Claude за полчаса разгадал загадку АНБ, которой больше 25 лет.

Claude за полчаса разгадал загадку АНБ, которой больше 25 лет. Ответ был у криптографов под носом

Четверть века вокруг одного из главных стандартов современной криптографии держалась почти детективная интрига. В 2000 году американский институт стандартов NIST утвердил набор эллиптических кривых от P-192 до P-521 – сегодня на P-256 держатся подписи сертификатов сайтов, токены входа и защищенные чипы телефонов.

Параметры этих кривых выведены из начальных чисел, или “семян”, которые Агентство национальной безопасности США передало в стандарт без всяких объяснений. 16 октября 2026 года команда Anthropic сообщила , что ее внутренняя исследовательская модель Claude меньше чем за полчаса нашла происхождение этих чисел, а криптограф Филиппо Вальсорда, объявивший за разгадку награду, подтвердил правильность решения .

Иллюстрация сгенерирована с помощью ИИ.

Чтобы доказать честность алгоритма, криптографы обычно используют принцип “ничего в рукаве”: берут число из прозрачного источника и пропускают через хеш-функцию, показывая, что параметры не подгоняли вручную под скрытую уязвимость.

В случае с кривыми NIST прозрачности не было, а после разоблачений Сноудена и истории с генератором Dual_EC_DRBG, который заподозрили в наличии закладки АНБ и затем исключили из рекомендаций NIST , подозрения стали совсем серьезными.

Легенда гласила, что семена – это хеш шуточной английской фразы, которую автор расчетов, Джерри Солинас из АНБ, просто забыл. В 2015 году Солинас вспоминал вариант вроде “Give Bob and Jerry a raise” (“Поднимите Бобу и Джерри зарплату”; Боб – его коллега Боб Райтер, писавший код) и признавал, что старые архивы найти уже не удалось.

В 2018 году исследователь Стив Вейс попытался получить документы о семенах через официальные запросы: NIST ответил, что документации у него нет, а из АНБ Вейс документов так и не получил. В 2023 году Солинас умер, а Вальсорда объявил денежную награду за выяснение происхождения семян, и три года поисков ни к чему не приводили.

Несколько сотрудников Anthropic до этого тоже безуспешно пытались подобрать заветную фразу. Все изменилось в октябре 2026 года, когда один из исследователей поручил задачу внутренней модели, специально не подсказывая ей легенду про текст.

Не получив этой подсказки, модель предположила, что софт девяностых годов просто обращался к стандартному генератору псевдослучайных чисел из библиотек языка C, и написала сканер на 34 комбинации генераторов и способов нарезки их вывода.

Подсказка все эти годы лежала в самих опубликованных числах. У четырех из десяти семян NIST старший бит каждого из пяти 32-битных слов равен нулю. Все четыре относятся к двоичным кривым. Это видно на глаз, если знать, куда смотреть; по расчету Anthropic, вероятность случайно встретить такой рисунок хотя бы у четырех из десяти семян – примерно 1 к 5810.

Именно эти семена Вальсорда в 2023 году исключил из награды, хотя и советовал исследовать их тоже. Нулевой старший бит – характерная подпись стандартного генератора lrand48 из семейства POSIX drand48, который отдает наружу только старшие 31 бит из своего 48-битного внутреннего состояния.

С остальными семенами было труднее: программа брала только часть выдаваемых генератором данных, поэтому знакомый рисунок в них уже не читался. Но этих обрывков хватило, чтобы восстановить его работу. Модель применила известный математический метод, получила последовательность чисел и начала прокручивать ее назад.

Нужно было добраться до самого начала: какое число первым подали генератору, чтобы он выдал именно такой результат?

Когда стартовые числа нашлись, Claude проверила, не скрывается ли за ними время. Компьютеры часто записывают его как количество секунд, прошедших с начала 1970 года. В таком прочтении числа превратились в даты конца девяностых, как раз периода подготовки стандарта. Дальше догадку проверили в обратную сторону: запустили тот же генератор от найденного времени и получили опубликованные семена, до последнего байта.

Так удалось воспроизвести семена всех пяти кривых от P-192 до P-521. Для этого не понадобилось угадывать забытую шутку: исходное число программе давали системные часы.

Внутренний монолог модели, приведенный в посте Anthropic, читается почти как сюжет из фантастики: сначала она отмечает, что “это решает 25-летнюю загадку”, затем начинает сомневаться, не находится ли она в искусственной тестовой среде, и наконец убеждает себя расчетом – такое 160-битное совпадение из 32-битного сида практически исключает случайность.

Этим находка выгодно отличается от громких ИИ-сенсаций, которые нельзя проверить или которые оспаривают на следующий день. Так было с недавней заявленной расшифровкой шифра Cyphral Distich Уркхарта моделью Fable 5.1: на следующий день исследователи Reticuli сообщили, что не смогли воспроизвести результат и нашли противоречия в предложенном методе.

Здесь короткий проверочный скрипт на Python опубликован в общественное достояние (CC0) и выдает байт в байт все пять семян NIST, а сдвиг времени запуска всего на одну секунду полностью меняет результат.

Несколько деталей все же остались необъясненными. Одно из семян и часть других параметров не подошли к найденным рецептам. А при выборе кривых программа иногда пропускала подходящие варианты; зачем, неизвестно. Авторы исследования также оговаривают: теоретически можно было перебирать само время запуска, подгоняя результат под нужное свойство.

Найденный рецепт сильно сужает пространство для такого подбора, но не показывает, сколько попыток сделали создатели стандарта.

Для Вальсорды главного ответа оказалось достаточно: он переписал проверку на Go и признал заявку победившей. Авторы решили направить награду организации Internet Security Research Group, развивающей Let’s Encrypt; при переводе на благотворительность ее размер утраивается, до 36 864 долларов. Среди авторов оказался и Стив Вейс, который когда-то безуспешно запрашивал документы у АНБ.

Теперь происхождение чисел удалось восстановить без этих архивов: в основе оказались показания часов из конца девяностых. Для пользователей это хорошая новость: находка не означает взлома, менять настройки безопасности не нужно. Для разработчиков здесь есть и предупреждение: секретный ключ нельзя получать таким же способом. Зная примерное время запуска, его можно было бы подобрать.

Публичным параметрам стандарта воспроизводимость помогает вернуть доверие; секретам она противопоказана.

P.S. Поддержать меня можно подпиской на канал “ сбежавшая нейросеть ”, где я рассказываю про ИИ с творческой стороны.

источник