Anthropic 研究團隊於二○二六年十月十六日公布，內部研究模型 Claude 在約半小時內還原美國國家標準與技術研究院（NIST）橢圓曲線數位簽章算法（ECDSA）系列標準曲線的種子來源：這些種子並非傳聞中的幽默口令雜湊，而是一九九○年代 C 函式庫 lrand48 偽隨機數產生器，以當時的 Unix 時間戳初始化後依序輸出。懸賞組織者 Filippo Valsorda 同日確認賞金已被全數領取，並將金額增至三萬六千八百六十四美元，捐予營運 Let’s Encrypt 的 Internet Security Research Group（ISRG）。

官方強調這並非對 ECDSA 或 NIST 曲線的密碼學破解，反而大幅降低「參數遭刻意植入後門」的可信空間。來源真實性已驗證：本文事實核對自 Anthropic 官方研究頁完整技術說明與可重現程式碼，以及 Valsorda 懸賞結案文；兩站公開頁均回傳正常。

對依賴 TLS、金融簽章與裝置認證的香港企業而言，這次「解謎」的價值在於把二十五年的陰謀論收束為可審計的工程事實，並提醒資安與雲端團隊：信任根來自可驗證的產生過程，而非口耳相傳。

Anthropic／官方：Claude 揭開 NIST 橢圓曲線種子真相——實為 lrand48 加 Unix 時間戳；三萬六千八百六十四美元賞金捐 ISRG

一、核心事件：二十五年種子謎底，半小時被模型還原

技術細節

ECDSA 是目前最廣泛使用的橢圓曲線密碼標準之一。NIST 於二○○○年在 FIPS 186-2 數位簽章標準中列出多組標準曲線；對素數域與二元域曲線，規格公開一組「種子」（seed），再以雜湊等方式導出曲線係數。種子本身由美國國家安全局（NSA）提供，長期未說明產生方式，因而催生「是否刻意挑選弱曲線」的質疑。密碼學家 Neal Koblitz 與 Alfred Menezes 的著名綜述《A Riddle Wrapped in an Enigma》即整理過這段爭議；業餘社群亦曾懸賞尋找種子來源，流傳最廣的說法是已故 NSA 員工 Jerry Solinas 以「幫 Bob and Jerry 加薪」一類口令做雜湊——但該線索最終證實為誤記。

Anthropic 寫道，二○二六年十月一名員工在未指向口令傳聞的前提下，要求內部研究模型自行推斷種子如何產生。模型在半小時內找出 NIST P-192、P-224、P-256、P-384、P-521，以及 ANSI X9.62 多組素數示例曲線種子的共同模式：它們根本不是任何雜湊算法的輸出，而是 C 函式庫 lrand48 的輸出位元，經 srand48 以 Unix 時間戳初始化。以最常用的 P-256 為例，標準化種子對應同一輪執行中的第 1842 個候選，時間戳為一九九七年八月十六日 01:52:34（UTC）。官方並公開可重現的 Python 程式碼，輸出與公開種子十六進位字串一致。

Filippo Valsorda 於十月十六日撰文確認：Anthropic 團隊於十月十五日 01:07:51 UTC 全數領取他三年前設立的 NIST 橢圓曲線種子賞金；團隊選擇把獎金捐給 ISRG，金額按「三十六 KiB」換算並加碼至三萬六千八百六十四美元。Valsorda 以 Go 重寫算法核實主張，並補充：除 ANSI X9.62 明文條件外，還有至少一項未公開篩選（例如階的位元長度相對基域過長則丟棄），使約一半本可合格的種子未見於公開標準——團隊認為在候選數量有限的前提下，刻意搜尋「稀有弱曲線」並不合理。

二、技術原理深度解析

關鍵洞見來自對一九九○年代偽隨機產生器「指紋」的辨識。Claude 先假設產生軟體使用當年常見的 PRNG，再編寫掃描器沿每個公開種子逐位元滑動，測試相鄰區塊是否為某組產生器的連續輸出，涵蓋三十四種產生器與輸出切片組合。部分種子以五個三十二位元字呈現時，全部字的最高位皆為零——這種模式高度指向只回傳四十八位狀態高三十一位的 lrand48。對素數曲線種子，模型進一步把截斷線性同餘產生器的狀態還原視為經典格基問題，以 LLL 算法在各視窗求解；十組素數種子均呈現 lrand48() >> 23 的同一模式。由於線性同餘可逆，狀態可回退至 srand48 初始化形態（低十六位為 0x330E），而十組初始化值全部對應一九九七年五月至一九九八年四月之間的 Unix 時間戳。

部分基點（base point）G 亦被還原：一九九七年五月產生的六條曲線（含 P-192 與五條 ANSI 示例）的基點，來自 Arjen Lenstra 長整數套件 FreeLIP 的隨機數產生器（早期 Victor Shoup 的 NTL 亦內建同碼）：以小整數種子初始化、丟棄七次輸出後再生成候選 x 座標。官方給出 P-192 種子為 20000 等具體數值。P-224、P-256、P-384、P-521 的基點，以及二元曲線種子 B-163，目前仍未解釋；二元曲線 B-233／B-283／B-409／B-571 的初始化若將時鐘減半解讀，則對應一九九八年四月十七日、約在 P-224 執行兩周後。

Anthropic 與 Valsorda 均明確定性：這不是新攻擊，也未暴露曲線數學弱點。相反，種子以「時鐘＋弱 PRNG」這種極度尋常、人人可重現的方式產生，大幅壓縮「為植入後門而精挑參數」的操作空間。Valsorda 進一步指出，這排除 Bernstein／Lange 曾描述、依賴約七十位種子選擇自由度去瞄準假設弱曲線族的劇本；即使慷慨假設可選一九九七至九八年任意時間戳與前十六個素數階候選，自由度也只剩約三十位——不足以支撐 NOBUS 式後門敘事。

四、日常應用場景

1. 開發者與技術團隊

TLS、JWT、行動裝置認證與許多區塊鏈錢包仍大量依賴 NIST P-256 等曲線。團隊應把本次發現讀成「參數產生過程可審計」的正面訊號，並同步檢視自身是否已採用決定性／hedged ECDSA 簽章、經形式化驗證的域運算，以及完整加法公式等現代實作建議；後量子簽章遷移仍應按路線圖推進，但無需因「種子謎」本身而緊急更換曲線。

2. 企業與隱私敏感行業

銀行、支付、醫療與政府系統的憑證鏈與 HSM 配置，常以「標準曲線＝合規」作預設。資安與風險委員會可用官方可重現結果更新威脅模型文件：歷史陰謀論不再構成獨立風險因子；真正要盯的是實作錯誤、側信道、金鑰生命周期與供應鏈。對外供應商問卷亦可要求對方說明曲線選擇依據與是否可重現參數產生。

3. 一般用戶

一般用戶不會直接操作 lrand48，但瀏覽器掛鎖、流動支付與電子證書背後往往跑著同一族曲線。公眾溝通宜強調「解謎提高信心、不是緊急補丁事件」，避免把研究標題誤讀成「ECDSA 已被破解」。

4. 香港與亞洲市場視角

香港作為國際金融中心，銀行、持牌機構與金融科技大量使用國際標準密碼套件；金管局推動負責任人工智能與營運韌性的同時，底層密碼信任同樣關鍵。本地雲端與資安團隊應把「可驗證產生過程」納入架構評審清單，並在私有金鑰、證書與零信任閘道部署中，優先選擇有清晰審計軌跡的實作。若企業同時評估後量子遷移與現有 ECC 存量，宜分開管理「算法壽命」與「參數信任」兩條線，避免被單一傳聞牽動採購。

五、專業評價與潛在考量

優勢

官方研究附可重現程式碼，第三方賞金主以獨立實作核實，證據鏈完整。
結論方向對產業有利：提高對 NIST 素數曲線的實務信心，有助結束長期消耗信任的陰謀敘事。
展示前沿模型在密碼史考古／逆向工程假設搜尋上的真實產能，而不只是聊天示範。

需要留意的地方

仍有未解項：B-163 種子、部分 NIST 基點，以及「為何跳過若干本可合格候選」的完整準則。
「更有信心」不等于「永遠安全」；側信道、錯誤實作與協議層問題仍是主戰場。
後量子算法正在取替部分經典簽章場景，本次發現是信任補完，不是停止遷移的理由。
企業若對外溝通，應避免誇大成「AI 破解了銀行加密」，以免合規與公關誤判。

結語

二十五年來，NIST 橢圓曲線種子像一則流傳過廣的都市傳說；Anthropic 以可重現的工程結果把它收束為「時鐘起動的舊式亂數」。對香港企業來說，重點不是追逐下一個模型噱頭，而是把密碼與雲端基線建立在可驗證、可審計的實作上。若要在境內強化雲端遷移、零信任與憑證／金鑰治理，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security

參考來源

Anthropic，《Claude reveals ECDSA curve origins》，2026-10-16：https://www.anthropic.com/research/ecdsa-curve-origins
Filippo Valsorda，《The NIST Elliptic Curves Seeds Bounty Has Been Claimed》，2026-10-16：https://words.filippo.io/seeds-solved/