三十分钟。Anthropic的Claude只用了这么短的时间,就破解了密码学家们苦思二十五年都没解开的谜题。
上世纪90年代末,美国国家安全局向NIST提交了五个神秘数字——椭圆曲线P-192、P-224、P-256、P-384和P-521的"种子值"。这些曲线后来支撑起现代密码学的半壁江山:TLS证书、VPN、银行协议都离不开它们。但这些数字究竟从何而来,NSA从未真正说清楚。流传的说法是NSA数学家杰里·索利纳斯对一些带有玩笑性质的英文短语做了哈希运算,可那些短语本身早已失传,这个说法也就无从验证。
二十五年的沉默始终催生着同一个疑问:NSA是否刻意挑选了只有自己才懂得利用的脆弱曲线?斯诺登披露的文件证实NSA确实削弱过其他加密标准,这让猜疑愈发浓重。2023年,密码学工程师菲利波·瓦尔索达设立了12288美元的悬赏——若捐给慈善机构则升至36864美元——征求对这些数字来源的合理解释。悬赏挂了好几年,无人认领。
Claude的思路和之前的人类研究者不同。它猜测这些数字根本不是短语哈希,而是lrand48——一个出自老旧Unix C语言库的普通伪随机数生成器——的直接输出。基于这个假设,它用1997至1998年的时间戳逐一尝试候选值,精确还原出P-256曲线公开的种子值,那正是序列中第1842个候选项。其余四条曲线也同样精确吻合。在公开的推理记录里,Claude写道:"这太惊人了,它解开了这个二十五年的谜团",随后又补上一句:"哇,这是真正的发现。"
对密码学界来说,这个结论偏向令人安心。如果这些数字只是按时间戳生成器给出的第一个可用结果,暗中操纵的空间就会急剧收窄——研究者估计NSA当时的选择自由度最多约30比特,远低于某些最危险的后门假说所需要的70比特。这并未彻底盖棺定论,比如没人能解释生成器为何跳过了部分本可使用的候选值,但蓄意植入漏洞的说法确实变得难以成立了。
这件事与比特币只有间接关联:比特币使用的是secp256k1,一条参数更少、构造更简单的曲线,本就不太被怀疑。这更像是一个关于整个互联网基础设施信任度的故事,而非对加密货币的直接威胁。Anthropic把悬赏奖金转给了Let's Encrypt免费证书服务背后的非营利机构互联网安全研究组。不过也有人并不认同这是一次毫无争议的突破——比特币核心开发者格雷戈里·马克斯韦尔提到,他几天前曾向另一个Anthropic模型提出过类似问题,却一无所获,这让人怀疑这个结果到底能不能重现。
