Claude 破解 ECDSA 参数来源之谜：NIST P-256、lrand48、Unix 时间戳与 AI 数学推理深度解析

一、Claude 用不到半小时，解开困扰密码学界 25 年的问题

2026 年 10 月 16 日，Anthropic 发布一篇名为《Claude reveals ECDSA curve origins》的研究报告。

研究团队宣布，Claude 追溯出了多个 NIST 标准椭圆曲线参数种子的生成方式。

这些种子与一个历史悠久的 C 语言伪随机数生成器 lrand48 有关，而生成器的初始化值来自 Unix 时间戳。

根据 Anthropic 官方介绍，一名研究人员在 2026 年 10 月向内部研究模型提出问题后，Claude 在不到半小时内找到了五条 NIST 素数域曲线种子的来源。

这些曲线包括：

• P-192
• P-224
• P-256
• P-384
• P-521

其中，P-256 是现代互联网安全技术中十分重要的椭圆曲线之一。

这一发现之所以引人关注，是因为相关参数的来源长期存在争议。

过去，研究人员知道这些曲线具有公开的数学定义，却不完全清楚最初的某些种子参数是怎样生成的。

由于历史资料不足，人们无法轻易独立重现当初的选择过程。

Claude 的研究将这个问题转化为可以通过程序验证的数学与计算任务，并成功找到对应生成规律。

但在讨论技术细节之前，必须强调一个关键事实：

这不是 ECDSA 被破解，也不是发现了能够窃取用户私钥的新漏洞。

Anthropic 明确表示，这项研究没有发现新的密码学攻击，用户不需要因为它更换密钥或改变日常安全配置。

二、ECDSA 是什么？为什么它如此重要？

ECDSA 的完整名称是 Elliptic Curve Digital Signature Algorithm，即椭圆曲线数字签名算法。

它利用椭圆曲线上的数学运算，为数字签名提供安全基础。

在常见应用中，用户可以使用私钥对消息进行签名，其他人则利用对应的公钥验证签名。

只要系统正确实现并使用合适的参数，验证者就能够检查消息是否经过相应私钥持有者签署，以及签名所对应的数据是否遭到修改。

ECDSA 广泛应用于数字证书、软件签名、身份认证和部分区块链系统。

与某些传统公钥密码方案相比，椭圆曲线密码学通常能够使用相对较短的密钥长度提供较高的安全强度。

但它的安全性依赖于多个条件。

例如，椭圆曲线参数必须符合相关数学要求。

私钥应当安全生成和保存。

签名所需的随机数或确定性生成流程也必须正确实现。

如果私钥泄露，或者签名过程错误使用随机数，即使椭圆曲线本身没有问题，系统仍然可能受到攻击。

因此，研究 ECDSA 时，需要区分曲线参数安全性、密钥安全性和签名实现安全性。

这次 Anthropic 研究主要解决的是第一类问题中的参数来源谜题，而不是发现了后两类问题中的实际漏洞。

三、NIST 椭圆曲线参数为什么曾经引发争议？

美国国家标准与技术研究院 NIST 在 2000 年的 FIPS 186-2 标准中列出了多条椭圆曲线。

这些曲线具有不同的参数规模和适用条件。

对于部分曲线，标准给出了一个 Seed，也就是种子值。

通过指定的计算方法，这个种子可以用于推导曲线方程中的某些系数。

但这些种子最初是如何选择的，历史标准并没有提供完整解释。

相关参数由美国国家安全局 NSA 提供，这进一步引发了外界对参数选择透明度的讨论。

这里需要强调：

参数来源不透明，并不能直接证明存在后门。

密码学研究人员关注的是能否独立重现参数生成过程，以及是否存在人为筛选特殊弱参数的空间。

如果参数来自一个事先确定、可以公开验证的生成流程，就更容易建立信任。

但如果只公布最终数值，却无法说明选择过程，就可能长期留下疑问。

这种透明度问题也被称为参数来源或参数生成可信性问题。

它不一定意味着算法不安全，却会影响密码学标准的可审计性。

四、P-256 曲线的种子到底是什么？

在 Anthropic 研究报告中，NIST P-256 的原始种子是一个重要例子。

官方公布的十六进制种子为：

C49D360886E704936A6678E1139D26B7819F7E90

这一数值由 40 个十六进制字符构成，对应 160 位数据。

早期标准公开了相关数值，却没有完整说明它为什么被选中。

长期以来，有一种说法认为，该种子可能与某句幽默短语的哈希值有关。

研究人员曾根据这一方向尝试搜索，但没有成功恢复生成过程。

Claude 的突破在于，它没有继续只围绕猜测中的字符串寻找哈希原像。

相反，它开始从当时可能使用的软件环境入手。

如果这些参数由 1990 年代的计算程序生成，研究者可能使用当时常见的 C 语言伪随机数生成器。

这种思路将问题从自然语言猜测，转化为对历史程序输出特征的数学分析。

五、Claude 为什么怀疑 lrand48？

lrand48 是传统 C 语言环境中使用的伪随机数生成函数。

它属于线性同余生成器家族。

这类生成器通常使用一个内部状态，并按照固定递推关系不断更新。

其基本形式可以表示为：

[
X_{n+1}=(aX_n+c)\bmod m
]

其中，X 表示内部状态，a 为乘数，c 为增量，m 为模数。

对于 lrand48，其内部状态为 48 位，采用固定的更新常数。

这一类生成器能够快速产生看起来具有随机性的数字序列。

但它并不是现代密码学意义上的安全随机数生成器。

如果攻击者获得足够的输出信息，就可能推断内部状态或预测后续输出。

Claude 正是利用了这一数学性质。

Anthropic 报告介绍，Claude 对标准公开的种子进行扫描，尝试识别其中是否存在旧式伪随机数生成器连续输出的特征。

研究尝试了不同的生成器与输出切片组合。

在部分种子中，Claude 发现了一种值得注意的模式：按照 32 位数据块观察时，部分输出的最高位呈现特殊分布。

这与 lrand48 输出 31 位非负整数的特征相吻合。

这一发现并不是最终证明，但为后续恢复生成器内部状态提供了线索。

六、Claude 如何恢复伪随机数生成器状态？

对于输出信息较完整的情况，可以利用线性同余生成器的递推关系恢复内部状态。

如果已知某一时刻输出中的部分状态信息，就可以尝试枚举剩余未知位。

Anthropic 报告中，Claude 曾尝试枚举 17 位未知状态，以验证后续数据块是否符合连续输出规律。

如果连续多个输出均与同一个生成器状态吻合，随机巧合的可能性就会明显降低。

但部分种子只包含内部状态经过截断后的信息。

这使状态恢复变得更加复杂。

Claude 使用了与格密码分析有关的方法，其中包括 LLL 格基约简算法。

LLL 的全称来自 Lenstra、Lenstra、Lovász 三位数学家的姓氏。

它是一种处理整数格基的算法，可以在某些结构化数学问题中寻找较短的向量。

在截断线性同余生成器状态恢复问题中，可以根据已知输出和递推关系建立数学约束，再使用格约简方法求取满足条件的候选状态。

对于普通读者，可以将这一过程理解为：

虽然只看到了随机数内部状态的一部分，但由于连续状态之间存在确定的数学关系，研究者仍可能反向恢复原始状态。

这正是旧式非密码学随机数生成器不适合直接生成安全密钥的原因之一。

不过，本次研究分析的是历史曲线参数种子，而不是用户的真实私钥。

七、Unix 时间戳如何成为最终答案？

恢复生成器状态后，Claude 进一步尝试寻找程序初始化方式。

C 语言中的 srand48 可以使用指定种子初始化相关随机数生成器状态。

研究发现，多个曲线种子的生成状态可以追溯到具有特定结构的 srand48 初始化值。

而这些值对应 Unix 时间戳。

Unix 时间戳通常表示从 1970 年 1 月 1 日 UTC 起经过的秒数。

在历史软件中，开发者有时会使用当前时间初始化普通伪随机数生成器。

这种方式实现简单，但不可作为高安全等级随机性来源。

根据 Anthropic 披露，多个 NIST 素数域曲线以及 ANSI X9.62 示例曲线的种子，都符合这种生成方式。

例如：

这些时间和候选序号不是随意猜测得到的故事情节。

研究团队提供了可以重新生成相应种子的计算方法与源代码。

这也是此次发现最重要的证据。

八、为什么 P-256 需要第 1842 个候选值？

Anthropic 研究指出，P-256 对应的标准种子是相关生成流程中的第 1842 个候选值。

也就是说，程序在固定初始化状态下连续生成候选种子，直到选中标准中公开的那一个。

这意味着，研究者不仅恢复了随机数生成器种类，还找到了对应初始化时间和候选序列位置。

能够完整复现最终 160 位种子，是比单纯发现某种统计相似性更强的证据。

但这里仍存在一个未完全解决的问题。

为什么当年要跳过前面的某些候选值？

Anthropic 发现，部分更早的候选值看起来同样可能满足若干基本数学条件。

因此，历史上采用什么具体选择标准，仍不能完全确认。

这意味着 Claude 虽然解决了种子如何生成的问题，却没有恢复当年开发者的全部决策过程。

这种区分非常重要。

恢复算法来源，不等于知道所有历史选择动机。

九、Claude 还解释了部分曲线基点来源

除了种子，椭圆曲线还有另一个重要参数：基点 G。

在 ECDSA 中，公钥通常与私钥对基点的标量乘法运算有关。

因此，基点也是曲线标准的重要组成部分。

Anthropic 报告介绍，Claude 进一步发现 P-192 及部分 ANSI X9.62 示例曲线的基点，与 FreeLIP 大整数运算库中的随机数生成器有关。

相关生成流程包括使用较小整数初始化随机数生成器、丢弃一定数量的初始输出，以及寻找满足曲线要求的点。

研究团队恢复了若干具体初始种子值。

不过，这项成果并没有解释全部标准曲线基点。

例如，P-224、P-256、P-384 和 P-521 的基点生成方式，仍未由报告中的方法完整恢复。

因此，不能将研究结论表述为“Claude 已经完全解释全部 NIST 椭圆曲线参数”。

更准确的说法是：Claude 找到了多个重要曲线种子的可复现生成方式，并进一步解释了部分基点的来源。

十、为什么这项发现没有削弱 ECDSA 安全性？

这是整篇文章最需要澄清的问题。

当新闻提到“椭圆曲线”“NSA”“弱随机数生成器”和“破解谜题”时，读者可能误以为互联网加密系统出现重大漏洞。

但事实并非如此。

ECDSA 的安全性并不是建立在标准曲线种子必须永久保密这一条件上。

标准曲线参数本身就是公开的。

研究者关心的是，这些参数是否经过不透明的恶意筛选，从而引入隐藏的数学弱点。

此次研究发现，多个参数可以通过简单的历史随机数生成流程进行复现。

Anthropic 认为，这在一定程度上降低了人为植入特殊弱参数的可疑程度。

换句话说，找到这些参数的来源，并没有让攻击者因此获得用户私钥。

它也没有提供能够快速求解椭圆曲线离散对数问题的新算法。

更不能直接通过发现 Unix 时间戳，就恢复现代 ECDSA 用户的签名密钥。

需要区分两件完全不同的事情。

第一件事，是历史标准曲线参数的生成方式。

第二件事，是实际用户私钥和每次签名所需随机数的生成方式。

如果现代应用错误地使用可预测随机数生成私钥或签名随机数，确实可能存在严重风险。

但这属于具体实现中的密钥安全问题，与本次发现的标准参数来源不是同一个问题。

因此，不能将本次研究包装成新的 ECDSA 私钥攻击。

十一、还有哪些谜题没有解决？

Anthropic 在报告中也明确承认，研究仍然存在未解答的问题。

首先，为什么某些候选曲线被跳过，目前尚不完全清楚。

研究者没有恢复全部历史筛选依据。

其次，二元域曲线中的 B-163 种子，仍未通过 Claude 已尝试的方法解释。

另外，P-224、P-256、P-384 和 P-521 等曲线的基点来源，仍然存在未解问题。

因此，本次成果不是对整个标准历史的完整还原。

但它已经为长期缺乏可复现解释的多个参数提供了明确的生成路径。

从科学研究角度看，能够清楚说明已解决的问题和仍然存在的限制，同样是研究可信度的重要组成部分。

十二、为什么 Claude 能解决长期悬而未决的问题？

本次研究最值得 AI 开发者关注的部分，是模型如何使用计算工具开展数学探索。

Claude 并不是单纯凭语言知识猜出了结果。

根据 Anthropic 报告，它结合历史软件环境、随机数生成器特征、状态恢复方法和程序验证，逐步形成并检验假设。

这个过程具备典型的工具增强型研究 Agent 特征。

首先，模型需要理解密码学背景，并重新定义问题。

随后，建立可能的生成算法假设。

接着，编写代码测试这些假设。

对于不匹配的结果，再继续调整搜索方法。

最后，通过完整重现公开参数验证结论。

这种工作方式与普通问答存在明显区别。

普通问答主要依赖已有知识生成解释。

工具增强型科研 Agent 则可以通过计算获得新的验证证据。

当然，这并不意味着模型可以替代数学证明和独立复现。

如果模型生成的代码本身有错误，研究结论仍然可能不可靠。

因此，AI 科研需要保留可以由其他研究者独立执行的程序、数据和推导过程。

十三、这项研究对 AI Agent 开发有什么启示？

Claude 的 ECDSA 研究说明，AI Agent 的价值不只是自动操作软件，也可能是自动探索复杂技术问题。

一个面向科研的 Agent 可以被设计成以下结构。

第一层：问题定义

将自然语言研究目标转换为能够检查的技术问题。

例如，判断某组公开数据是否来自特定随机数生成器。

第二层：假设生成

提出不同解释，并明确每个假设需要什么证据。

第三层：工具执行

调用 Python、数学计算库或其他程序执行实验。

第四层：结果验证

检查计算结果是否满足已知数学条件，并尝试复现完整数据。

第五层：证据整理

记录参数、代码、运行环境和最终结论。

第六层：独立审查

由人类研究人员或其他独立流程检查推导与实验结果。

这种架构同样可以应用于算法研究、软件漏洞分析、数据异常检测以及工程优化。

但不同领域存在不同的安全边界。

对于可能影响真实生产系统的实验，应该使用隔离环境，并在实施前取得必要授权。

十四、可复现研究为什么比漂亮的回答更重要？

人工智能系统可以生成结构完整、语言流畅的解释。

但语言流畅并不能证明结论正确。

本次研究的重要价值，在于 Anthropic 公开了复现相关种子的代码。

对于 P-256，程序可以根据对应时间戳、生成器递推关系和候选序号重新得到公开种子。

这样的计算结果可以由其他研究者独立检查。

如果只是让模型回答“这些种子可能来自 Unix 时间戳”，即使推测正确，也难以形成充分证据。

而当模型提供具体算法、参数和输出，并且结果能够精确匹配公开标准时，可信度就明显提高。

因此，开发科研 Agent 时，建议优先保存以下内容：

• 原始研究问题。
• 使用的数据与版本。
• 假设及其修改过程。
• 实验代码。
• 参数和运行环境。
• 原始计算输出。
• 独立复现结果。
• 尚未解决的问题。

这些内容能够使 AI 研究成果更容易审计，也更有利于长期积累。

十五、这项研究是否意味着 AI 能取代密码学专家？

不能这样理解。

Claude 在此次研究中表现出了较强的技术探索能力，但密码学研究依然需要专业背景、数学证明和独立验证。

模型可能提出错误假设，也可能误解历史资料或对计算结果作出过度解释。

如果缺少严格验证，这些错误可能被包装成看起来可信的研究结论。

因此，更合理的方向是让 AI 成为科研人员的工具。

模型负责生成候选思路、编写实验代码、搜索数学结构和整理证据。

专家则负责判断研究问题是否重要、验证结论是否充分，以及评估成果的真实安全含义。

Anthropic 的研究正体现了这种协作方式。

它展示了 AI 能够加速某些复杂探索，但并没有证明模型可以脱离人类审查独立完成所有密码学研究。

十六、常见问题 FAQ

Claude 真的破解了 ECDSA 吗？

没有。Claude 解释了多个标准椭圆曲线参数种子的历史生成来源，并没有破解 ECDSA 数字签名算法。

为什么 25 年没人发现？

相关历史资料不完整，研究人员长期缺少可靠的生成线索。Claude 将问题转化为旧式随机数生成器的输出识别与状态恢复任务，取得了新进展。

P-256 现在还安全吗？

Anthropic 明确表示，此次发现并不是新的攻击或漏洞，不需要因这一研究改变现有安全措施。

Unix 时间戳可以用来恢复我的私钥吗？

不能根据本次研究得出这样的结论。这里恢复的是历史标准参数的生成过程，不是现代用户的私钥。

lrand48 是安全的密码学随机数生成器吗？

不是。它属于传统伪随机数生成器，不适合直接用于高安全要求的密钥生成。

Claude 解决了全部曲线参数来源吗？

没有。部分二元域曲线种子和若干基点的生成方式仍未完全解释。

十七、结语：Claude 展示了 AI 科研的新可能

Claude 追溯 NIST 椭圆曲线参数来源的研究，是一次值得关注的 AI 辅助技术探索。

它没有改变 ECDSA 的基本安全结论，也没有带来新的私钥破解方法。

但它展示了 AI 将数学知识、程序分析和计算实验结合起来解决长期开放问题的潜力。

从一个历史密码学谜题出发，Claude 识别了旧式随机数生成器的特征，恢复了内部状态，并追溯到具有可复现性的 Unix 时间戳初始化过程。

更重要的是，这项研究保留了具体算法和代码证据，让其他研究者能够检查结论。

未来，随着 AI 模型与数学工具、代码执行环境和自动验证系统更深入地结合，类似的工具增强型科研流程可能出现在更多领域。

对于 AI 开发者而言，真正值得学习的不是让模型直接给出惊人的结论。

而是如何构建一个能够提出假设、执行实验、检查错误，并最终输出可复现证据的研究系统。

这可能是 AI 从信息助手走向科研协作者的重要方向之一。

官方参考资料

1. Anthropic — Claude reveals ECDSA curve origins https://www.anthropic.com/research/ecdsa-curve-origins

2. NIST — FIPS 186-2 Digital Signature Standard https://csrc.nist.gov/pubs/fips/186-2/final

3. Anthropic 官方研究报告中的复现程序 https://www.anthropic.com/research/ecdsa-curve-origins