Что означает взлом Claude загадки АНБ с seed-значением эллиптической кривой за полчаса?

Автор: Daii

Сразу к выводу: Claude не взломал криптографию на эллиптических кривых, не вычислил чьи-либо закрытые ключи и не вызвал внезапного отказа TLS или биткоина. Он раскрыл часть криптоистории — именно то, каким образом были сгенерированы несколько публичных «семян», переданных NSA стандартному органу.

Это различие важно. Называть это «полувремениной работы ИИ по взлому мировой криптографии» — ошибочно; считать же его несущественным цифровым археологическим занятием — значит недооценивать значение открытия.

Это открытие одновременно свидетельствует о четырех вещах: во-первых, вероятность умышленной установки бэкдора в наиболее часто используемый набор эллиптических кривых NIST значительно снизилась; во-вторых, «верифицируемая случайность» в стандартах, не объясняющая происхождение исходных входных данных, проверяет лишь половину цепочки доверия; в-третьих, передовые модели уже способны связать понимание литературы, генерацию гипотез, написание кода, статистические проверки и решеточные алгоритмы в единый автономный исследовательский процесс; в-четвертых, более реалистичное влияние ИИ на криптографию заключается не во внезапном раскрытии 256-битных закрытых ключей сегодня, а в крайне дешёвом просмотре протоколов, реализаций и исторических артефактов, которые долго не желали проверять аудиторы.

Сначала разберёмся с загадкой: почему открытые семена вызывают подозрения в наличии бэкдора

Эллиптическую кривую можно грубо понять как общий «проект замка». У каждого пользователя свой закрытый ключ, но люди, использующие одну и ту же кривую, разделяют общий набор параметров. Для кривых над простым полем распространённое уравнение записывается так:

`y² = x³ + ax + b (mod p)`

Настоящий стандарт также определяет параметры конечного поля `p`, коэффициентов `a` и `b`, порождающей точки `G`, порядка базовой точки `n`, кратности `h` и других. Закрытый ключ не является одним из этих параметров; это секретное число, генерируемое пользователем отдельно в рамках данного набора общих правил.

Опубликованный в 2000 году FIPS 186-2 включает такие кривые, как P-192, P-224, P-256, P-384 и P-521. NSA предоставила кривые и 160-битные семена; стандарт предписывает выводить коэффициенты кривой из семян с помощью шагов вроде SHA-1. Любой человек, получивший семя, может пересчитать «это семя действительно даёт эти коэффициенты».

Проблема заключается в следующем: почему само семя состоит именно из этих 160 бит?

Это похоже на то, как лотерея публикует выигрышные номера и алгоритм розыгрыша, но не показывает, какие именно шары изначально были помещены в машину и почему именно они. Если разработчик сначала испытал огромное количество семян, а затем выбрал кривую, обладающую какой-то скрытой слабостью, последующая проверка лишь того факта, что «семя порождает кривую», не исключает такой отбор.

В криптографии параметры, полученные из π, натуральных констант или открытых текстов по определённым правилам, называются «числами без тайны в рукаве» (nothing-up-my-sleeve numbers): дело не в том, что эти цифры священнее, а в том, что процесс выбора не содержит скрытых рычагов. Seeds для кривых NIST опубликованы, но их происхождение не разъяснено, поэтому формально они «верифицируемо случайны», но фактически непроверяемы аудиторски.

Такой скептицизм возник не на пустом месте. После 2013 года генератор псевдослучайных чисел Dual_EC_DRBG, продвигаемый при участии NSA, широко считается имеющим риск бэкдора, которым могут воспользоваться лица, владеющие особыми соотношениями параметров; впоследствии NIST отказался от него. Dual_EC_DRBG и обсуждаемые здесь кривые NIST P — это разные вещи, но он изменил толерантность общества к фразе «пожалуйста, доверьте выбор параметров». Споры системно проанализированы в статье Нила Колбица и Альфреда Менезеса 2015 года A Riddle Wrapped in an Enigma; в 2023 году инженер-криптограф Филиппо Вальсорда и другие объявили награду за установление происхождения семян.

Самая известная подсказка идёт от математика NSA Джерри Солинаса: возможно, семена являются хэшами шуточных фраз вроде «повышение зарплаты Бобу и Джерри». Сотрудники Anthropic проверяли эту версию безрезультатно. Солонис умер в 2023 году, исходные программы и архивы не обнаружены, загадка, похоже, навсегда останется в области устной истории.

Что конкретно сделал Claude: от нескольких аномальных нулей до часового механизма 1997 года

В октябре 2026 года сотрудник Anthropic передал задачу внутренней исследовательской модели без раскрытия её конкретной версии и не сообщал ей о подсказке со «шутливой фразой». Согласно научному обоснованию Anthropic от 16 октября, модель нашла метод генерации менее чем за полчаса.

Дело не в грубом переборе всех английских предложений, а в изменении вопроса: какое ПО с наибольшей вероятностью использовали инженеры 1997 года для генерации этих кажущихся случайными байтов?

Claude проверил 34 комбинации старых генераторов псевдослучайных чисел и срезов вывода, сдвигаясь по семени побитно в поисках следов непрерывного выхода. Он заметил, что в некоторых семенах старшие биты нескольких 32-битных слов всегда равны 0. Это не доказательство безопасности, но напоминает механические метки: библиотека POSIX/C `lrand48()` при каждом вызове выдаёт только старшие 31 бит из своего 48-битного внутреннего состояния, что как раз создаёт такую закономерность.

Для семян с большим количеством оставленных выходных бит внутреннее состояние можно восстановить полным перебором 17 скрытых младших бит. Сложнее обстояло дело с пятью простыми кривыми NIST и пятью кривыми ANSI X9.62: программа генерации сохраняла лишь фрагмент `lrand48() >> 23`. Claude трансформировал задачу в «восстановление состояния усечённого линейного конгруэнтного генератора», а затем применил алгоритм понижения решётки LLL для поиска коротких векторов, удовлетворяющих множеству приближённых линейных соотношений.

Если говорить проще, это похоже на то, как вы видите только несколько цифр старого одометра после каждого оборота колеса. Одного показания недостаточно; серия последовательных показаний вместе с правилами передачи между шестернями позволяет точно вывести скрытые цифры. Здесь алгоритм LLL не ломает эллиптическую криптографию, а эффективно объединяет множество арифметических ограничений с усечениями.

После восстановления 48-битного состояния линейный конгруэнтный генератор `lrand48` можно вычислять как вперёд, так и назад. Claude откатился к состоянию после инициализации `srand48(t)`, где младшие 16 бит фиксировались на уровне `0x330E`, а старшие биты интерпретировались как временная метка Unix. Результатом стала не размытая эпоха, а конкретные моменты времени по UTC, укладывающиеся в 1997–1998 годы:

| Кривая | Время UTC `srand48` | Номер 20-байтного кандидата |

|---|---:|---:|

| P-192 | 1997-05-18 14:45:34 | 139 |

| P-521 | 1997-08-08 01:12:04 | 1 136 |

| P-256 | 1997-08-16 01:52:34 | 1 842 |

| P-384 | 1997-08-30 14:50:08 | 2 688 |

| P-224 | 1998-04-03 12:52:07 | 7 026 |

На примере P-256: если инициализировать генератор временной меткой `871696354`, запустить его по восстановленной схеме извлечения байтов и дойти до 1 842-го кандидата, то получится полностью точное 160-битное семя из стандарта `C49D3608 86E70493 6A6678E1 139D26B7 819F7E90`. Не «подобие», а полное посимвольное совпадение.

Такое совпадение трудно объяснить случайностью. Важнее то, что инициатор награды Вальсорда независимо переписал и воспроизвёл процесс генерации на Go, подтвердив, что эти временные метки и номера кандидатов позволяют повторно получить опубликованные семена. Таким образом, хотя открытие сделано внутренней моделью Anthropic, выводы не требуют доверия к словам самой модели.

Почему это не «утечка ключей из-за слабого генератора случайных чисел»

В новостях чаще всего путают три совершенно разных «случайных числа».

Первый — это семя параметров кривой. Это общедоступный конструктивный материал, определяющий, какой «замок» будет использоваться всеми. Именно его удалось восстановить本次. Генератор `lrand48`, настроенный по часам в 1997 году, был слабым, но его вывод был публичным с самого начала; предсказание его работы не даст злоумышленнику никаких закрытых ключей пользователей.

Второе — это случайное число для формирования пользовательского закрытого ключа. Если кошелёк действительно использует `lrand48` с отметкой времени для создания закрытого ключа, его, безусловно, можно будет инвертировать, и средства могут быть украдены. Однако данное открытие не указывает на то, что пользователи кривых NIST создают ключи именно так.

Третье — это nonce (одножды используемое число), применяемый каждый раз при подписи в ECDSA. Повторение или предсказуемость nonce ведёт к утечке закрытого ключа; это реальная критическая уязвимость, случаи которой уже известны; современные реализации используют детерминированные или дополнительные случайные методы подписания для снижения рисков. Оно тоже не имеет отношения к найденному семени кривой.

Поэтому формулировки «семя взято из слабого ГПСЧ» и «криптография кривой сломана слабым ГПСЧ» звучат почти одинаково, но их значение для безопасности прямо противоположно. В данном случае обратимость слабого генератора помогла исследователям реконструировать исторический процесс; она не ослабляет проблему дискретного логарифма на кривой и не облегчает поиск существующих закрытых ключей.

Что это означает для споров о бэкдорах: серьёзное снижение подозрений, а не математическое оправдание

Главное криптографическое значение этого открытия заключается в существенном сужении пространства вариантов, доступного разработчикам当年.

Предполагаемый бэкдор типа «выбора кривой» не требует установки видимой двери в уравнение. Разработчик мог бы знать способ распознавания крайне редких слабых кривых и тайно пробовать огромное количество семян, пока не выберет ту, которую умеет эксплуатировать исключительно он сам. Даниэль Дж. Бернштейн и Таня Ланге описывали идею: если у автора выбора есть около 70 бит свободы, он может целенаправленно найти класс слабых кривых предполагаемого размера около `2⁶¹`.

Теперь воспроизводимая временная шкала сильно уменьшила это пространство. Консервативная оценка Вальсорды такова: даже если разрешить автору выбрать любое время между 1997 и 1998 годами по секундам, а затем любой из первых 16 валидных кандидатов, остаётся лишь около 30 бит свободы выбора. Тридцать — это не ноль, но этого далеко не хватит для целевого отбора масштаба в 70 бит, о котором говорилось выше. Это логически не доказывает, что NSA в 1997 году физически не могла обладать какой-либо неизвестной нам математикой, однако оно устраняет самый конкретный и обсуждаемый ранее механизм отбора, делая утверждение о подсадке бэкдора NOBUS через поиск по массовому количеству семян куда менее обоснованным.

Здесь всё ещё остаются три примечания.

Во-первых, программа пропустила несколько внешне подходящих кандидатов. Для P-256 на 876-м кандидате уже появилась кривая простого порядка, удовлетворяющая известным условиям, но в итоге выбрали 1842-й; при работе с P-224 были пропущены три кандидата. Команда обнаружила одно дополнительное правило фильтрации, второе остаётся неясным. Пропуск небольшого числа кандидатов не равен бэкдору — чтобы попасть в экстремально редкую слабость столь малым числом выборов, слабые кривые должны быть обычным делом — но полная история ещё не восстановлена.

Во-вторых, семя определяет коэффициент `b` кривой, но не базовую точку `G`. Claude определил происхождение базовых точек для P-192 и некоторых примеров кривых ANSI, однако всё ещё не разъяснил, как выбираются базовые точки для P-224, P-256, P-384 и P-521.

В-третьих, семя для кривой двоичного поля B-163 пока не восстановлено, остальные кривые двоичного поля, вероятно, использовали метод инициализации «деление времени на два». Поэтому наиболее точная формулировка звучит не как «все тайны кривых NSA окончательно раскрыты», а так: происхождение семян пяти основных простых кривых NIST воспроизводимо объяснено, главные сомнения относительно бэкдоров в семенах существенно сняты, однако некоторые детали выбора параметров остаются открытыми.

Есть ли вообще связь между этим, TLS и биткоином

Связь существует, но она совсем не такая, как указано в предысториях: «эти семена лежат в основе цифровых подписей TLS и биткоина». Эта фраза смешала три различных концепции.

TLS — это протокол установки безопасных соединений между браузерами, серверами и т. д. Кривая NIST P-256 (также известная как secp256r1) давно применяется в TLS для согласования ключей или подписи сертификатов ECDSA, поэтому данное открытие действительно касается одной из широко развёрнутых в интернете кривых. Сообщение об этом укрепляет уверенность, а не требует срочной замены сертификатов; Anthropic прямо заявила, что пользователям не нужно предпринимать никаких действий.

Биткоин использует другую кривую secp256k1. Она соседствует по имени с NIST P-256/secp256r1 и принадлежит тому же семейству эллиптических кривых, но это вовсе не одна и та же кривая, и она не порождается восстановленными семенами NSA. Стандарт SEC 2 записывает уравнение secp256k1 в минимальном виде `y² = x³ + 7`; BIP 32 также чётко указывает использование secp256k1 в биткоине. Традиционные транзакции биткоина применяют ECDSA на этой кривой, Taproot использует подписи Schnorr на ней же.

Итак: это открытие не затрагивает закрытые ключи биткоина, не объясняет, почему Сатоши Накамото выбрал secp256k1, и не меняет долгосрочную картину будущего возможного использования квантовыми компьютерами алгоритма Шора для угрозы криптографии на эллиптических кривых. Приравнивать совпадение слова «эллиптическая кривая» к «биткоин тоже взломан» — всё равно что обнаружив чертежи конкретного дверного замка, заявить, что все двери на металлических ключах мгновенно стали уязвимы.

На что действительно стоит обратить внимание — на тот исследовательский цикл, который теперь способен завершить ИИ

Если смотреть только на ответ, «так это была временная метка» кажется слишком простым. Настоящая ценность кроется в пути, ведущем к этому ответу.

Claude не ограничился простым поиском готового факта в тренировочных данных. Согласно описанию Anthropic, он сформулировал гипотезу, противоречащую распространённым устным версиям, написал сканер, сравнил структуры вывода десятков старых ГПСЧ, выявил `lrand48` по статистическим аномалиям, применил LLL для усечённого вывода, восстановил состояние, инвертировал форму инициализации и подтвердил результат полным совпадением 160 бит. Затем исследователи систематизировали, проверили и опубликовали рабочий код, а независимые криптографы переписали и верифицировали его.

Это представляет собой «мини-исследовательский цикл»:

`Чтение задачи → Формулировка гипотезы → Разработка проверки → Написание инструментов → Обработка ошибок → Математическое решение → Перекрёстная проверка → Предоставление воспроизводимого эксперимента`

Ранее модели обычно могли объяснить, что такое LLL, и написать линейный конгруэнтный генератор; нынешнее превосходство заключается в способности устанавливать связь между ними при отсутствии стандартного маршрута решения. Это показывает, что передовые модели переходят от стадии «ответа на готовые вопросы» к стадии «создания новых доказательств в инструментальной среде». Подобные способности обеспечат реальный производственный эффект в софт-археологии, анализе вредоносных образцов, фаззинге протоколов, помощи в формальных доказательствах и аудите стандартов.

Но и «полчаса» требует правильной интерпретации. Криптографическое сообщество не занималось непрерывным перебором этой задачи 25 лет по восемь часов ежедневно. Люди уже написали стандарты, предложили модели бэкдоров, сохранили семена, придумали LLL, реализовали вычислительное ПО и оформили задачу в виде открытой награды. Модель стоит на вершине всего комплекса знаний и инструментов, молниеносно находя комбинацию, которую никто раньше не тестировал всерьёз. Она сокращает маржинальное время одного исследовательского поиска, а не заменяет собой 25 лет научных накоплений из ниоткуда.

Кроме того, открытые материалы не содержат точной версии внутренней модели, полного исходного диалога, ветвей ошибок, затрат на вычисления или деталей вмешательства человека за те самые полтора часа. Поэтому достоверно известно лишь метод генерации и итог — они уже воссозданы программным кодом; нарратив о «полностью автономной работе менее чем за полчаса» исходит преимущественно от самой Anthropic и пока недостаточен для формирования строгого воспроизводимого эталона моделей. Разделять верифицируемые результаты и атрибуцию способностей производителю — базовая дисциплина при оценке исследований с участием ИИ.

Долгосрочные последствия для криптомира: чёрные ящики будут вскрываться быстрее, а прозрачные дизайны станут дороже

Это событие не предрекает, что завтра ИИ силой вычислит закрытые ключи P-256. В рамках классических вычислений безопасность зрелых эллиптических кривых опирается на колоссальную сложность задачи дискретного логарифма; умение писать код и использовать LLL не означает автоматического преодоления экспоненциальной сложности.

Более близкие изменения происходят в другом месте: в системах безопасности содержится масса «чёрных ящиков» с исправной математикой, но неизвестным происхождением, устаревшими реализациями и сложными взаимодействиями. Они годами не подвергались тщательной проверке часто не потому, что это неразрешимо, а из-за разрозненности данных, многосложности тестирования и неясной отдачи, что делает долгосрочное привлечение ведущих исследователей затруднительным. ИИ, способный читать старые статьи, генерировать проверочный код и длительное время запускать инструменты, значительно снизит стоимость такого аудита.

Это обоюдоострый меч. Защитники смогут массово перепроверять стандартные параметры, искать отпечатки слабых ГПСЧ и анализировать исторический код в цепочках поставок; атакующие смогут быстрее находить комбинированные уязвимости в малоизвестных протоколах, прошивках и корпоративных криптосистемах. Те системы, которые будут «разорваны» в первую очередь, скорее всего, не AES, TLS 1.3 или популярные кривые с полноценным публичным аудитом, а те, что полагаются на секретные реализации, размытые спецификации и статус «десятилетиями никем не трогались».

Правильная реакция заключается не в паничном отказе от кривых NIST, а в разработке стандартов, более удобных для машинного аудита:

1. Генерация параметров должна опираться на открытые, неприступные источники энтропии или заранее гарантированные данные с предоставлением полного скрипта, версий и правил фильтрации;
2. Математические доказательства безопасности, эталонные реализации и тестовые векторы должны позволять любому провести сквозную воспроизводимость, а не ограничиваться проверкой финального шага;
3. При обнаружениях ИИ необходимо сохранять полную историю выполнения, чётко разделяя самостоятельную работу модели, человеческие подсказки и постобработку;
4. Применять модели для оборонительного аудита наследия, одновременно ограничивая их сетевые и исполнительские возможности через изолированные среды, контроль привилегий и ответственное раскрытие информации;
5. Продолжать переход к постквантовой криптографии, не смешивая квантовые угрозы с текущим расследованием происхождения семян.

Итоговый вердикт

Это не криптографическая катастрофа, а дополнение к книге учёта доверия.

На протяжении последних 25 лет люди знали, что кривые NIST устойчивы к публичному анализу, но не понимали, почему там появились именно эти начальные строки цифр. Сейчас рабочая цепочка, идущая от unix-часов 1997 года, `srand48`, номеров кандидатов к стандартамому семени, превращает требование «поверьте, что NSA ничего не подделывало» в возможность «самостоятельно воспроизвести, как оно примерно создавалось». Самое ценное достижение криптологии чаще всего заключается не в добавлении нового доверия, а в сокращении объёма того, чему необходимо верить.

Для ИИ это сигнал значимее, чем просто «правильный ответ на олимпиадную задачу»: модели начинают оставлять новые доказательства, которые внешние эксперты могут независимо проверить в рамках реального открытого вопроса с неизвестным решением. Сегодня они восстанавливают источник части криптоистории; завтра аналогичные способности будут применяться для выявления уязвимостей, а также для подтверждения отсутствия тех самых дефектов, которых опасаются.

Таким образом, этот инцидент означает вовсе не то, что «ИИ уже взломал криптологию», а то, что: срок годности «чёрных ящиков» в криптомире, существовавших исключительно благодаря истории, авторитету или всеобщему молчанию, стремительно истекает.