Markdown 版本

AI-translated from English; not yet reviewed by a fluent editor.

# Anthropic将NIST曲线种子溯源至一个旧C随机数生成器

> Anthropic称，Claude帮助重建了若干NIST和ANSI曲线种子的生成过程。其代码与已公布的数值吻合，但一些基点和选择决定仍未得到解释。

By BIG CHANGE Editorial

Published: 2026-10-17T04:34:13.533Z
Updated: 2026-10-17T04:34:13.533Z
Canonical: https://bigchange.ai/blog/anthropic-nist-curve-seeds-lrand48-origins

![Conceptual charcoal illustration of an analog clock in a dark metal housing with an orange thread looping from its side.](https://bigchange.ai/api/media/file/anthropic-ecdsa-clock-seed-concept-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no historical generator, security breach or independently verified calculation is depicted.

Anthropic称，研究版Claude帮助其密码学团队重建了若干已公布椭圆曲线种子的来源。其[10月16日的报告](https://www.anthropic.com/research/ecdsa-curve-origins)将5个NIST素域曲线种子和4个NIST二元域曲线种子与 `lrand48` 的输出联系起来。这是一个较早的C伪随机数生成器，用源自时钟的数值初始化。报告还提供了代码，可打印所报告的种子，并重现部分基点坐标。

这一结果回应的是标准化参数的历史问题。Anthropic没有报告新的攻击或密码学破解。其重建仍未解释一些选择，包括为何跳过某些可行的候选曲线。

## 重大变化

- **变化是什么：**Anthropic公布了具体的生成方法和代码，涉及NIST P-192、P-224、P-256、P-384、P-521、4条NIST二元域曲线以及5条ANSI X9.62示例曲线的种子。其另行给出的基点生成方法与P-192和5个ANSI示例吻合。
- **如何做到：**团队报告称，Claude识别出已公布种子比特中的模式，恢复生成器状态，并将状态回溯至类似时钟值的初始值。对于6个基点，它找到了一个用于旧长整数软件的生成器。
- **局限：**代码让人们能够检查所提出的吻合关系，但一种能得到相同数值的方法并不能记录每一个历史选择决定，也不能证明曲线安全。BIG CHANGE审阅了公开文章和历史标准，未独立运行代码以复现结果。

## 曲线种子能解释什么

[NIST存档的FIPS 186-2](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf)，日期为2000年1月27日，为其5条素域曲线各列出了一个160比特种子。指定的SHA-1流程将种子转换为曲线系数。标准也分别列出域、曲线的阶和基点坐标。标准表示，所提供的种子可让读者验证系数是否遵循指定流程，但并未说明种子本身如何选定。种子也不决定基点，即用于生成公钥的那个固定点。

这一区分界定了Anthropic发现的范围。追溯种子可以解释标准化曲线的一项输入。要解释基点，还需要另一套说明；输出吻合无法揭示参数选择者作出的每一个决定。

## Anthropic如何追溯种子

据Anthropic介绍，Claude首先在已公布的数值中寻找旧C伪随机数生成器的特征。在部分二元域曲线种子中，每个32比特字的最高位都为零。Anthropic称，这一模式指向 `lrand48`，它从48比特内部状态返回31比特。随后，模型恢复可能的状态，检查连续输出是否与种子匹配。对于素域曲线，每次输出保留的比特更少，因此Anthropic称Claude使用了格方法来恢复隐藏状态。

Anthropic文章中的[代码](https://www.anthropic.com/research/ecdsa-curve-origins#code-to-reproduce-the-seeds)从 `srand48` 风格的状态出发，推进 `lrand48` 的递推，并打印20字节的候选种子。表格列明了P-192、P-224、P-256、P-384、P-521，以及ANSI示例prime192v2、prime192v3、prime239v1至prime239v3的时间戳和候选编号。对于P-256，指定运行在第1,842个候选值处得到已公布的种子。Anthropic示例打印的P-256数值与FIPS 186-2中的种子吻合。

Anthropic还报告了B-233、B-283、B-409、B-571的相关吻合结果。其代码在初始化生成器前使用除以二的时钟值。Anthropic将这种时钟减半的解释描述为一种可能性：回溯恢复出的状态得到1984年2月的日期，而将数值加倍则对应1998年4月17日。已公布的吻合结果支持生成器方法，但不能证明原作者采用了哪种时钟处理方式。

Anthropic将这项工作描述为员工提出的问题、内部研究模型的搜索和代码，以及团队核查之间的协作。报告提供了可供他人检查的代码和示例输出。我们没有找到可在本文中引用的独立复现，BIG CHANGE也未执行代码。因此，该来源支持将结果描述为Anthropic所报告的重建，而历史NIST数值则作为目标参数的外部记录。

## 六个基点与仍存的缺口

Anthropic称，另一个旧生成器来自Arjen Lenstra的FreeLIP长整数软件包和Victor Shoup的早期NTL版本，与P-192和5个ANSI示例的基点x坐标吻合。其[第二段代码](https://www.anthropic.com/research/ecdsa-curve-origins#code-to-reproduce-selected-base-points)以小整数为该生成器设置种子，丢弃7次输出，再抽取候选x坐标，直到某个候选点位于曲线上。这6个示例是P-192、prime192v2、prime192v3以及prime239v1至prime239v3。Anthropic为每个已公布的x坐标都打印出吻合结果。NIST历史P-192列表提供了这次比较所使用的数值。

Anthropic自己的说明仍存在多项局限。它未能恢复B-163种子；也未解释P-224、P-256、P-384、P-521或NIST二元域曲线的基点。运行还跳过了Anthropic称本可满足所述大小和素数阶条件的候选值。P-256的第876个候选值就是一例，位于已公布的第1,842个候选值之前。Anthropic报告称，P-224运行中跳过了3个可行候选值，另有两次ANSI示例运行合计跳过7个。团队不知道选择标准，也不知道这些跳过是否属于某种技术性假象。

对安全工程师来说，有用的新成果是一套可核查的说明，展示许多参数值看起来是如何生成的。它缩小了围绕不透明种子的一个长期问题的范围，却未回答曲线选择的所有问题。Anthropic自己也表示，这一发现并不是用户改变密码学实践的理由。

## 来源与延伸阅读

- [Anthropic：《Claude揭示ECDSA曲线的起源》（2026年10月16日）](https://www.anthropic.com/research/ecdsa-curve-origins)。团队对模型作用、种子和基点重建、代码、输出及未解问题的说明。其结论仍是团队所报告的发现；BIG CHANGE未独立执行代码。
- [NIST：*FIPS 186-2：《数字签名标准》*（2000年1月27日；存档版）](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf)。附录6列出历史曲线种子、系数和基点坐标，并描述已公布种子的用途。这是一份参数记录，并不是原始种子选择的解释。
- [Neal Koblitz与Alfred Menezes：《包裹在谜团中的谜题》（2015年；2018年更新）](https://eprint.iacr.org/2015/1018.pdf)。关于椭圆曲线标准相关猜测的历史讨论，早于Anthropic此次重建，不能验证这些新计算。

## Sources

- [Claude揭示ECDSA曲线的起源](https://www.anthropic.com/research/ecdsa-curve-origins) — Anthropic的主张、方法、代码、输出和局限；由公司撰写的证据，并非独立验证。
- [FIPS 186-2：《数字签名标准》](https://csrc.nist.gov/files/pubs/fips/186-2/final/docs/fips186-2.pdf) — 列出NIST种子、系数和基点并描述种子验证的历史标准存档。未解释最初的种子选择。
- [包裹在谜团中的谜题](https://eprint.iacr.org/2015/1018.pdf) — 关于标准疑虑的历史讨论；早于Anthropic此次重建，并不验证该重建。