NSA 給的種子沒人懂
ECDSA 是目前最廣泛使用的橢圓曲線密碼標準。NIST 在 2000 年把它納入 FIPS 186-2 數位簽章標準，並列出一組不同大小與安全等級的標準曲線。每條曲線都附上一個「種子」（seed），用它的雜湊值決定曲線係數 b。
問題在於，這些種子是 NSA 提供的，沒有任何說明。以 NIST P-256 為例，公開的種子就是一串 C49D3608 86E70493 6A6678E1 139D26B7 819F7E90，沒有人知道它從哪裡來。多年來，密碼學界一直有人懷疑曲線參數可能藏有刻意設計的後門，甚至有人懸賞找出種子來源。
最廣為流傳的說法來自長年任職 NSA 的 Jerry Solinas：他在 2015 年回憶，種子可能是一句玩笑話的雜湊，例如「Give Bob and Jerry a raise」。不過他自己也記不清細節，Solinas 已於 2023 年過世，這條線索從此斷了。
不到半小時找出來源
幾位 Anthropic 員工曾經順著「玩笑話雜湊」的線索追查，都沒有結果，後來證明這條線索是錯的。2026 年 10 月，一位員工請內部研究模型試試看，而且沒有提示任何線索。
Claude 不到半小時就找出 NIST P-192、P-224、P-256、P-384、P-521 五條曲線種子的來源：它們根本不是任何雜湊演算法的輸出，而是 C 函式庫的 lrand48 亂數產生器，以 Unix 時間戳記作為初始值所產生的。
做法是：用時間戳記初始化亂數產生器，每一輪抽出 20 個位元組當作候選種子，依序編號。以 P-256 為例，標準採用的是第 1842 個候選。
從頂端位元回推時間
照雜湊線索搜尋一直落空，Claude 換了一個角度：推測當年產生曲線的軟體怎麼寫。它猜測軟體用的是 1990 年代 C 函式庫內建的偽亂數產生器，這類產生器夠弱，輸出可以被辨識出來。
- 逐位元掃描：Claude 寫了一個掃描器，沿著每個公開種子一次滑動一個位元，測試相鄰區塊是否像是同一個老式產生器的連續輸出，共涵蓋 34 種產生器與輸出切法的組合。
- 頂端位元全是 0：把每個種子寫成五個 32 位元字組時，其中四個種子，合計 20 個字組的最高位元全是 0，隨機發生的機率約 1/5810。這正是
lrand48的特徵：它只回傳 48 位元狀態的前 31 位元。 - 還原內部狀態：質數曲線的種子保留的位元更少，Claude 用 LLL 格基約化演算法還原截斷的線性同餘產生器狀態，結果發現 5 個 NIST 質數曲線種子，加上 ANSI X9.62 標準中的另外 5 個，都符合
lrand48() >> 23的模式。 - 往回推到初始值：這種產生器往前、往後推一樣容易。Claude 把狀態一路往回推，直到符合 srand48 初始化的形式。
結果，十個質數曲線種子的初始值，全都是 1997 年 5 月到 1998 年 4 月之間的 Unix 時間戳記。
| 曲線 | 初始化時間（UTC） | 候選編號 |
|---|---|---|
| P-192 | 1997-05-18 14:45:34 | 139 |
| P-521 | 1997-08-08 01:12:04 | 1136 |
| P-256 | 1997-08-16 01:52:34 | 1842 |
| P-384 | 1997-08-30 14:50:08 | 2688 |
| P-224 | 1998-04-03 12:52:07 | 7026 |
表格數字取自 Anthropic 文章附的重現程式碼與輸出。官方也公開了這段程式碼（CC0 授權），任何人都可以自己重跑驗證。
連部分基點也解開
每條曲線還有一個基點 G，所有 ECDSA 公鑰都是它的倍數，而種子並不決定 G。Claude 在檢查種子時，順便找出了部分基點的來源：1997 年 5 月產生的六條曲線（P-192 與五條 ANSI X9.62 範例曲線），基點來自 Arjen Lenstra 的長整數運算套件 FreeLIP 的亂數產生器。
官方寫道，就他們所知，過去從未有任何 NIST 基點的來源被解釋過。不過 P-224、P-256、P-384、P-521 的基點不符合這套做法，目前仍無法解釋。
不是漏洞，反而更安心
Anthropic 特別強調：這不是密碼破解、新攻擊或 ECDSA 曲線的弱點，讀者不需要採取任何行動。相反地，種子是用很單純的方法產生的，也就是以時鐘初始化的常見偽亂數產生器，現在任何人都能重現，刻意植入後門的空間因此小了很多。
仍有幾個問題沒有答案：
- 被跳過的候選：P-256 的第 876 個候選也能產生符合條件的曲線，卻沒被採用；官方不知道當年用了什麼篩選標準，但因為跳過的數量很少，認為挑選弱曲線的可能性不高。
- B-163 種子：第五個二元曲線種子至今不符合任何嘗試過的模式。
- 其餘基點：P-224、P-256、P-384、P-521 與 NIST 二元曲線的基點來源仍然不明。
原本 36,864 美元的懸賞獎金，將捐給 Internet Security Research Group。對一般讀者來說，這則新聞最值得記住的是：AI 換一個角度看老問題，可能在幾十分鐘內解開人類追了多年的謎題，而且整個過程都可以被重現與檢查。
