Het model Claude, een intern onderzoeksmodel van Anthropic, heeft de oorsprong achterhaald van vijf cryptografische 'seeds' die door de NSA zijn geleverd voor elliptic curve cryptografie. Dit onderzoek, gepubliceerd op 16 oktober 2026, werpt licht op een vraagstuk dat zo'n 25 jaar openstond en verklaart de keuze van cruciale publieke beveiligingsparameters. De bevindingen leiden echter niet tot het ontsluiten van geheime sleutels of het breken van encryptie.

De seeds achter de NIST curves P-192, P-224, P-256, P-384 en P-521 blijken afkomstig te zijn van `lrand48`, een oudere C-bibliotheek random-number generator. Deze generator werd geïnitialiseerd met Unix timestamps, wat een langlopende theorie dat de waarden hashes van humoristische zinnen waren, ontkracht. Het model Claude onderzocht in dit kader generatoren die gangbaar waren in software uit de jaren '90.

Claude ontwikkelde een scanner die 34 combinaties van generatoren en output-segmenten onderzocht op zoek naar patronen in de gepubliceerde seeds. Voor sommige binaire-curve seeds toonde een duidelijke aanwijzing zich: hun 32-bit woorden hadden consistent een nul in de hoogste bit, wat overeenkomt met `lrand48`. Claude kon kandidaat-states herstellen door de 17 verborgen bits te testen en daaropvolgende outputs te controleren.

Voor de prime-curve seeds was een extra stap noodzakelijk, aangezien deze slechts acht bits uit elke generator-output gebruikten. Claude paste hiervoor het Lenstra–Lenstra–Lovász (LLL) lattice reduction algoritme toe om interne states te herstellen uit deze gedeeltelijke waarden. Zo kwamen vijf NIST seeds en vijf ANSI X9.62 voorbeeld seeds overeen met deze constructie. Het terugdraaien van de generator onthulde initialisatiewaarden die overeenkwamen met datums tussen mei 1997 en april 1998.

Specifiek voor P-256 was de gepubliceerde seed de 1.842e kandidaat van een proces dat op 16 augustus 1997 om 01:52:34 UTC werd geïnitialiseerd. Elk kandidaat bevatte 20 bytes. Vier binaire-curve seeds toonden eveneens overeenkomst met de generator, waarbij hun waarden een klokwaarde gedeeld door twee suggereerden.

Daarnaast heeft Claude de generatie van de basispunten voor P-192 en vijf ANSI voorbeeldcurves herleid naar FreeLIP, een pakket voor rekenkunde met lange gehele getallen. Basispunten zijn vaste startpunten die worden gebruikt voor het berekenen van publieke sleutels, en hun oorsprong is gescheiden van de curve seeds. Desondanks blijft de seed van B-163 onverklaard, evenals diverse basispunten.

Onderzoekers identificeerden ook overgeslagen kandidaten die geschikt leken, waaronder een P-256 kandidaat nummer 876, zonder echter de reden voor de afwijzing te kennen. Het NIST nam het ECDSA (Elliptic Curve Digital Signature Algorithm) aan in de FIPS 186-2 standaard in 2000. Digitale handtekeningen dienen voor het verifiëren van de afzender van data en de integriteit ervan. De gepubliceerde seeds die in deze standaard werden gebruikt, waren afkomstig van een SHA-1-gebaseerd proces voor het verkrijgen van curveparameters, maar de oorsprong van deze seeds werd destijds niet gespecificeerd.

Anthropic benadrukt dat deze ontdekking geen cryptografische breuk, nieuwe aanvalsmethode of nieuw ontdekte zwakte van ECDSA betreft. Het gaat om publieke curve-generatie seeds, niet om private ondertekeningssleutels, en de reconstructie ervan stelt een aanvaller niet in staat om handtekeningen te vervalsen. Het onderzoeksproces maakt opzettelijke manipulatie minder aannemelijk.

Dit werk voegt een voorbeeld toe van cryptografisch onderzoek ondersteund door kunstmatige intelligentie, waarbij het resultaat historische verduidelijking is in plaats van een verbeterde aanvalsmethode. De bevindingen versterken daardoor het vertrouwen, zonder echter te bewijzen dat elke selectiebeslissing onschadelijk was. Anthropic heeft reproductiecode gepubliceerd zodat anderen de overeenkomsten kunnen verifiëren. De Internet Security Research Group ontvangt een beloning van $36.864 voor hun aandeel. Het rapport roept niet op tot veranderingen in geïmplementeerde systemen op basis van deze ontdekking alleen.