Claude AI 破解NSA 25年密码种子之谜

几十年来，世界上一些最杰出的密码学家一直在追寻一个“幽灵”。五条用于保护互联网通信的数学曲线中包含着由美国国家安全局（NSA）提供的神秘数字，而没有人能令人信服地解释这些数字的来源。相关理论五花八门，从被遗忘的玩笑到蓄意埋下的漏洞，不一而足。 随后，Anthropic公司的Claude AI尝试破解这一谜题，最终将这些数字追溯到一个旧计算机程序和近三十年前的时间戳上。

以美国国家安全局为核心的25年之谜

故事始于20世纪90年代末，当时数学家们正在制定椭圆曲线密码学的标准——这是一种利用复杂数学原理保护数字信息的方法。 五条曲线——即P-192、P-224、P-256、P-384和P-521——最终被纳入美国国家标准与技术研究院（NIST）发布的标准中。其数学原理为网站、金融交易和政府通信提供了安全保障。

但关键在于：每条曲线都是利用一个名为“种子”的神秘160位起始数构建而成的。 任何人都可以验证生成这些曲线所采用的数学过程，但无人知晓美国国家安全局（NSA）是如何选定这些原始数字的。这一悬而未决的问题引发了猜测：该机构是否可能故意选择特定种子，以掩盖只有其内部专家才能利用的漏洞。

密码学家尼尔·科布利茨（Neal Koblitz）和阿尔弗雷德·梅内泽斯（Alfred Menezes）在2015年的论文《谜中之谜》（A Riddle Wrapped in an Enigma）中探讨了这一争议。虽然从未有人证明存在实际的后门，但这一谜团始终未解。

那个似乎从未存在过的秘密短语

多年来，主流解释都指向NSA数学家杰里·索利纳斯，据称正是他提供了原始种子。索利纳斯等人回忆说，这些数字是通过对幽默的英语短语进行哈希运算生成的，可能是类似“杰里应该加薪”这样的短语。哈希运算将信息转换为固定长度的数学指纹。 遗憾的是，没有人记得确切的短语，而且据称那台原始计算机已被更换。

索利纳斯本人曾尝试重现这一过程，但未果。这个谜团最终被标上了价格标签。 2023年10月，密码学家菲利波·瓦尔索达（Filippo Valsorda）悬赏12,288美元，征集能解释这些种子来源的人。一项慈善配对计划将潜在奖金提升至36,864美元。三年间，这笔奖金始终无人认领。随后，克劳德（Claude）登场了。

克劳德发现了隐藏在明处答案

根据Anthropic公司10月16日发布的研究报告，一名员工要求内部的Claude研究模型调查这些种子，但并未提及流传已久的“密语”理论。该模型开始分析与早期计算机程序相关的模式。一个线索立刻脱颖而出。 部分种子包含一组数字，其最高位始终为零——这种模式随机出现的概率约为5,810分之一。 这指向了lrand48，一种在Unix时代编程环境中常见的伪随机数生成器。 与真正的随机过程不同，一旦伪随机数生成器的初始值被知晓，其生成的序列便是可预测的。克劳德通过数学推导逆向追溯，还原了生成器的内部状态，并精确重现了已公布的种子。随后，真正的惊人发现出现了。

这些初始值对应于1997年和1998年的Unix时间戳——即日期和时间的普通数值表示形式。模型记录的推理过程流露出它自身明显的难以置信：“这太令人震惊了：它解开了这个延续了25年的谜团。” 整个过程耗时不到30分钟。

五条曲线、五个时间戳与一次非凡的匹配

恢复的初始值将五条 NIST 素数域曲线追溯到了 1997 年 5 月至 1998 年 4 月之间的具体日期。P-192 源自一个对应于 1997 年 5 月 18 日的时间戳，而 P-521 则可追溯至同年 8 月 8 日。 P-256紧随其后，生成于8月16日；P-384生成于8月30日；P-224则生成于1998年4月3日。 其显而易见的“配方”简单得近乎滑稽：用时间戳初始化一个普通的随机数生成器，生成候选种子，根据数学要求进行测试，并持续搜索直至出现一条可接受的曲线。

对于 P-256，被接受的种子出现在第 1,842 个候选种子中；而对于 P-224，则需要 7,026 个候选种子。匹配结果完全一致，不仅生成了与已发布种子完全相同的 160 位二进制数，而非仅仅生成外观相似的数字。 瓦尔索达使用Go编程语言独立重现了这些结果，证实了上述发现。Anthropic公司还发布了源代码，以便他人验证该工作。这些结果为该生成方法提供了强有力的数学证据，尽管它们并未确切说明最初是谁操作了该软件，也未解释为何某些候选种子被拒绝。

这一发现对互联网安全意味着什么

这一发现令人放心，尽管它并不等同于普遍的安全保证。长期以来，人们一直担心美国国家安全局（NSA）在选择种子时拥有足够的自由度，从而可能故意选择在数学上存在漏洞的曲线。而此次还原出的生成过程所提供的选择范围，似乎远小于某些假设性攻击所需要的选择范围。 Anthropic的研究人员在较为宽松的假设下估算，选择自由度约为30比特，远低于某项弱点选择情景中设想的约70比特。

这使得这一特定的后门理论可信度大幅降低。重要的是，这一发现既没有打破椭圆曲线密码学，也没有证明所有可能的弱点都被排除。它也不会直接影响比特币或以太坊，因为它们使用的是名为secp256k1的另一种椭圆曲线。

格雷戈里·麦克斯韦尔给克劳德的“高光时刻”泼了冷水

有趣的是，比特币开发者格雷戈里·麦克斯韦尔对此反应并不热烈。他在Hackernews上声称，自己早在9月20日就曾建议一位即将用完Anthropic AI积分的朋友调查同一项密码学谜题。该朋友的AI代理花了数小时研究该问题却未果，这让麦克斯韦尔对其推理能力不以为然。

作为Anthropic人工智能方法的直言不讳的批评者，麦克斯韦质疑该公司是否限制了其朋友所用模型的能力，并调侃了围绕克劳德这一发现的炒作。他并未据为己有，也未对研究结果提出异议，而是暗示结果的差异可能仅仅反映了人工智能被引导的方式不同。

“我这么说并不是要暗示‘厌世者’又一次窃取了别人的成果——这是一个显而易见的问题，许多人肯定都曾提出过，而且成功与否可能取决于专业操作（而我的朋友在那个例子中显然没有做到这一点），”麦克斯韦写道。 “但这确实让我怀疑，该公司是否在暗中降低了模型的性能。”

赏金已发放，但疑问犹存

这一发现终于解决了瓦尔索达持续三年的挑战。 Anthropic团队将36,864美元的奖金转给了运营Let's Encrypt的互联网安全研究组（ISRG）。瓦尔索达将这一发现描述为“有助于填补密码学历史中的一页，并增强了我们对这些关键密码学原语的信心”。仍有几个悬而未决的问题。 研究人员尚未完全解释为何某些数学上可接受的候选方案被舍弃，而另一条曲线（B-163）的种子来源也仍未查明。

尽管如此，核心谜团似乎已解开。经过数十年的怀疑、揣测以及试图重建这句据称已被遗忘的密语却屡屡失败，答案竟藏在一段普通的 1990 年代计算机程序中。美国国家安全局（NSA）那些神秘的数字未必隐藏着什么复杂的秘密，它们可能仅仅是在记录时间。