非攻破椭圆曲线数学体系。Valsorda指出，即使NSA当年可在1997年内任意指定秒级时间戳并挑选前16个候选，攻击者可调配的自由度上限也仅约30个比特，在如此狭窄的范围内根本不足以预埋专有后门。安全专家Peiter Zatko据此认为这重创了一整代阴谋论，官方建议普通机构与个人无需更换任何密钥或证书。 这场突破也引发了认知层面的反思：人类专家受困于当事人不可靠的记忆口供，而AI的价值恰恰在于摆脱了权威共识的思维定势。不过社区亦存在冷静声音，指出模型能力建立在学界海量公开研究之上，且普通用户在商业接口常受制于安全护栏，研究级模型的权限不对称性同样值得审视。 该案仍留下三处细节谜团尚未闭环：B-163曲线种子因对不上路径被推测为人工排版誊抄笔误；P-224至P-521等曲线的基点选取逻辑依旧成谜；P-256为何跳过符合指标的第876个候选而采纳第1842个候选仍无法解释，呈现出“解释了如何生成，却未解释如何挑选”的局限。

Source quotes

[9:26] 人类没有输在算力，输的是先验；大家太迷信当事人的口供了，这个模型的价值恰恰是他不迷信。

Original transcript

[0:00] 2026年10月16日Anthropic的前沿红队发了一篇短文标题很直白,叫Claude揭开ECDSA曲线的起源。副标题只有四个词,翻译过来是只是时间戳而已这背后是个悬了26年的密码学一案一群顶尖密码学家追了二十多年没破,最后被一个AI用半小时破了案。破出来的答案也特别朴素一行1997年的老代码这期视频,我把这个案子的来龙去脉讲给你听。先把一件事说在前面,结论是安全的,这不是密码被破解,你什么都不用换。听完你会明白,这个安全结论本身才是全案最动人的部分。先讲背景,你每天打开的加密网站,手机里的安全芯片,还有不少国家的电子护照,相当一部分跑在五条椭圆区线上。这些曲线的名字很朴素P192、P224、P256、P384再加一条P521椭圆区线密码是现代数字世界的地基之一,这五条区线在2000年被写进了美国国家标准。问题是,这几条曲线是从哪来的?每条曲线有一个关键参数这个参数不由人手挑选,而是把一颗160位的种子做SHH1哈西算出来的。这套流程在密码学里有个专门的承诺,叫袖子里没有藏牌。就像魔术师卷起袖子给你看,常数来自透明的过程,设计者就没办法预先挑一条带后门的曲线。1997年,NSA的数学家Jerry Solanus把这五颗种子亲手交给了标准委员会。流程看起来合规矩但有一件事从来没有公开这些种子本身是拿什么生成的疑点就在这一步哈希过程人人可厌可如果有人能反复挑选种子呢理论上他可以一颗一颗室直到摇出一条只有自己知道弱点的曲线再把它浇上去这个手法有个名字叫埋雷,而且怀疑NSA埋雷不是被害妄想,因为真发生过。2013年斯诺登事件之后,NSA主推的一个随机数生成器DuoEC被石锤带了后门。路透社还报道,NSA向安全公司RSA支付了1000万美元。让这个后门算法成为默认选项2015年有人把Juniper防火墙里这个后门的常数换成了自己的真的解开了用户的VPN流量所以整个密码学界回头盯着这五颗种子一批来源从未公开的种子恰好来自一家刚被坐实在标准里埋过后门的机构这颗雷查不查?查了,方向还全错了,2015年前后,Solinas本人回忆说种子大概是拿英文短语的SHAA哈希做的,他举的例子是那句后来很出名的,Jerry deserves a raise,Jerry该涨工资了。争议爆发之后,他把记得的相似短语全试了一遍,一颗都没对上,生成种子的原始机器早就淘汰了。他后来形容,如果种子还在,就放在约柜旁边的一块硬盘上。走官方渠道信息自由法案的请求NIST答复说没有文档NSA干脆不回2023年,Solinas去世,答案看起来要被带进坟墓了。同年10月,密码学家Filippo Valsoda发了一笔12,288美元的悬赏。征集任何一颗种子的来历社区开始暴力搜索但所有人都默认了一件事,要找的是一个输入,一个能让SHAE吐出这颗种子的输入。这个共识错得离谱,而且错得整整齐齐。时间来到2026年10月,Anthropic的一名员工就是好奇,向他们的内部研究模型提了个问题。注意这个细节,他没给任何提示,连英文短语内查都没提。模型的思路像个第一性原理的侦探他先想1990年代一个NSA程序员的代码随机数会从哪来大概率不是什么特制装置,就是C标准库里的老古董。于是他写了一个扫描器沿着种子的比特逐位滑动,测了34种生成器和切片方式的 [5:00] 然后统计指纹出现了把两条二元曲线的种子各写成五个三十二位的字一共十个字里面有四个的最高位全部是零纯随机出现这种情况的概率大约58%而这恰好是一个叫Rand四发的老函数的签名他只返回48位状态的最高31位最高位永远是0锁定了嫌疑犯剩下的就是审讯二元曲线那边直接穷举二的十七次方种隐藏位素数曲线的种子只保留了每次输出的低八位,这是教科书籍的阶段同于生成器问题,用LL格规约直接解。最后一步最漂亮把生成器往回倒着运行直到内部状态出现Thrand48初始化后的标准形态D16位会固定成一个魔术330E那一刻,状态本身就是一个UNIX时间戳。答案土得掉渣P256今天用的最多的那条曲线是1997年8月16日的一个UNIX时间戳喂给Sran的48当种子然后连摇到第1842个候选才被选中P19201997年5月第139个候选5条P曲线,加上5条ANSI曲线和4条二元曲线,一共14条,全部对上,160位主位吻合。二元曲线还有个俏皮的细节。时间戳直接读会解到1984年,把时钟除以二,正好落在1998年4月17日,说明当年的程序是先把系统时钟砍半才播种的。复线代码以公有领域协议直接贴在博客正文里,任何人在自己电脑上跑一遍,几秒钟就能重新摇出全部种子。Filippo用Go语言独立复现了一遍然后把三倍后的赏金36,864美元全额捐给了LatinCraft的母机构还有个人值得一提从2018年就开始为这事发信息自由法案请求的密码学家Steve Weiss,后来加入了Anthropic,名字就列在这篇报告的作者栏里。他在X上只写了一句,Cloud找到了种子。当年四个独立信员给出的来历故事,后来证明没一个说对的。现在说安全结论,这部分必须一字一句讲清楚第一,这不是密码学破解。没有产生新攻击这五条曲线没有暴露任何弱点第二,结果反而降低了后门疑虑,Filippo算过一笔账就算NSA可以随便挑1997年的任何时间戳随便挑前16个候选全部自由度加起来只有大约30位想在这么小的空间里命中一条只有自己知道弱点的曲线,除非弱曲线多到满地都是,可要是那样,整个椭圆曲线密码早就整体完蛋了。安全圈的老匠Pet Cax说得更直接这对整整一代NIST密码学阴谋论是毁灭性的消息。第三,官方的处置建议是不需要采取任何行动,大多数研究者本来就信任这些曲线。好好用吧但案子没有全破B163这条曲线的种子对不上任何已逝的路径社区猜它可能只是出版时腾超错了P224、P256、P384、P521的基点从哪来?还是空白?还有被跳过的候选?P-256用的是第1842个,可第876个同样合格,为什么跳过?有人总结得准这解释了种子怎么生成,没解释种子怎么挑选。最后说说这件事最值得琢磨的地方为什么一群顶尖密码学家二十多年没找到这么朴素的一条路因为一个错误的记忆Selenas随口一句英文短语的回忆把整个社区的搜索方向带偏了包括他自己人类没有输在算里输的是鲜艳大家太迷信当事人的口供了,这个模型的价值恰恰是他不迷信他大概率读过那二十年里的所有论文和讨论但他没有被那套公司 [10:00] 绑住当然也有清醒的批评有人说,训练与料理全是这些研究者的文章,说他独立发现对那些没被署名的人不公平。还有人指出,Anthropic内部能做这种研究,普通用户去问同样的问题,可能先撞上安全护栏,这个不对称应该被看见。前两天我们讲过AI辅助证明数学猜想的事。那次AI出了上千页推导最后靠一位博士生逐条和燕签字单责这次的验证方式更古老也更有力AI爆出一个数字,任何人在自己的电脑上重跑一遍。数字对上就是对上复现即证明宇宙本身做公正人报告的结尾就一句话好好用吧!这期就到这儿,我们下期见!