Полчаса — именно столько потребовалось нейросети Claude от Anthropic, чтобы решить головоломку, над которой криптографы бились четверть века.
В конце 1990-х Агентство национальной безопасности США передало институту NIST пять загадочных чисел — «сидов» для эллиптических кривых P-192, P-224, P-256, P-384 и P-521. Эти кривые легли в основу половины современной криптографии: TLS-сертификаты, VPN, банковские протоколы. Но откуда взялись сами числа, NSA никогда толком не объяснило. Ходила версия, что математик агентства Джерри Солинас хэшировал какие-то шутливые английские фразы — но сами фразы потерялись, и проверить теорию было нечем.
Двадцать пять лет молчание NSA подпитывало один и тот же вопрос: не подобрали ли в агентстве кривые так, чтобы в них была лазейка, известная только самим авторам? После разоблачений Сноудена, показавших, что NSA действительно ослабляло некоторые криптостандарты, подозрения только усилились. В 2023 году криптоинженер Филиппо Валсорда назначил награду $12 288 — с ростом до $36 864 на благотворительность — за внятное объяснение происхождения чисел. Несколько лет приз никто не забирал.
Claude подошёл к задаче иначе, чем люди до него. Модель предположила, что числа — не хэши фраз, а обычный вывод генератора случайных чисел lrand48, рядового инструмента из старых C-библиотек Unix. Отталкиваясь от этой гипотезы, ИИ перебрал кандидатов на основе временных меток 1997–1998 годов и точно воспроизвёл опубликованный сид для кривой P-256 — это оказался 1842-й кандидат в последовательности. Остальные четыре кривые сошлись так же четко. В опубликованных рассуждениях модель написала: «Это удивительно: это решает двадцатипятилетнюю загадку». А следом добавила: «Ого, это настоящее открытие».
Для криптографии вывод скорее успокаивающий. Если числа — просто первые подходящие выходы генератора по дате, пространство для скрытого манипулирования резко сужается: по оценке исследователей, у NSA было от силы около 30 бит свободы выбора, а не 70, как предполагали самые тревожные сценарии атаки. Тему это не закрывает целиком — непонятно, почему генератор пропускал часть рабочих вариантов, — но версию о спрятанной лазейке делает куда менее вероятной.
К Bitcoin история имеет лишь косвенное отношение: монета использует не кривые NIST, а secp256k1 — более простую конструкцию с минимумом настраиваемых параметров, которую и так подозревали меньше. Это скорее сюжет про доверие к инфраструктуре всего интернета, чем про конкретную угрозу криптовалютам. Приз Валсорды Anthropic направила в Internet Security Research Group — организацию, стоящую за бесплатным сертификатным сервисом Let's Encrypt. Но не все восприняли открытие как однозначный прорыв: разработчик Bitcoin Core Грегори Максвелл заметил, что задавал похожий вопрос другой модели Anthropic несколькими днями ранее — и не получил ответа, что ставит вопрос о том, насколько воспроизводим такой результат.
