Anthropic模型解开NIST曲线种子来源，比特币未受影响

Anthropic 的一个 AI 模型在不到半小时内，将美国国家安全局（NSA）于上世纪 90 年代末提供给美国政府的五组椭圆曲线种子数字，追溯到一款接收 1997 年与 1998 年时间戳的普通随机数生成器 lrand48。相关结论已在公司博客中公开，研究人员可自行复现。

二十五年未获说明的种子来源

目前互联网的大量通信依赖椭圆曲线密码学，比特币钱包同样建立在这一数学体系之上。该体系允许持有人在不公开私钥内容的前提下证明自己掌握私钥。曲线本身的设计是公开可查的，使用者各自持有独立的私钥，其安全性建立在这套公开设计难以被特定方式绕过之上。

2000 年，美国国家标准与技术研究院（NIST）采纳了一组由 NSA 提供的曲线，但未说明部分用于生成曲线的数值从何而来。这些起始数值即种子是公开的，但选取过程未公开，相关讨论持续多年。2015 年，密码学者 Neal Koblitz 与 Alfred Menezes 在论文《A Riddle Wrapped in an Enigma》中梳理了这一争议，Menezes 回忆称自己在 1997 年从 NSA 数学家 Jerry Solinas 处收到这批种子。安全研究者 Steve Weis 多年寻找答案，并在 2018 年提交信息公开申请，NIST 表示没有相关文档，NSA 其后未再回应。

2023 年，密码学工程师 Filippo Valsorda 及其他贡献者设立 12,288 美元赏金征集答案，若获奖者将赏金捐给慈善机构则提升至 36,000 美元以上。Solinas 于当年去世，研究者此后只能依靠旧有回忆与数字本身进行推演，长期没有结果。

模型的计算与匹配结果

本月，Anthropic 一名员工让内部研究模型调查此事，并未告知早前关于种子源自某个被遗忘短语的假设。模型在不到半小时内，将五组 NIST 曲线种子追溯到旧 C 语言软件库中的 lrand48 随机数生成器。它复现了广泛使用的 P-256 曲线背后的序列，并在第 1,842 个候选项中与已公布的种子完全匹配。模型在其记录的推理中写道，这一结果解决了持续 25 年的疑问，并短暂核对过自身是否处于模拟测试环境。

如今任何人都可以重新运行该程序，得到 NSA 当年提供的数字。Anthropic 表示，这使曲线中隐藏特定构造的可能性大幅下降，但团队仍无法解释程序为何跳过了部分可用候选，也无法说明曲线其他参数是如何选定的。可预测性在另一类场景中具有不同含义：若私钥由 lrand48 生成，能够推算出大致生成时间的人便可能重建该私钥。而 NSA 的种子自公布之日起即为公开信息，并不存在需要窃取的秘密。

比特币所使用的曲线

比特币并未卷入这场猜测。其钱包运行在 secp256k1 之上，该曲线由两个较小且固定的数值定义，可供调整的空间很小；而 P-256 的参数中包含一个 77 位数字，来自 NSA 未说明来源的种子。由于可调节的参数有限，在这条曲线上预留只有特定方知晓的构造余地很小，密码学界长期将此视为其特点之一。中本聪未曾公开说明选择该曲线的原因，在比特币推广之前，这条曲线的使用并不广泛。以太坊后来也采用了同一曲线，比特币在 2021 年 Taproot 升级引入新的签名方式后仍继续使用。

量子计算角度的讨论

足够强大的量子计算机属于另一类议题。它可以从比特币区块链上公开可见的公钥反推对应私钥，与曲线参数如何选取无关。硬件进展正在拉近理论与可用方案之间的距离。Google 表示其 Willow 芯片在其中一项成本较高的步骤上将错误率降低约 40 倍。目前尚未有规模或可靠性足以处理比特币密钥的量子计算机，也尚无明确的时间表。

Anthropic 在其博客中表示，使用 NIST 曲线的用户无需做出任何改动。在数十年的疑问之后，任何人都可以运行该程序，复核其通往已公布数值的路径。本次悬赏的 36,864 美元将捐给 Internet Security Research Group，即支持 Let’s Encrypt 免费证书服务的非营利组织。

信息来源：CoinDesk