Dreißig Minuten. So lange brauchte Claude von Anthropic, um ein Rätsel zu lösen, an dem Kryptografen ein Vierteljahrhundert lang gescheitert waren.
Ende der 1990er-Jahre übergab die US-Sicherheitsbehörde NSA dem Institut NIST fünf rätselhafte Zahlen — Seeds für die elliptischen Kurven P-192, P-224, P-256, P-384 und P-521. Diese Kurven bilden bis heute die Grundlage eines Großteils moderner Kryptografie: TLS-Zertifikate, VPNs, Bankprotokolle. Woher die Zahlen stammten, hat die NSA nie wirklich erklärt. Die gängige Theorie lautete, Behördenmathematiker Jerry Solinas habe irgendwelche scherzhaften englischen Phrasen gehasht — nur die Phrasen selbst gingen verloren, sodass sich die Theorie nie überprüfen ließ.
25 Jahre lang nährte dieses Schweigen stets dieselbe Frage: Hat die NSA Kurven mit einer Schwachstelle gewählt, die nur sie selbst ausnutzen kann? Nach den Snowden-Enthüllungen, die bestätigten, dass die Behörde tatsächlich andere Kryptostandards geschwächt hatte, wuchs der Verdacht nur weiter. 2023 setzte der Kryptografie-Ingenieur Filippo Valsorda ein Kopfgeld von 12.288 Dollar aus — steigend auf 36.864 Dollar für einen wohltätigen Zweck — für eine schlüssige Erklärung der Zahlen. Jahrelang holte sich niemand den Preis.
Claude ging die Aufgabe anders an als die Menschen vor ihr. Das Modell vermutete, die Zahlen seien keine Phrasen-Hashes, sondern schlichte Ausgaben von lrand48, einem gewöhnlichen Pseudozufallsgenerator aus alten Unix-C-Bibliotheken. Ausgehend von dieser Hypothese testete die KI Kandidaten auf Basis von Zeitstempeln aus 1997-1998 und reproduzierte den veröffentlichten Seed für die Kurve P-256 exakt — der 1.842. Kandidat in der Sequenz. Die übrigen vier Kurven stimmten genauso präzise überein. In ihren veröffentlichten Überlegungen schrieb das Modell: "Das ist erstaunlich: Es löst das 25 Jahre alte Rätsel", und fügte hinzu: "Wow, das ist eine echte Entdeckung."
Für die Kryptografie ist der Befund eher beruhigend als alarmierend. Wenn die Zahlen schlicht die erste brauchbare Ausgabe eines mit einem Datum gestarteten Generators sind, schrumpft der Raum für versteckte Manipulation drastisch — Forscher schätzen, die NSA habe höchstens etwa 30 Bit Wahlfreiheit gehabt, nicht die 70 Bit, die manche der düstersten Hintertür-Theorien voraussetzten. Ganz geklärt ist der Fall nicht — niemand erklärt bislang, warum der Generator manche brauchbaren Kandidaten übersprang —, doch eine absichtlich eingebaute Schwäche wirkt nun deutlich unwahrscheinlicher.
Mit Bitcoin hat die Geschichte nur am Rande zu tun: Die Kryptowährung setzt nicht auf NIST-Kurven, sondern auf secp256k1, eine einfachere Konstruktion mit deutlich weniger einstellbaren Parametern, die ohnehin als weniger verdächtig galt. Es ist eher eine Geschichte über das Vertrauen in die Infrastruktur des gesamten Internets als eine konkrete Bedrohung für Kryptowerte. Anthropic leitete das Preisgeld an die Internet Security Research Group weiter, die gemeinnützige Organisation hinter dem kostenlosen Zertifikatsdienst Let's Encrypt. Nicht alle sehen die Entdeckung als eindeutigen Durchbruch: Bitcoin-Core-Entwickler Gregory Maxwell merkte an, er habe einem anderen Anthropic-Modell wenige Tage zuvor eine ähnliche Frage gestellt — ohne Ergebnis, was die Frage aufwirft, wie reproduzierbar das Resultat wirklich ist.
