Claude fant på under en halvtime hvor NIST-kurvenes frø kom fra: lrand48 og et tidsstempel

Anthropic forteller at en ansatt i oktober 2026 ba en intern forskningsmodell finne opphavet uten å gi den noe hint. Svaret kom på under en halvtime. P-256-frøet C49D3608…819F7E90 er kandidat nummer 1842 fra en lrand48-kjøring startet 16. august 1997 klokken 01:52:34 UTC. Frøene kom fra NSA uten forklaring da NIST tok kurvene inn i FIPS 186-2 i 2000, og har siden vært mistenkt for å skjule en bakdør.

Flere Anthropic-ansatte hadde forgjeves jaktet på frasen den mangeårige NSA-ansatte Jerry Solinas mente ble hashet. Claude antok heller at programvaren brukte en svak tilfeldighetsgenerator fra 1990-tallets C-biblioteker. Skanneren den skrev testet 34 kombinasjoner av generator og bit-utsnitt. Fire frø hadde null i øverste bit overalt, signaturen til lrand48, som bare returnerer de øverste 31 bitene av en 48-bits tilstand. For primkurvene, der færre bit er bevart, gjenvant Claude tilstanden med LLL-gitterreduksjon. Alle ti primkurve-frø (fem fra NIST, fem fra ANSI X9.62) traff tidsstempler mellom mai 1997 og april 1998.

«Dette er ikke et kryptografisk brudd, et nytt angrep eller en svakhet i ECDSA-kurvene» — Anthropic

Ifølge Anthropic gjør funnet bakdør-teorien mindre sannsynlig, siden alle nå kan reprodusere frøene. Noen tråder står likevel løse. B-163-frøet er uforklart, det samme er basepunktene til P-224, P-256, P-384 og P-521. I P-256-kjøringen ga kandidat 876 også en gyldig kurve, men ble hoppet over av ukjente grunner. Anthropic mener antallet slike hopp er for lite til at svekkede kurver kan ha blitt plukket ut. Dusøren på 36 864 dollar går til Internet Security Research Group.

Underveis stoppet Claude opp og lurte på om den satt i et simulert testmiljø, før den regnet seg frem til «Wow, it's a real discovery.» Signerer du med ES256 eller P-256, endrer ingenting seg: Anthropic skriver selv at ingen trenger å gjøre noe annerledes. Python-skriptet på siden er CC0, og det gjenskaper P-256-frøet på sekunder.