Claude 30分钟破解25年加密谜题

答案其实一直很简单。而这恰恰最令人不安。

10月16日，Anthropic宣布，其内部AI研究模型Claude在不到30分钟内就破译了美国国家安全局（NSA）如何生成嵌入五个NIST椭圆曲线标准中的种子值。这些种子自2000年起就始终缺乏合理解释，引发了整整二十年的猜疑：NSA是否故意削弱了这些曲线的安全性。

这一发现并未攻破ECDSA，也没有给攻击者带来新武器。但它改变了关于“谁能解决数学、代码与制度记忆交叉地带的问题”的讨论——以及AI能多快从那个交叉地带走向曾经只有专家才能染指的领域。

谜团比创造者更长寿

涉事曲线来自FIPS 186-2，这是2000年发布的一项标准，定义了P-256、P-384、P-521及相关参数，每天被数十亿台设备使用。每条曲线都携带一个种子值——一个从数学可能空间中选定该曲线的数值常量。种子由NSA提供，但生成方法从未留下任何文档。

这一缺失成了该领域的阴影。当布鲁斯·施奈尔（Bruce Schneier）等人提出可能存在隐藏后门时，社区既无法证实也无法否定。种子看似随意。而在密码学中，毫无解释的随意，才是人们最深的恐惧。

前NSA密码学家杰瑞·索利纳斯（Jerry Solinas）在2015年给出过部分解答。他回忆称——并强调这是玩笑——种子可能是通过对一段英文文本进行哈希运算生成的。但他说不出具体是哪段文本。写出原始代码的同事也已不记得当时流程。纸质线索早已遗失。人们唯一能做的只有猜测。

二十五年来，这种猜测从未停歇。它塑造了审计要求，影响了采购决策，也让全球安全团队长期保持着一种隐隐的不信任。这也意味着，一旦未来发现种子存在弱点，将没有任何清晰的证据链来追溯当时的决策过程。

Claude到底发现了什么

Anthropic表示，一名研究人员让Claude调查种子的来源。短短三十分钟内，该模型就返回了复现代码：种子源自lrand48，这是一种上世纪90年代中期广泛使用的C语言库伪随机数生成器。喂入lrand48的种子值是一个时间戳，代表1997或1998年的某个日期，以数字形式表示。生成器的输出随后经过组合，得到了最终的常数。

换言之，索利纳斯的“文本哈希论”是错误的。这些常数并非源于刻意的编码设计。它们只是某个随手选取的随机源的产物，其输出恰好落在了合法的曲线上。

Claude还找出了另一份NIST文件中列出的五条额外曲线的生成方法，以及通过另一项NIST流程采纳的四条曲线的生成方法。在某些情况下，它还原了基点（即密钥生成和签名验证中使用的公开锚点）的选取方式。

Anthropic已公开复现种子的代码。任何有权访问该标准且具备C编译器的人均可验证这些发现。

为何其意义远超数学本身

直接的实际影响十分有限。种子是公开参数，并非秘密密钥。目前没有任何已知攻击能够利用它们源自lrand48这一事实。此项发现也未被证明会削弱曲线本身的安全性。反过来说，这一结果降低了NSA刻意设计种子以隐藏后门的可能性。真正的刻意后门，几乎不可能依赖一个基于时间戳的伪随机数生成器。

但更广泛的含义却难以轻易忽略。

首先是时间线。三十分钟。一个困扰人类专家二十五年的问题，被一个从未读过任何FIPS文档、甚至不理解“曲线”为何物的系统，在半小时内解答。这并非对以往方法的边际改进。当攻击目标转为文档、代码和公开标准，而非加密流量时，这是一个结构性转变——公开问题能被破解的速度正在发生质变。

其次是压力的方向。多年来，担忧一直是单向的：NSA构建系统；批评者担心系统被削弱。AI改变了这种几何结构。如果模型能从最终参数逆向工程出生成过程，同样的技术就能反过来用于审查其他标准。问题不再在于政府机构是否在曲线中藏了什么东西，而在于任何组织——无论是商业、学术还是政府——能否像Claude刚才做的那样，审计自身的历史决策。

第三，信任的重估。密码学界长期秉持一个假设：若某项标准看起来可疑，我们在得到反证前应始终保持怀疑。这是对透明度有限的一种理性回应。Claude的结果表明，透明度有时能比任何人预期的更快恢复——但也意味着恢复的过程可能并不像我们当初规划的那样。它可能表现为：AI模型在跑实验，而人类在一旁观看。

仍未知之谜

并非一切均已揭晓。Claude找出了曾生成合法曲线但最终未被选中的种子候选值。这些候选值被淘汰的原因依然不明。B-163曲线的种子未被还原。若干曲线中基点的选取方法仍未得到解释。这些空白表明，完整流程可能比当前发现呈现的更为复杂——或者相关记录已经永久遗失，永远无法复原。

Anthropic团队选择将Filippo Valsorda等人提供的12,288美元奖金捐出；若转捐给符合条件的慈善机构，该金额将翻三倍至36,864美元。善款将捐赠给Let’s Encrypt背后的非营利组织——互联网安全研究小组（ISRG）。这是一个明确的信号。这项成果并未被留作筹码。

下一步怎么走

密码学界应将此事视为概念验证，而非最终结论。Claude解开了一个谜题。同样的方法或许也能应用于其他缺乏文档记录的生成标准——而且这类标准数量众多。如今的问题已不再是AI能否解开这些问题，而是谁将驾驭这项能力，以及何种规范将随之诞生以约束其使用。

对于工程师和政策制定者而言，核心启示很务实：凡是有足够文档支撑的开放式密码学问题，都应假定能在数小时内被Claude这类模型破解，而非数年。审计你的标准。公开你的生成流程。切勿依赖隐蔽性来维护你对未来工具能力的假设。

NSA并未在这些曲线中植入后门。但它也确实没留下任何凭证。二十五年的疑虑画上句号，只因一个AI提出了正确的问题，并运行了足够多的实验以察觉规律。这并非令人宽慰之事。这恰是对未来的丈量。