Anthropicが開発した人工知能モデルは、30分足らずで暗号学における最も長く続いた謎の一つを解決した。すなわち、米政府の楕円曲線の背後にある説明のない5つのシード値を、1997年と1998年のタイムスタンプをシードとした通常の乱数生成器に遡って特定したのである。

これらの数値は1990年代後半に国家安全保障局（NSA）から米政府に提供されたもので、バックドアの隠蔽が長年疑われてきた。この発見により、NSAによる隠されたバックドアの可能性はかなり低下し、NIST曲線の利用者は対応を必要としない。ただし、一部の要素がどのように選ばれたのかについては依然として疑問が残る。

ビットコインは当初から影響を受けていなかった。同ネットワークはsecp256k1を使用しており、これは弱点を隠す余地がほとんどない、より単純な曲線だ。ただし、十分に高性能な量子コンピュータは最終的に別の脅威となる可能性がある。

モデルが、暗号研究者らが25年間追い求めてきた答えを導き出すのに要した時間は、約30分だった。

設計の由来が不明な鍵

インターネットの多くは楕円曲線暗号に依存している。これはビットコインウォレットの保護にも使われている数学の一分野であり、秘密鍵の内容を明かすことなく鍵を保持していることを証明できる。ウェブサイトを読み込む際にブラウザが確立する暗号化接続も、同じ数学によって保護されている。

曲線とは、誰もが検査できる錠前の設計と考えてよい。各利用者は自分の秘密鍵つが、誰もがその設計が破られにくいことに依存している。

残されていた疑問は、世界が信頼することになる数学を誰が選んだのか、というものだった。

2000年、米国国立標準技術研究所（NIST）は、NISTの暗号の歴史アーカイブに記録されている通り、NSAから提供された一連の曲線を採用した。同庁は、生成に使用された数値の一部がどこから来たのかを説明せずにこれらの設計を提供した。スノーデン暴露文書がNSAと暗号標準の弱体化の取り組みとの関わりを示した後、この秘密主義は一蹴できなくなった。そしてNISTは後に関連ツールであるDual EC乱数生成器を推奨から削除した。

シードと呼ばれるこれらの初期値は公開されていた。だがNSAはその選び方を決して説明しなかったため、同庁が自分だけが悪用方法を知る弱点を持つ曲線を見つけるまで多くの代替案を試したのではないかという疑念が何年も燻り続けた。最も疑心暗鬼にかられた説では、NSAはこの標準を使用するすべてのシステムへのバックドアを持っているとされた。

暗号研究者のNeal KoblitzとAlfred Menezesは、2015年の論文「A Riddle Wrapped in an Enigma」でこの論争を検証した。Menezesは元の標準の策定に携わり、1997年にNSAの数学者Jerry Solinasからシードを受け取ったと回想している。

セキュリティ研究者のSteve Weisは、自らの取り組みを記録し、2018年には公文書開示請求を行うなど、長年説明を探し求めた。NIST関連文書を保有していないと回答し、NSAは回答を止めた。有望な手がかりの一つは、数値がSolinasが忘れた冗談めいたフレーズに由来するというもので、調査者らは考えられる単語の組み合わせをしらみつぶしに探した。

2023年、暗号エンジニアのFilippo Valsordaら有志は、12,288ドルの賞金を答えに懸け、受賞者が慈善団体に寄付すれば3万6,000ドル超に増額すると発表した。Solinasはその年の初めに亡くなっており、研究者らは古い記憶と数値自体を精査したが、結果には結びつかなかった。

Claudeの調査

そこにClaudeが登場した。今月、Anthropicの社員が社内の研究モデルにこの調査を依頼した。その際、シードが忘れられたフレーズに由来するという以前の説は共有しなかった。

モデルは30分足らずで、5つのNIST曲線シードをlrand48に遡って特定した。lrand48は古いCソフトウェアライブラリに含まれる乱数生成器で、暗号用途向けには決して作られていないものだ。Claudeは広く使われている曲線P-256の背後の系列を再現し、公開されているシードと1,842番目の候補で完全に一致するものを見つけた。

「これは驚くべきことだ。25年前の謎を解決した」とモデルは記録された推論の中で書いた。その直前には、自分がシミュレーションされたテストの中で動いているのではないかと一瞬疑ってもいた。「ふむ、現実にあり得るのか？ 私の知識では……この賞金問題は未解決のはず。……上位ビットがすべてクリア——20ビット、確率1e-6。つまり間違いなく現実世界のものだ」

「うわあ、これは本当に大きな発見だ」

今や誰もがプログラムを再実行し、NSAが提供した数値を再生成できる。Anthropicは、これにより隠された弱点の可能性が大幅に低下したと述べる。ただし同社のチームは、プログラムが一部の利用可能な候補をスキップした理由や、曲線の他の部分がどのように選ばれたのかはまだ説明できていない。

Claudeが数値を再構築できたのはこの予測可能性ゆえだが、ウォレットの中ではそれは悲惨なことになり得る。lrand48で生成された秘密鍵は、おおよその生成時期を特定できれば誰でも現でき、資金を引き出すために必要なすべてを攻撃者に渡してしまう。ただしNSAのシードは当初から公開されていたため、盗める秘密は最初から存在しなかった。

ビットコインの位置づけ

ビットコインはこの推測ゲームには最初から関わっていなかった。同ネットワークのウォレットはsecp256k1上で動いており、これはより単純な方程式から構築された曲線だ。ビットコイン版は調整の余地がほとんどない2つの小さな固定数で定義されているのに対し、P-256はNSAの説明のないシードから生まれた77桁の数値を含んでいる。調整できるダイヤルがほとんどないため、誰かがビットコインの曲線に密かに弱点を組み込んだ余地はほぼなく、暗号研究者らは長年これを同曲線の利点として挙げてきた。この発想——出所を誰でも検証できるパラメータ、暗号研究者が「nothing-up-my-sleeve numbers（仕掛けのない数）」と呼ぶもの——は、その後の新しい暗号標準の策定方法にも影響を与えている。

創作者のサトシ・ナカモトは、この曲線を選んだ理由を公に説明したことがなく、ビットコインが有名にする以前はこの曲線はほとんど使われていなかった。イーサリアムも後にこれを採用し、ビットコインは2021年のTaprootアップグレードで新しい署名方式が導入されてもこの曲線を使い続けた。

高性能な量子コンピュータは別の脅威をもたらす。CoinDeskが今年初めに解説したように、そのようなマシンは、曲線の選び方にかかわらず、ビットコインのブロックチェーン上で公開されている公開鍵から背後の秘密鍵を逆算し得る。ハードウェアの進歩は、その理論と実用的な攻撃との間の溝を狭め続けている。Googleは今週、同社のWillowチップがそのようなマシンに必要な最もコストのかかる工程の一つで誤りを40分の1に削減したと発表した。CoinDeskが報じたように、この開発によりサトシ時代のビットコインはより大きな量子の脅威に直面することになる。

それでも、ビットコインの鍵を解読できるほど大規模で信頼性の高い量子コンピュータはまだ誰も構築しておらず、その実現の時期についても明確な見通しはない。移行の議論はそれを待たずに既に進んでいる。NISTは2024年、最初の耐量子暗号・署名標準を公開しており、これは最終的に現在の曲線を置き換える第一歩となる。

Anthropicはブログで、NIST曲線の利用者は何も変更する必要がないと述べた。シードの出所について数十年にわたる疑問があったが、今や誰もがプログラムを実行し、公開された数値に至る経路をたどることができる。

この探索には賞金もあった。36,864ドルの賞金は、ウェブサイトに無料のセキュリティ証明書を提供するLet's Encryptの運営 nonprofit 団体であるInternet Security Research Groupに贈られる。