Édition Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic relie les graines des courbes NIST à un ancien générateur aléatoire en C

> Anthropic affirme que Claude a aidé à reconstituer la génération de plusieurs graines de courbes NIST et ANSI. Son code retrouve les valeurs publiées, mais certains points de base et choix de sélection restent inexpliqués.

By BIG CHANGE Editorial

Published: 2026-10-17T04:34:13.533Z
Updated: 2026-10-17T04:34:13.533Z
Canonical: https://bigchange.ai/blog/anthropic-nist-curve-seeds-lrand48-origins

![Conceptual charcoal illustration of an analog clock in a dark metal housing with an orange thread looping from its side.](https://bigchange.ai/api/media/file/anthropic-ecdsa-clock-seed-concept-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no historical generator, security breach or independently verified calculation is depicted.

Anthropic affirme qu'une version de recherche de Claude a aidé son équipe de cryptographie à reconstituer l'origine de plusieurs graines publiées de courbes elliptiques. Le [rapport du 16 octobre](https://www.anthropic.com/research/ecdsa-curve-origins) relie cinq graines de courbes NIST sur des corps premiers et quatre graines de courbes binaires NIST aux sorties de `lrand48`, un ancien générateur pseudo-aléatoire en C initialisé à partir de valeurs dérivées d'une horloge. Il fournit aussi du code qui affiche les graines annoncées et reproduit certaines coordonnées de points de base.

Ce résultat traite d'une question sur l'histoire des paramètres normalisés. Anthropic ne rapporte ni nouvelle attaque ni cassure cryptographique. Sa reconstitution laisse aussi certains choix inexpliqués, notamment les raisons pour lesquelles des courbes candidates pourtant viables ont été écartées.

## Le grand changement

- **Ce qui a changé :** Anthropic a publié une recette de génération précise et du code pour les graines de NIST P-192, P-224, P-256, P-384 et P-521, de quatre courbes binaires NIST et de cinq courbes d'exemple ANSI X9.62. Sa recette distincte pour les points de base correspond à P-192 et à cinq exemples ANSI.
- **Comment :** L'équipe rapporte que Claude a reconnu des motifs dans les bits des graines publiées, retrouvé l'état du générateur puis remonté cet état jusqu'à des valeurs initiales évoquant des valeurs d'horloge. Pour six points de base, il a identifié un générateur utilisé dans d'anciens logiciels de calcul sur de grands entiers.
- **Limite :** Le code rend les correspondances proposées vérifiables, mais une recette qui donne les mêmes valeurs ne documente pas chaque décision historique de sélection et n'établit pas la sécurité des courbes. BIG CHANGE a examiné le billet public et la norme historique ; nous n'avons pas exécuté de reproduction indépendante.

## Ce qu'explique une graine de courbe

[La norme FIPS 186-2 archivée par le NIST](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf), datée du 27 janvier 2000, donne une graine de 160 bits pour chacune de ses cinq courbes sur des corps premiers. Un procédé spécifié fondé sur SHA-1 transforme la graine en coefficient de courbe. La norme énumère aussi séparément le corps, l'ordre de la courbe et les coordonnées du point de base. Elle indique que la graine fournie permet de vérifier que le coefficient découle du procédé spécifié ; elle ne décrit pas comment la graine elle-même a été choisie. La graine ne détermine pas non plus le point de base, le point fixe utilisé pour former les clés publiques.

Cette distinction définit la portée du résultat d'Anthropic. Retracer une graine peut expliquer une donnée d'entrée de la courbe normalisée. Le point de base exige une autre explication, et une sortie identique ne révèle pas toutes les décisions des personnes qui ont choisi les paramètres.

## Comment Anthropic a retracé les graines

Selon Anthropic, Claude a d'abord recherché dans les valeurs publiées des signatures d'anciens générateurs pseudo-aléatoires en C. Dans certaines graines de courbes binaires, le bit de poids fort de chaque mot de 32 bits était nul. Anthropic affirme que ce motif a orienté la recherche vers `lrand48`, qui renvoie 31 bits à partir d'un état interne de 48 bits. Le modèle a ensuite retrouvé des états possibles et vérifié si les sorties successives correspondaient aux graines. Pour les courbes sur des corps premiers, moins de bits de chaque sortie étaient conservés ; Anthropic dit donc que Claude a utilisé une méthode de réseaux pour retrouver l'état caché.

Le [code du billet d'Anthropic](https://www.anthropic.com/research/ecdsa-curve-origins#code-to-reproduce-the-seeds) part d'un état de type `srand48`, fait avancer la récurrence de `lrand48` et affiche des graines candidates de 20 octets. Son tableau précise les horodatages et numéros de candidats pour P-192, P-224, P-256, P-384 et P-521, ainsi que pour les exemples ANSI prime192v2, prime192v3 et prime239v1 à prime239v3. Pour P-256, l'exécution spécifiée atteint la graine publiée au candidat 1 842. La valeur P-256 affichée dans l'exemple d'Anthropic correspond à la graine de FIPS 186-2.

Anthropic rapporte une correspondance apparentée pour B-233, B-283, B-409 et B-571. Son code utilise une valeur d'horloge divisée par deux avant d'initialiser le générateur. Anthropic présente cette interprétation de l'horloge réduite de moitié comme une possibilité : remonter l'état retrouvé a donné des dates en février 1984, tandis que doubler les valeurs correspond au 17 avril 1998. La correspondance publiée étaye la recette du générateur ; elle n'établit pas quel choix de traitement de l'horloge les auteurs d'origine ont fait.

Anthropic décrit le travail comme une collaboration entre la question d'un salarié, la recherche et le code du modèle de recherche interne, et les vérifications de son équipe. Le rapport fournit du code et des exemples de sortie que d'autres peuvent examiner. Nous n'avons trouvé aucune reproduction indépendante à citer pour cet article, et BIG CHANGE n'a pas exécuté le code. La source permet donc de parler d'une reconstitution rapportée par Anthropic, les valeurs historiques du NIST servant de relevé externe des paramètres visés.

## Six points de base et les lacunes restantes

Anthropic dit qu'un autre générateur ancien, issu du logiciel de grands entiers FreeLIP d'Arjen Lenstra et des premières versions de NTL de Victor Shoup, correspond aux coordonnées x des points de base de P-192 et de cinq exemples ANSI. Son [deuxième listing de code](https://www.anthropic.com/research/ecdsa-curve-origins#code-to-reproduce-selected-base-points) initialise ce générateur avec de petits entiers, écarte sept sorties puis tire des coordonnées x candidates jusqu'à ce que l'une se situe sur la courbe. Les six exemples sont P-192, prime192v2, prime192v3 et prime239v1 à prime239v3. Anthropic affiche une correspondance pour chaque coordonnée x publiée. Le relevé historique P-192 du NIST fournit la valeur utilisée dans cette comparaison.

Plusieurs limites subsistent dans le propre récit d'Anthropic. L'équipe n'a pas pu retrouver la graine B-163. Elle n'a pas expliqué les points de base de P-224, P-256, P-384 ou P-521, ni ceux des courbes binaires NIST. Les exécutions ont aussi ignoré des candidats qui, selon Anthropic, auraient satisfait aux conditions indiquées de taille et d'ordre premier. Le candidat 876 de P-256 en est un exemple, avant le candidat publié 1 842 ; Anthropic rapporte trois candidats viables sautés dans l'exécution P-224 et sept au total dans deux exécutions d'exemples ANSI. L'équipe ne connaît pas le critère de sélection et ne sait pas si ces sauts étaient un artefact.

Pour les ingénieurs en sécurité, le nouvel élément utile est un récit vérifiable du chemin de génération apparent de nombreuses valeurs de paramètres. Il circonscrit une ancienne question sur des graines opaques sans répondre à toutes les questions sur la sélection des courbes. Anthropic précise elle-même que le résultat n'est pas une raison de modifier les pratiques cryptographiques des utilisateurs.

## Sources et lectures complémentaires

- [Anthropic, « Claude révèle les origines des courbes ECDSA » (16 octobre 2026)](https://www.anthropic.com/research/ecdsa-curve-origins). Le récit de l'équipe sur le rôle du modèle, les reconstitutions des graines et des points de base, les listings de code, les sorties et les questions ouvertes. Ses conclusions restent des résultats rapportés par l'équipe ; BIG CHANGE n'a pas exécuté le code de manière indépendante.
- [NIST, *FIPS 186-2 : norme de signature numérique* (27 janvier 2000 ; archivée)](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf). L'annexe 6 énumère les graines historiques des courbes, leurs coefficients et les coordonnées des points de base, et décrit l'utilisation des graines publiées. C'est un relevé de paramètres, pas une explication des choix initiaux de graines.
- [Neal Koblitz et Alfred Menezes, « Une énigme enveloppée de mystère » (2015 ; mise à jour en 2018)](https://eprint.iacr.org/2015/1018.pdf). Discussion historique des spéculations entourant les normes de courbes elliptiques. Elle précède la reconstitution d'Anthropic et ne valide pas les nouveaux calculs.

## Sources

- [Claude révèle les origines des courbes ECDSA](https://www.anthropic.com/research/ecdsa-curve-origins) — L'affirmation, la méthode, le code, les sorties et les limites d'Anthropic ; des éléments rédigés par l'entreprise, pas une validation indépendante.
- [FIPS 186-2 : norme de signature numérique](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf) — Norme historique archivée qui énumère les graines, coefficients et points de base du NIST et décrit la vérification des graines. N'explique pas le choix initial des graines.
- [Une énigme enveloppée de mystère](https://eprint.iacr.org/2015/1018.pdf) — Discussion historique de préoccupations concernant les normes ; elle précède la reconstitution d'Anthropic et ne la valide pas.