16 октября Anthropic опубликовала две работы в один день. Первая разбирает происхождение «случайных» сидов эллиптических кривых NIST, вторая — проектирование квантовых схем. Ниже — что в этих работах подтверждено воспроизводимым кодом и расчётом, что остаётся гипотезой самих авторов, и где формулировки пресс-подачи стоит читать аккуратнее, чем заголовки о них.
TL;DR
-
Внутренняя модель Claude (версию Anthropic не называет) меньше чем за полчаса восстановила происхождение сидов пяти простых кривых NIST — P-192, P-224, P-256, P-384, P-521.
-
Сиды оказались не хешем, а выводом
lrand48из стандартной C-библиотеки, засеянного Unix-таймстампом. Для P-256 — 1842-я итерация, время 1997-08-16 01:52:34 UTC. -
Восстановление проверяется воспроизводимым кодом (CC0): 160 бит сида из 32-битного состояния плюс небольшой индекс — случайностью это не объяснить.
-
Это не взлом и не новая атака. Вывод авторов: версия об интенциональном бэкдоре стала «гораздо менее правдоподобной».
-
Закрыто не всё: сид бинарной кривой B-163 не подошёл ни под одну схему, базовые точки P-224…P-521 не объяснены, критерий отбора кандидатов неизвестен.
-
Вторая работа: Claude Mythos 5 спроектировал квантовые схемы для 8 примитивов. Главные цифры — ×17 по гейтам (ценой +12% кубитов) для одной схемы и ×12 по гейтам для декодера — это ресурсные оценки, не запуски на железе.
Что именно восстановил Claude
Кривые P-192…P-521 приняты NIST в 2000 году (FIPS 186-2), сиды предоставило АНБ без объяснения метода. Это и питало версию о спрятанной слабости почти три десятилетия. Несколько сотрудников Anthropic ранее безуспешно проверяли гипотезу «сид = хеш шуточной фразы». В октябре один из них поставил модели задачу разобраться без подсказок.
Claude предположил PRNG из C-библиотек 1990-х и перебрал 34 сочетания генератора и схемы нарезки вывода. Зацепкой стал старший бит: у 4 сидов из 10 он нулевой во всех 20 словах (вероятность случайности ≈ 1/5810) — сигнатура lrand48, отдающего старшие 31 бит из 48-битного состояния. Дальше состояние восстанавливалось через решётки и LLL, откатывалось к виду srand48 и сопоставлялось с таймстампом.
Ключевой аргумент в пользу того, что это не совпадение, авторы формулируют прямо: каждое восстановленное 48-битное состояние регенерирует все 160 бит своего сида. Для десяти кривых NIST и ANSI X9.62 сразу — случайно так не бывает. Код выложен в открытый доступ, он выдаёт опубликованные значения.
Где кончается доказанное
Здесь полезно отделить подтверждённое от открытого — именно это теряется в пересказах «Claude разгадал загадку».
-
Сиды пяти простых кривых — восстановлены, время с мая 1997 по апрель 1998. Это твёрдый результат.
-
Базовые точки шести кривых мая 1997 (включая P-192) — найден источник, генератор FreeLIP Ленстры. Тоже результат, причём раньше базовые точки NIST вообще никто не объяснял.
-
Бинарная кривая B-163 — сид не подошёл ни под одну из проверенных схем. Открыто.
-
Базовые точки P-224, P-256, P-384, P-521 и бинарных кривых — не объяснены.
-
Критерий отбора — неизвестен. У P-256 годную кривую дал бы уже 876-й кандидат, но в стандарт попал 1842-й. P-224 пропустила 3 подходящих кандидата, прогоны ANSI — ещё 7.
Последний пункт важен для интерпретации. Авторы признают, что теоретически подбор таймстампов «ещё мыслим», хотя считают его маловероятным: по числам не видно, сколько было прогонов. То есть «бэкдор исключён» — это не то, что утверждает работа. Утверждается слабее: версия о намеренной слабости стала менее правдоподобной, и большинство исследователей и так доверяли кривым.
«Полчаса» и «30 лет» — что стоит за цифрами
Две цифры из заголовков стоит уточнить. «Меньше получаса» относится именно к сидам пяти простых кривых; сколько ушло на базовые точки и бинарные кривые, работа не фиксирует. «30 лет» — округление: сиды сгенерированы в 1997–98 годах, стандарт принят в 2000-м, сам Claude в рассуждениях называет загадку «25-летней». Корректнее «почти 30 лет» или «четверть века».
Отдельно про премию. $36 864 объявила не Anthropic — премию за раскрытие сидов учредил криптограф Филиппо Вальсорда с соорганизаторами ещё в 2023 году. Базовая сумма была $12 288 и утраивается, если победитель жертвует её на благотворительность. Anthropic так и поступила: деньги уйдут в Internet Security Research Group (та, что ведёт Let’s Encrypt).
Квантовые схемы — сильный результат с большими звёздочками
Вторая работа — про Claude Mythos 5, который в замкнутом цикле проектировал квантовые схемы для восьми вычислительных примитивов (химия, оптимизация, моделирование, теория чисел). Во всех восьми модель нашла варианты, которым нужно меньше и кубитов, и гейтов, чем лучшим опубликованным схемам. Две цифры разобраны подробно:
-
Сложение точек на эллиптической кривой. Один вариант семейства использует в 17 раз меньше гейтов — но на 12% больше кубитов, чем самая компактная прежняя схема. Прогон занял 53 часа при минимальном участии человека. Сравнение шло с работами Schrottenloher (2026) и Luo et al. (2026).
-
Декодер Рида–Соломона для алгоритма оптимизации DQI. Гейтов в 12 раз меньше, чем в конструкции Google (Khattar et al., 2025); вместо 665 кубитов резерва хватает 19. Примерно 1 запуск из 10 000 падает — в пределах допуска задачи.
Звёздочки, без которых цифры вводят в заблуждение. Все результаты — ресурсные оценки для будущих машин, а не запуски: у сегодняшних квантовых компьютеров сотни-тысячи кубитов. Декодер здесь классический, внутри квантового алгоритма, — это не декодер квантовой коррекции ошибок, их Claude не делал. Проверку вёл внешний программный оценщик, часть результатов формализована в Lean и прогнана на сотнях миллионов тестов; независимой внешней верификации, кроме препринта с гарвардскими соавторами (среди них Михаил Лукин), нет. Сами авторы отмечают, что Claude был «консервативен» и тянулся к известным подходам, пока люди не просили расширить поиск.
Любопытная рифма двух работ: сложение точек на эллиптической кривой — ровно та операция, через которую будущий квантовый компьютер будет атаковать ECC. В один день показано, как Claude снимает подозрения с кривых NIST и как он же удешевляет инструмент их будущего взлома.
Что проверить и по чему судить
-
Воспроизводимость сидов — код CC0 выложен, его можно прогнать самому и не верить на слово.
-
B-163 и необъяснённые базовые точки — открытый фронт; если кто-то закроет их тем же методом, версия «без бэкдора» укрепится.
-
Квантовые цифры — следить за независимыми повторениями оценок, а не за пресс-подачей: порядок величины впечатляет, но это оценка, не замер.
-
Для практики из первой работы не следует ничего: менять в своей инфраструктуре ECDSA-кривые не нужно.
Ссылки по теме
Источники: Anthropic — ECDSA curve origins; Anthropic — Designing efficient quantum circuits.
Автор: stas-clear
