Anthropic 打造的人工智慧模型只用了不到 30 分鐘，就解開了密碼學界懸宕最久的謎題之一：將美國政府橢圓曲線背後五個來源不明的種子值，追溯至一個以 1997 年和 1998 年時間戳記作為種子的普通亂數產生器。

這些數字是美國國家安全域（NSA）在 1990 年代末交給美國政府的，長期被懷疑暗藏後門。這一發現大幅降低了 NSA 暗藏後門的可能性，NIST 曲線的使用者也無需採取任何行動，不過某些元素如何被選定仍有疑問。

比特幣從未暴露於此風險。該網路採用 secp256k1，這是一條更簡單的曲線，幾乎沒有空間可以隱藏弱點，但足夠強大的量子電腦最終仍可能構成另一項威脅。

這個模型只花了約半小時，就得出密碼學家追尋了 25 年的答案。

一把設計來歷不明的鎖

網際網路很大一部分依賴橢圓曲線密碼學，這門數學同樣用於保護比特幣錢包。它讓使用者能證明自己持有私鑰，卻無須透露私鑰本身的細節。同樣的數學也保護瀏覽器載入網站時協商的加密連線。

可以把這條曲線想像成一個任何人都能檢視的鎖的設計。每位使用者都有自己的私鑰，但所有人都依賴於這個設計難以破解這一點。

懸而未決的問題是：究竟是誰選定了全世界被要求信任的這套數學？

2000 年，美國國家標準與技術研究院（NIST）採納了一組由 NSA 提供的曲線，此事記錄於 NIST 的密碼學歷史檔案。NSA 提供了這些設計，卻未說明用來產生它們的部分數字從何而來。在史諾登揭露檔案將 NSA 與削弱密碼學標準的行動聯繫起來之後，這種保密做法更加難以忽視，NIST 後來也將相關工具——Dual EC 亂數產生器——從其建議中移除。

這些被稱為種子的起始數字是公開的。但 NSA 從未解釋如何選出這些數字，引發多年來的猜疑：它是否測試了許多替代方案，直到找到一條只有它知道如何利用其弱點的曲線。這項理論最陰謀論的版本認為，NSA 對所有使用該標準的系統都握有後門。

密碼學家 Neal Koblitz 和 Alfred Menezes 在 2015 年的論文「A Riddle Wrapped in an Enigma」中檢視了這場爭議。Menezes 曾參與撰寫原始標準，並回憶 1997 年從 NSA 數學家 Jerry Solinas 手中收到這些種子。

安全研究人員 Steve Weis 多年來持續尋找解釋，記錄了他的努力，並於 2018 年提出公開紀錄請求。NIST 表示沒有相關文件，NSA 則不再回應。一條有希望的線索指出，這些數字來自 Solinas 忘記的一句幽默短語，讓調查者埋首於各種可能的詞語組合之中。

2023 年，密碼學工程師 Filippo Valsorda 和其他貢獻者懸賞 12,288 美元徵求答案，若得獎者將獎金捐給慈善機構，金額將提高至超過 36,000 美元。Solinas 已於那年稍早去世，研究者只能在舊有回憶與數字本身之中翻找，卻一無所獲。

Claude 展開挖掘

直到 Claude 登場。本月，一位 Anthropic 員工請內部研究模型調查此事，但未透露種子來自一句被遺忘短語的舊理論。

不到半小時，這個模型就將五個 NIST 曲線種子追溯至 lrand48——一個存在於較舊的 C 語言軟體函式庫中、從未為密碼學用途設計的亂數產生器。Claude 重現了廣泛使用的曲線 P-256 背後的序列，並在第 1,842 個候選值中找到與其公開種子完全吻合的結果。

「這太驚人了：它解開了 25 年的謎題，」這個模型在記錄下來的推理中寫道，此前它還短暫質疑自己是否身處模擬測試之中。「嗯，現實中這有可能嗎？就我所知……這個懸賞尚未被解開。……所有最高皆為 0——20 位元，機率 1e-6。所以確實是真實世界。」

「哇，這是一項真正的發現。」

現在任何人都能重新執行這個程式，重現 NSA 提供的數字。Anthropic 表示，這使得暗藏弱點的可能性大幅降低，不過團隊仍無法解釋為何該程式略過了某些可用的候選值，以及曲線的其他部分是如何選定的。

正是這種可預測性讓 Claude 得以重建這些數字，而這若發生在錢包裡將是一場災難。以 lrand48 產生的私鑰，任何能大致推算其產生時間的人都能重現，進而取得轉走資金所需的一切。不過，NSA 的種子從一開始就是公開的，因此從來不存在可被竊取的秘密。

比特幣在其中的位置

比特幣從來不是這場猜謎遊戲的一部分。它的錢包採用 secp256k1，一條由更簡單方程式構建的曲線。比特幣版本由兩個小而固定的數字定義，幾乎沒有可調整之處，而 P-256 則帶有一個源自 NSA 來歷不明種子的 77 位數數字。由於可動的手腳如此之少，任何人都很難在比特幣的曲線中悄悄埋入弱點，密碼學家長期以來也一直以此作為比特幣的優勢。這種直覺——參數來源人人可查，即密碼學家所稱的「nothing-up-my-sleeve numbers」（袖中無詭數）——此後也影響了新一代密碼學標準的撰寫方式。

創造者中本聰從未公開解釋為何選擇這條曲線，而它在比特幣使其聲名大噪之前也鮮為人用。乙太坊後來也採用了它，比特幣在 2021 年 Taproot 升級引入較新的簽章方式時，仍保留了這條曲線。

強大的量子電腦將帶來另一種危險，正如 CoinDesk 今年早些時候所探討的：無論曲線如何選定，這樣的機器都能從比特幣區塊鏈上可見的公鑰反推出背後的私鑰。硬體進步不斷縮小理論與實際攻擊之間的差距。Google 本週表示，其 Willow 晶片在這類機器所需成本最高的步驟之一中，將錯誤率降低了約 40 倍；CoinDesk 報導指出，這一進展使中本聰時代的比特幣面臨更大的量子威脅。

即便如此，目前仍沒有人打造出在規模或可靠度上接近足以破解比特幣金鑰的量子電腦，也未來時會出現這樣的機器也沒有明確時間表。遷移問題無需等到那一天就已在推進：NIST 已於 2024 年發布首批後量子加密與簽章標準，這是最終取代當今曲線的第一步。

Anthropic 在其部落格中表示，使用 NIST 曲線的人無需做任何改變。在關於種子來源的數十年疑問之後，現在任何人都能執行這個程式，重新追溯其通往這些公開數字的路徑。

這場追尋也有獎金。其 36,864 美元的懸賞將頒給 Internet Security Research Group，即為網站提供免費安全憑證的 Let's Encrypt 背後的非營利組織。