困扰密码学界数十年的ECDSA（椭圆曲线数字签名算法）标准参数起源之谜，近日被Anthropic团队借助AI模型Claude解开。研究证实，这些广泛使用的加密曲线参数并非如传言般由特定短语哈希生成，也非刻意植入后门，而是源于1990年代末使用Unix时间戳初始化的普通伪随机数生成器。
谜底：时间戳与旧式随机数生成器
ECDSA是目前应用最广泛的加密标准之一，其核心参数由美国国家标准与技术研究院（NIST）在2000年采纳。长期以来，由于NIST未公开参数种子的选择理由，且种子由美国国家安全局（NSA）提供，业界一直担忧其中可能存在后门。
2026年10月，Anthropic研究人员在未预设线索的情况下，让内部研究模型Claude探究种子来源。不到半小时，Claude便揭示了NIST P-192、P-224、P-256、P-384和P-521等曲线的种子起源：它们均非哈希算法结果，而是C语言库中lrand48随机数生成器的输出，其初始状态为Unix时间戳。
Claude通过扫描种子高位全为零的特征模式，识别出lrand48线性同余生成器的痕迹。通过恢复生成器内部状态并倒推，研究发现素数域曲线的种子对应1997年5月至1998年4月间的Unix时间戳，而二元域曲线则可能涉及时钟减半的处理。这一发现彻底推翻了此前关于“幽默短语哈希”的猜测。
安全意义：后门疑虑大幅降低
此次发现并非对ECDSA的密码学破解，也未揭示新的安全弱点。相反，它极大地增强了业界对这些曲线安全性的信心。种子的生成机制简单透明——仅依赖时钟初始化的常见伪随机数生成器，任何人都可复现。这种低复杂度的生成方式大幅减少了人为篡改或植入后门的空间。
此外，Claude还追溯了部分曲线基点（Base Point）的来源。1997年生成的六条曲线基点源自Arjen Lenstra的FreeLIP长整数算术包中的随机数生成器，通过简单的迭代筛选得出。然而，P-224、P-256等主流曲线的基点生成方式仍未解，二元曲线B-163的种子来源也尚不明确。
未解细节与后续
研究还观察到，在生成过程中存在一些被跳过的“潜在可行曲线”。例如P-256的种子是第1842次迭代结果，而第876次迭代也能生成符合标准的曲线。尽管跳过原因不明，但由于被跳过数量极少，研究团队认为刻意选择弱化曲线的可能性极低。
此前设立的36,864美元解密悬赏金将捐赠给互联网安全研究组（ISRG）。Anthropic团队表示，这一发现为长达四分之一个世纪的谜团画上了句号，也证明了这些经典加密参数是在无恶意意图下生成的。