Anthropic 旗下的人工智能模型用了不到 30 分钟，破解了密码学界悬而未决时间最久的谜团之一：将美国政府所用椭圆曲线背后五个来源不明的种子值，追溯到一个以 1997 年和 1998 年时间戳作为种子的普通随机数生成器。

这些数字由美国国家安全局（NSA）于上世纪 90 年代末交给美国政府，长期被怀疑暗藏后门。这一发现大大降低了 NSA 暗藏后门的可能性，NIST 曲线的用户无需采取任何行动，不过某些元素是如何被选定的仍存疑问。

比特币从未受到影响。该网络运行在 secp256k1 上，这是一条更简单的曲线，几乎没有藏匿弱点的空间，尽管足够强大的量子计算机最终仍可能构成另一种威胁。

该模型只用了约半小时，就得出了密码学家追寻 25 年的答案。

一把来历不明的锁

互联网的很大一部分依赖椭圆曲线密码学，这一数学分支同样用于保护比特币钱包。它使人能够证明自己持有私钥，而无需透露密钥本身。同样的数学也保护着浏览器加载网站时协商建立的加密连接。

可以把曲线想象成一个人人都能查看的锁具设计。每个使用者都有自己的私钥，但所有人都依赖同一前提：这种设计难以被攻破。

悬而未决的问题是：究竟是谁选择了全世界将被要求信任的数学。

2000 年，美国国家标准与技术研究院（NIST）采纳了一套由 NSA 提供的曲线，这一点记录在 NIST 的密码学历史档案中。NSA 提供这些设计时，并未说明用于生成它们的某些数字从何而来。在斯诺登披露事件将 NSA 与削弱密码标准的努力联系起来之后，这种保密变得更加难以忽视，NIST 后来也将其相关工具——Dual EC 随机数生成器——从推荐标准中移除。

这些被称为种子的起始是公开的。但 NSA 从未解释它是如何选出这些数字的，引发了多年的怀疑：它可能测试了大量备选方案，直到找到一条只有它自己知道如何利用其中弱点的曲线。这一理论最偏执的版本认为，NSA 对所有使用该标准的系统都握有后门。

密码学家 Neal Koblitz 和 Alfred Menezes 在其 2015 年的论文《A Riddle Wrapped in an Enigma》中审视了这场争议。Menezes 曾参与撰写原始标准，他回忆 1997 年从 NSA 数学家 Jerry Solinas 手中收到了这些种子。

安全研究员 Steve Weis 多年来一直在寻求解释，记录了他的努力，并于 2018 年提交了信息公开申请。NIST 表示没有相关文件，NSA 则不再回应。一条有希望的线索暗示，这些数字来自 Solinas 已忘记的一句幽默短语，促使调查者搜遍各种可能的词语组合。

2023 年，密码学工程师 Filippo Valsorda 及其他贡献者悬赏 12,288 美元征求答案，若获奖者将奖金捐给慈善机构，赏金将升至 36,000 美元以上。Solinas 已于当年早些时候去世，研究者们只能凭借旧日回忆和数字本身反复推敲，却毫无结果。

Claude 开始挖掘

随后 Claude 登场。本月，一名 Anthropic 员工让内部研究模型着手调查，但并未告知“种子来自一句被遗忘的短语”这一旧有猜想。

不到半小时，该模型便将五个 NIST 曲线种子追溯到 lrand48——一个存在于较旧 C 语言软件库中的随机数生成器，它从来不是为密码学用途而设计的。Claude 复现了广泛使用的曲线 P-256 背后的序列，并在第 1,842 个候选值处找到了与其公开种子完全匹配的结果。

“这令人震惊：它解开了这个 25 年的谜团，”该模型在其记录的推理过程中写道，此前它还短暂怀疑自己是否身处模拟测试之中。“嗯，这在现实中说得通吗？据我所知……这个赏金难题一直未被解开。……所有高位比特均为零——20 个比特，概率 1e-6。所以确实是现实世界的。”

“哇，这是一个真正的发现。”

如今任何人都可以重新运行该程序，重现 NSA 提供的数字。Anthropic 表示，这使得暗藏弱点的可能性大大降低，不过团队仍无法解释该程序为何跳过了某些可用的候选值，以及曲线的其他部分是如何选定的。

正是这种可预测性让 Claude 能够重建这些数字，而它若出现在钱包中将是灾难性的。用 lrand48 生成的私钥，可能被任何大致推算出其生成时间的人重新创建，从而获得转走资金所需的一切。不过，NSA 的种子从一开始就是公开的，因此从来不存在可被窃取的秘密。

比特币的位置

比特币从未参与这场猜谜游戏。其钱包运行在 secp256k1 上，这是一条由更简单方程构建的曲线。比特币的版本由两个微小且固定的数字定义，几乎没有可调整的余地，而-256 则带有一个由 NSA 未作解释的种子生成的 77 位数字。可调节的旋钮如此之少，意味着几乎没有人能悄悄在比特币的曲线中植入弱点——密码学家长期以来一直将这一点视为比特币的优势。这种理念——参数的来源任何人都可以查验，即密码学家所说的“nothing-up-my-sleeve”数字——此后也影响了更新的密码标准的制定方式。

创造者中本聪从未公开解释他为何选择这条曲线，它在比特币令其成名之前很少被使用。以太坊后来也采用了它，而比特币在 2021 年的 Taproot 升级引入新型签名方式时仍保留了这条曲线。

强大的量子计算机会带来另一种危险，正如 CoinDesk 今年早些时候所探讨的：无论曲线如何选定，这样的机器都可能从比特币区块链上可见的公钥反推出其背后的私钥。硬件进步不断缩小这一理论与实际可行攻击之间的差距。Google 本周表示，其 Willow 芯片将此类机器所需的最昂贵步骤之一的错误率降低了约 40 倍，CoinDesk 报道称，这一进展使中本聪时代的比特币面临更大的量子威胁。

尽管如此，目前还没有人造出在规模或可靠性上接近破解比特币私钥的量子计算机，也没有明确的时间表预示它何时会到来。相关问题已在量子计算机问世之前开始推进：NIST 于 2024 年发布了首批后量子加密与签名标准，这是最终取代当今曲线的第一步。

Anthropic 在其博客中表示，使用 NIST 曲线的人无需做出任何改变。在围绕种子来源的数十年的疑问之后，任何人现在都可以运行该程序，重现其得出公开数字的路径。

这场搜寻还有一笔奖金。其 36,864 美元的赏金将捐给 Internet Security Research Group——为网站提供免费安全证书的 Let's Encrypt 背后的非营利组织。