Claude 半小时查清曲线种子，答案藏在 1997 年

二十多年里，密码学界一直在猜五个数字是怎么来的。有人悬赏，有人去问当年的当事人，线索都指向一句加薪的玩笑。结果全错。

真正的原因很朴素：一台 90 年代电脑的时钟。

一、发生了什么

10 月 17 日，量子位报道了 Anthropic 披露的一项内部测试。对象是 ECDSA 用到的五条标准椭圆曲线：P-192、P-224、P-256、P-384、P-521。2000 年，这套签名算法连同曲线参数写进了 NIST 的 FIPS 186-2 标准。

问题出在种子。种子是生成曲线的起始材料，拿到它，按标准步骤运算，就能验证参数对不对。但这五个种子当年为什么这么选，公开文件里没写。

当年提供种子的 Jerry Solinas 只记得，他们大概把一句和加薪有关的玩笑口令转成了数字。二十多年来，研究者都沿着这条线索找。密码学工程师 Filippo Valsorda 还公开悬赏，请人找出五组种子的前身，一直没有结果。

Claude 走的是另一条路。据 Anthropic 描述，员工交给它这个问题时，没有告诉它那句加薪口令。Claude 猜这些数字可能来自 90 年代 C 语言库里的伪随机数生成器，随后写了个扫描程序，把公开种子拆成二进制逐位比对，试了 34 种生成器和截取方式的组合。

它发现，四组种子拆成 20 个 32 位整数后，最高位全是 0。这是 lrand48 的特征：它只输出 48 位状态的高 31 位，放进 32 位整数，空出的一位只能补 0。Claude 再用 LLL 格基约简恢复被截断的状态，把初始化输入指向 Unix 时间戳。

时间集中在 1997 年 5 月到 1998 年 4 月。以 P-256 为例，对应时刻是 1997 年 8 月 16 日 01:52:34，从这一刻起跑生成器，取第 1842 个候选，得到的正是公开的那串种子。Valsorda 后来做了独立复核。

Anthropic 也承认没补全：当年为何跳过一些合格候选，原因不明；B-163 的种子和部分基点的生成方式仍未解释。但就这五条曲线而言，结论是它们没有隐藏后门。

普通用户：不用做任何事。 这次没发现算法漏洞，浏览器、证书、网银用的曲线没变，也没有要打的补丁。

做安全合规的：多了一条可引用的结论。 审计里常被问「这些参数为什么可信」，以前只能答「NIST 标准」，现在可以补一句「种子来源已被还原，且与时间戳一致」。但这句话只回答来源，不回答「NIST 是否可信」这个大问题。

做研究的：值得学的是流程，不是答案。 先假设一个可验证的生成机制，再写程序穷举，最后用数学工具回收状态。这套顺序，换成别的「来源不明」的数据也成立。

「Claude 攻破了 ECDSA。」 没有。签名算法没有被破，私钥没有更容易算，攻击成本没有下降。被还原的是「当年怎么挑出这几个数」，属于历史问题。

「这证明 NIST 曲线一直有后门。」 恰好相反。文章给出的结论是五条曲线不存在潜在安全漏洞。种子能被时间戳复现，说明它更像是随手跑的程序输出，而不是精心埋的东西。

「半小时说明模型已经强过密码学家。」 这半小时之前，是二十年的公开讨论、一次悬赏、一位当事人的回忆，和一个被定义好的问题。Claude 的贡献是换对了搜索方向，不是从零发明问题。

这次不是 AI 破了密码，是 AI 把一段没人愿意再翻的旧账翻清了；能复现的结论，才配叫结论。

功能与价格以官方公告为准。本文写于 2026 年 10 月 18 日。