Claude半小时追出P-256种子：来自1997年的时间戳

36864美元的悬赏，这次被一个AI模型拿下，钱将捐给ISRG，也就是运营Let’s Encrypt的那家非营利机构。

悬赏针对的是一个困扰密码学界二十多年的问题：NIST标准里那几条椭圆曲线，参数究竟是怎么来的。

P-256是今天互联网上用得最多的椭圆曲线之一，HTTPS握手和大量数字签名都靠它。它和P-192、P-224、P-384、P-521一样，系数由一个“种子”经SHA-1哈希生成。哈希这一步谁都能验证，种子本身却是NSA给出的一串数字，没人说得清从哪来。2013年斯诺登文件曝光后，NSA被普遍认为在另一项标准Dual_EC_DRBG随机数生成器里留了后门，NIST随后撤下了这项标准。于是这串种子也被反复追问：会不会是有人试了大量种子，专门挑出一条只有自己知道弱点的曲线。密码学家Filippo Valsorda为此设过悬赏，谁能还原种子的生成方式就给钱。

Anthropic前沿红队这周公布了结果。Claude用了不到半小时，追出这5条曲线的种子都来自上世纪90年代Unix系统C库里的lrand48伪随机数生成器，初始值是Unix时间戳。P-256对应的时间戳是871696354，换算过来是1997年8月，它的种子是那次运行产生的第1842个候选值。

另外，Claude还还原了6条相关曲线基点的生成方式。没解开的也有：B-163的种子和Claude试过的所有方法都对不上，P-224、P-256、P-384、P-521的基点怎么来的，目前仍是空白。

Anthropic特意强调，这不是密码学破解，没有发现新的攻击方法或曲线弱点，现有系统不需要任何改动。

从结论看反而偏利好。种子能被还原成一次普通的、以时间戳起步的随机数运行，留给“精心挑选弱曲线”的空间就小了很多，蓄意后门的说法更难站住。几十年里不少人盯过这个问题，这次的突破口，是一台老机器上的C库函数和一个时间戳。