Claude retrace les graines mystérieuses des courbes elliptiques du NIST à des horodatages des années 1990

Un modèle de recherche interne d'Anthropic a découvert en moins d'une demi-heure que les graines derrière les courbes elliptiques NIST P-192, P-224, P-256, P-384 et P-521 n'étaient pas des hachages d'une phrase mais la sortie du générateur de nombres aléatoires lrand48 de la bibliothèque C, initialisé avec des horodatages Unix, a indiqué Anthropic le 16 octobre 2026 [1].

D'où proviennent les graines des courbes du NIST ?

Le NIST a adopté les courbes en 2000 dans la norme FIPS 186-2, et la NSA a fourni les graines sans explication [1]. Chaque graine est hachée pour définir un coefficient de la courbe, donc une graine inexpliquée laissait place à la suspicion d'une courbe délibérément affaiblie [1][2].

L'histoire longtemps racontée était que l'employé de la NSA Jerry Solinas avait haché une phrase humoristique qu'il avait ensuite oubliée. Solinas est décédé en 2023 [1][2]. Anthropic indique que plusieurs employés avaient poursuivi cette piste sans succès avant qu'un employé ne pose la question au modèle sans pointer l'indice [1].

Le modèle a découvert que chaque initialisation derrière les dix graines des courbes premières, cinq du NIST et cinq de l'ANSI X9.62, était un horodatage entre mai 1997 et avril 1998 [1]. La graine P-256 est la candidate 1,842 d'une exécution commencée le 16 août 1997 [1].

La récupération de l'état du générateur à partir d'une sortie tronquée est un problème de réseau classique, résolu par réduction de base LLL, indique Anthropic [1]. Nous avons exécuté le script publié par Anthropic et il a reproduit la graine P-256 C49D360886E704936A6678E1139D26B7819F7E90.

Qu'est-ce qui reste inexpliqué ?

Quatre graines des courbes binaires du NIST correspondent si le programme divisait l'horloge par deux, ce qu'Anthropic présente comme une lecture provisoire [1]. La cinquième graine binaire, B-163, ne correspond à rien de ce que le modèle a essayé, et les points de base pour P-224, P-256, P-384 et P-521 restent inexpliqués [1].

Certaines courbes viables ont été ignorées : pour P-256, la candidate 876 de la même exécution aurait également fonctionné [1]. Anthropic indique qu'elle ne sait pas quels critères ont été utilisés, ni s'il s'agissait d'un artefact involontaire [1].

Qui reçoit la prime ?

Le cryptographe Filippo Valsorda, qui a organisé la prime, a indiqué que l'équipe d'Anthropic l'a réclamée le 15 octobre 2026 à 01:07:51 UTC et a choisi de la reverser à l'ISRG, triplant sa valeur à 36,864 dollars [2]. Valsorda décrit le générateur comme drand48 ; le code d'Anthropic lit la sortie de lrand48 de la même famille de générateurs [1][2].

Notre lecture

Opinion : Le résultat scientifique le plus utile de l'IA cette semaine est un résultat banal. Un modèle a clos une question de confiance vieille de 25 ans avec du code que tout le monde peut réexécuter, ce qui est la norme appropriée pour les affirmations de recherche en IA.

Ce que nous n'avons pas pu vérifier

• Nous n'avons reproduit que la graine P-256 ; nous n'avons pas relancé la recherche par réseau ni vérifié la lecture des courbes binaires.
• Anthropic n'a pas nommé le modèle de recherche interne ni publié la quantité de calcul utilisée pour la recherche.