Claudeが解明したNIST楕円曲線暗号のシード値生成方法
25秒でわかる内容解説
Anthropicは2026年10月16日、内部研究モデルのClaudeがNIST標準楕円曲線暗号のシード値生成方法を解明したと発表した。25年間謎とされていた10曲線のシードは、1990年代のC言語標準乱数生成器とUnixタイムスタンプから生成されていたことが確認された。この結果により、NSAによる意図的なバックドア設置疑惑が大幅に軽減される。暗号規格の信頼性向上に直結する発見であり、実装界隈の関心を集めている。
円換算は1ドル＝158.02円（2026年10月16日、欧州中央銀行の参考レート）による概算で、日本での販売価格とは異なる。
30分で解読された25年の謎
Claudeはわずか30分でP-192からP-521までの主要な素数体曲線シードの起源を特定した。研究者は長らくシードがNSAのハッシュ関数や秘密のパスフレーズから作られたと推測していた。Claudeは1990年代のCライブラリに付属する線形合同法乱数生成器lrand48（48ビット状態の上位31ビットを出力）に着目した。各シードの上位ビットがすべてゼロになるパターンを確認し、内部状態の復元に成功した。
復元された初期シード値は、1997年5月から1998年4月のUnixタイムスタンプだった。生成アルゴリズムは単純で、タイムスタンプを初期値として乱数生成器を回し、20バイトずつ切り出した候補が標準化された。P-256のシードを生成するには1,842回のイテレーションが必要だった。計算結果は公開された値と完全に一致した。
Claudeはシード値のビット列をスライドさせ、隣接する出力 chunk が連続した乱数出力かどうかを34パターンで検証した。上位ビットのゼロパターンは偶然の確率が約5,810分の1と極めて低く、lrand48の決定打となった。
| 曲線名 | 生成日 |
|---|---|
| P-192 | 1997-05-18 |
| P-224 | 1998-04-03 |
| P-256 | 1997-08-16 |
| P-384 | 1997-08-30 |
| P-521 | 1997-08-08 |
下の画像は素数体曲線シードの生成アルゴリズムを示す。
NSA由来のシードとバウティの行方
ECDSAは現在最も広く使われている楕円曲線暗号規格だ。NISTは2000年にFIPS 186-2で標準曲線を公布したが、NSAから提供されたシード値の生成理由は長らく不明だった。2015年、NSA元社員のJerry Solinas氏が「BobとJerryに昇給を」というユーモラスなパスフレーズをハッシュしたとの噂が広まった。この噂をきっかけにアマチュアによる調査と賞金バウティが設定された。
賞金36,864ドル（約583万円）のバウティは、シードの生成方法が見つかった時点でインターネットセキュリティ研究グループに寄付される予定だ。ClaudeのチームはSolinas氏のハッシュ説を検証した後、生成ソフトウェアの動作を逆算するアプローチに転じた。その結果、素数曲線6曲線分の基点base pointもFreeLIPライブラリの乱数生成器から導出されていることが判明した。
基点生成では小さな整数をシードとし、7回出力を捨ててから26ビットの出力を素数で割った値をx座標候補とした。P-192やANSI X9.62の例曲線はこの手順で完全に一致した。ただし、P-224やP-256などの基点生成方法は未だ解明されていない。候補のスキップされた曲線も複数確認され、最終選定基準は不明なままだ。
陰謀説の払拭とAIの探索能力
技術コミュニティからは生成方法の単純さへの驚きと、NSAバックドア疑惑解消への安堵の声が強い。ハッシュや複雑なアルゴリズムを想定していた世代の陰謀説が覆されたことから、暗号界隈の長年の懸念が払拭された。BitcoinやEthereumのコミュニティでは、P-256曲線のオンチェーン検証オプコード導入への自信にも繋がっている。
Claudeの探索能力に対する感銘も目立つ。人間が気づかなかったビットパターンを粘り強くスキャンし、160ビットの完全一致を導き出した。その絶え間ない探索は、モデルの処理能力が人間を凌駕した証だと評価されている。一方で、同じ発見を人間が導き出せただろうとの惜別の声も散見される。
生成方法の解明と並行して、AIの性能差が広がりつつあるとの指摘もある。Claudeのようなファウンデーションモデルが大量の検索と計算を並列実行できるのに対し、個人や小規模チームはリソース制限を受ける。この差が業界の競争構造をどう変えるかが今後の焦点だ。
未解明のB-163と選定基準
15曲線中、バイナリ曲線B-163のシードのみ未解決のまま残っている。Claudeが試した手法のいずれにも適合せず、生成経路は不明だ。誤入力や記録の欠落が原因の可能性もあるが、現時点では確定できていない。基点生成方法についても、P-224からP-521の4曲線はFreeLIPのレシピに一致しない。
曲線の最終選定基準も解明の余地を残している。P-256の生成過程では候補876番目にも同等の素数位数曲線が存在したが、最終的に1,842番目が採用された。時間軸をずらして弱曲線を選んだ可能性も否定できないが、候補数が少ないため意図的な脆弱化は低いと判断される。
賞金バウティは10月16日の公開と同時に完了した。Anthropicは関連するコードをCC0 1.0で公開し、コミュニティが自由に検証・再利用できる環境を整えた。未解明のB-163と基点選定ロジックの解明が、次の課題となる。
出典
- Claude reveals ECDSA curve origins（Hacker News） · 議論