Un modèle d'intelligence artificielle développé par Anthropic n'a eu besoin que de moins de 30 minutes pour résoudre l'un des mystères les plus anciens de la cryptographie : retracer cinq valeurs de seed inexpliquées derrière les courbes elliptiques du gouvernement américain jusqu'à un générateur de nombres aléatoires ordinaire alimenté par des horodatages de 1997 et 1998.

Ces nombres avaient été remis au gouvernement américain par la National Security Agency (NSA) à la fin des années 1990 et étaient depuis longtemps soupçonnés de dissimuler une porte dérobée. Cette découverte rend une porte dérobée cachée de la NSA nettement moins probable et n'exige aucune action des utilisateurs des courbes NIST, même si des questions subsistent sur la manière dont certains éléments ont été choisis.

Bitcoin n'a jamais été exposé. Le réseau repose sur secp256k1, une courbe plus simple offrant peu de place pour dissimuler une faiblesse, bien que des ordinateurs quantiques suffisamment puissants puissent éventuellement constituer une menace distincte.

Le modèle n'a mis qu'environ une demi-heure à produire la réponse que les cryptographes poursuivaient depuis 25 ans.

Un verrou au design inexpliqué

Une grande partie d'internet repose sur la cryptographie à courbes elliptiques, cette famille de mathématiques qui protège également les portefeuilles bitcoin. Elle permet de prouver que l'on détient une clé secrète sans en révéler le contenu. Ces mêmes mathématiques sécurisent les connexions chiffrées que les navigateurs négocient au chargement d'un site web.

Imaginez la courbe comme un design de verrou que chacun peut inspecter. Chaque utilisateur détient sa propre clé secrète, mais tous dépendent de la difficulté à forcer ce design.

La question qui subsistait était de savoir qui avait choisi les mathématiques auxquelles le monde allait être invité à faire confiance.

En 2000, le National Institute of Standards and Technology (NIST) américain a adopté un ensemble de courbes fournies par la NSA, comme le consigne l'archive d'histoire de la cryptographie du NIST. L'agence a fourni ces designs sans expliquer d'où venaient certains des nombres utilisés pour les générer. Ce secret est devenu plus difficile à écarter après que les révélations de Snowden ont lié la NSA à des efforts visant à affaiblir les normes cryptographiques, et le NIST a ensuite retiré de ses recommandations l'outil associé, le générateur de nombres aléatoires Dual EC.

Les nombres de départ, appelés seeds, étaient publics. Mais la NSA n'a jamais expliqué comment elle les avait choisis, alimentant des années de soupçons selon lesquels elle aurait testé de nombreuses alternatives jusqu'à trouver une courbe présentant une faiblesse que seule elle savait exploiter. Selon la version la plus paranoïaque de la théorie, la NSA disposait d'une porte dérobée dans chaque système utilisant ces normes.

Les cryptographes Neal Koblitz et Alfred Menezes ont examiné cette controverse dans leur article de 2015, « A Riddle Wrapped in an Enigma. » Menezes avait contribué à rédiger la norme originale et se souvenait avoir reçu les seeds du mathématicien de la NSA Jerry Solinas en 1997.

Le chercheur en sécurité Steve Weis a passé des années à chercher une explication, documentant ses efforts et déposant des demandes d'accès aux archives publiques en 2018. Le NIST a déclaré ne détenir aucune documentation, et la NSA a cessé de répondre. Une piste prometteuse laissait penser que les nombres provenaient d'une phrase humoristique que Solinas avait oubliée, envoyant les enquêteurs passer au peigne fin les combinaisons de mots possibles.

En 2023, l'ingénieur cryptographe Filippo Valsorda et d'autres contributeurs ont offert une prime de 12 288 $ pour une réponse, portée à plus de 36 000 $ si le gagnant la donnait à une œuvre caritative. Solinas était décédé plus tôt dans l'année, laissant les chercheurs explorer de vieux souvenirs et les nombres eux-mêmes sans résultat.

Claude mène l'enquête

Puis Claude est entré en scène. Ce mois-ci, un employé d'Anthropic a demandé à un modèle de recherche interne d'enquêter, sans lui communiquer l'ancienne théorie selon laquelle les seeds provenaient d'une phrase oubliée.

En moins d'une demi-heure, le modèle a retracé les cinq seeds des courbes NIST jusqu'à lrand48, un générateur de nombres aléatoires présent dans d'anciennes bibliothèques logicielles C, qui n'a jamais été conçu pour un usage cryptographique. Claude a reproduit la séquence derrière P-256, une courbe largement utilisée, et a trouvé une correspondance exacte pour son seed publié au 1 842e candidat.

« C'est stupéfiant : cela résout le mystère vieux de 25 ans », a écrit le modèle dans son raisonnement enregistré, après avoir brièvement demandé s'il travaillait dans un test simulé. « Hmm, est-ce plausible dans la réalité ? D'après mes connaissances … la prime n'avait pas été réclamée. … Tous les bits de poids fort à zéro — 20 bits, probabilité 1e-6. Donc bien réel. »

« Waouh, c'est une véritable découverte. »

N'importe qui peut désormais relancer le programme et régénérer les nombres fournis par la NSA. Anthropic indique que cela rend une faiblesse cachée bien probable, même si l'équipe ne peut toujours pas expliquer pourquoi le programme a écarté certains candidats utilisables, ni comment les autres parties des courbes ont été choisies.

C'est cette prévisibilité qui a permis à Claude de reconstruire les nombres, et dans un portefeuille, ce serait une catastrophe. Une clé secrète générée avec lrand48 pourrait être recréée par quiconque déterminerait approximativement quand elle a été créée, lui donnant tout le nécessaire pour vider les fonds. Les seeds de la NSA, toutefois, étaient publics dès le premier jour : il n'y a donc jamais eu de secret à voler.

Où se situe bitcoin

Bitcoin n'a jamais fait partie de ce jeu de devinettes. Ses portefeuilles reposent sur secp256k1, une courbe construite à partir d'une équation plus simple. La version de bitcoin est définie par deux petits nombres fixes ne laissant presque rien à ajuster, tandis que celle de P-256 comporte un nombre de 77 chiffres issu du seed inexpliqué de la NSA. Avec si peu de réglages possibles, il y a peu de place pour qu'une faiblesse ait été discrètement intégrée à la courbe de bitcoin, une propriété que les cryptographes citent depuis longtemps en sa faveur. Cet instinct — des paramètres dont l'origine peut être vérifiée par tous, ce que les cryptographes appellent des nombres nothing-up-my-sleeve — a depuis influencé la rédaction des normes cryptographiques plus récentes.

Le créateur Satoshi Nakamoto n'a jamais expliqué publiquement pourquoi il avait choisi cette courbe, qui était rarement utilisée avant que bitcoin ne la rende célèbre. Ethereum l'a ensuite adoptée également, et bitcoin l'a conservée lorsque sa mise à niveau Taproot de 2021 a introduit un nouveau type de signature.

Un ordinateur quantique puissant représenterait un danger d'une autre nature, comme CoinDesk l'a exploré plus tôt cette année : une telle machine pourrait remonter d'une clé publique visible sur la blockchain bitcoin à la clé secrète qui la sous-tend, indépendamment du choix de la courbe. Les avancées matérielles réduisent sans cesse l'écart entre cette théorie et une attaque opérationnelle. Google a déclaré cette semaine que sa puce Willow avait réduit les erreurs d'environ 40 fois lors de l'une des étapes les plus coûteuses qu'une telle machine devrait accomplir, un développement qui, selon CoinDesk, expose le bitcoin de l'ère Satoshi à une menace quantique accrue.

Même ainsi, personne n'a encore construit d'ordinateur quantique ne serait-ce qu'approchant la taille ou la fiabilité nécessaire pour casser une clé bitcoin, et aucun calendrier clair n'existe pour son arrivée éventuelle. La question de la migration avance déjà sans lui : le NIST a publié ses premières normes de chiffrement et de signature post-quantiques en 2024, premier pas vers le remplacement éventuel des courbes actuelles.

Anthropic a indiqué dans son blog que les utilisateurs des courbes NIST n'ont rien à changer. Après des décies de questions sur l'origine des seeds, n'importe qui peut désormais exécuter le programme et retracer son chemin jusqu'aux nombres publiés.

La recherche avait aussi sa récompense. Sa prime de 36 864 $ ira à l'Internet Security Research Group, l'organisation à but non lucratif derrière Let's Encrypt, qui fournit aux sites web des certificats de sécurité gratuits.