知识卡片：Claude半小时解开密码学悬案，学界集体走偏20年

一句话结论

据量子位报道，Anthropic称Claude在不到半小时内查明五条NIST标准椭圆曲线种子的生成方式，指其来源是90年代Unix时间戳经lrand48伪随机数生成器产生，而非学界流传二十多年的“加薪口令”说法；该结果已获悬赏发起人独立复核，但仍有历史细节待核实。

事件概述或研究问题

• 背景：ECDSA（椭圆曲线数字签名算法）于2000年被NIST纳入FIPS 186-2标准，使用前需选定公共曲线参数，包括P-192、P-224、P-256、P-384、P-521五条曲线的“种子”。
• 悬案：种子是生成曲线参数的起始材料，但“为什么偏偏选这个种子”二十多年来无人能说清。当年提供种子的Jerry Solinas也记忆模糊，只大致记得可能把一句“给Bob和Jerry加薪”的玩笑口令转成数字再加计数器。
• 研究问题：这五组种子的前身究竟是什么？密码学工程师Filippo Valsorda曾发布悬赏令征集答案，长期无果。

方法/产品要点

• 执行者：Anthropic内部研究模型Claude；据披露，员工提交问题时未告知“加薪口令”这条线索。
• Claude的推断路径：自行猜测种子可能来自90年代C语言库的伪随机数生成器，因为这类程序输出看似杂乱但遵循固定规律。
• 扫描程序：Claude编写程序逐位检查公开种子的二进制数字，测试了34种生成器与输出截取方式的组合。
• 关键发现：四组种子拆成五个32位整数后，20个整数的最高位全是0——指向lrand48随机数生成器（其输出仅取高31位，放入32位时高位补0）。
• 恢复与回溯：借助LLL格基约简算法恢复被截取的状态；初始化函数srand48把输入值放入48位状态的高32位、低16位固定为0x330E，回溯目标指向Unix时间戳。
• 时间窗口：初始化输入集中在1997年5月至1998年4月。
• 示例：P-256对应初始化时刻为1997年8月16日UTC 01:52:34；从该时间运行生成器、取第1842组候选，得到以C49D开头的种子；另外四组也能一一对应。

主要结果或产业意义

• 五条NIST标准椭圆曲线的种子来源被定位为“某一刻的时间戳 + lrand48生成器 + 固定取数方式”，而非此前学界猜测的加薪口令哈希。
• 据材料，该结果意味着这些曲线不存在潜在安全漏洞，可以放心使用。
• 悬赏发起人已对结果进行独立复核（材料提及Filippo Valsorda的悬赏页面与Stefan Weis的相关推文，具体复核细节待核实）。

为什么重要

• 若结论成立，这解决了一桩持续二十余年的密码学标准溯源悬案，消除了“种子来源不明可能隐含后门”的长期疑虑。
• 展示了大模型在逆向推理与程序化搜索类科研问题上的应用潜力：自行提出假设、编写扫描程序、组合测试并回溯验证。
• 与既有卡片中“AI接管代码/工程任务”的脉络相比，本条增量在于AI被用于历史密码学标准的口径还原，而非模型能力或机器人本体的发布。

局限与不确定性

• Anthropic方面表示结果尚未补齐所有历史空白：当年程序跳过了一些看起来也符合条件的候选曲线，原因不明。
• B-163的种子以及部分曲线基点的生成方式尚未得到解释。
• 材料未说明Claude所用具体模型版本、扫描程序的完整方法与复现细节，待核实。
• “半小时”为Anthropic披露口径，独立计时与实验条件待核实。

可用于图书/PPT/简报的角度

• “AI当侦探”：从模糊线索到可验证假设——大模型如何自建扫描程序破解标准溯源问题。
• 密码学标准的“透明度”议题：种子来源可追溯性为何关系到公众信任。
• 科学界的群体性偏差：二十多年集体沿错误线索（加薪口令）猜测的案例。
• 伪随机数生成器的历史痕迹：90年代C库实现如何在不经意间被写进现代标准。

原始材料

• 来源：量子位（QbitAI），《Claude半小时解开密码学悬案，学界集体走偏20年》，作者鹭羽，2026-10-17。
• URL：https://www.qbitai.com/2026/10/503910.html
• 参考链接（原文列出）：
  • https://www.anthropic.com/research/ecdsa-curve-origins
  • https://x.com/sweis/status/2111165738836717980
  • https://words.filippo.io/seeds-bounty/