Anthropic hat am 16. Oktober einen überprüfbaren Befund zur Herkunft von fünf standardisierten elliptischen Kurven veröffentlicht. Ein internes Claude-Forschungsmodell rekonstruierte, wie die Seeds für NIST P-192, P-224, P-256, P-384 und P-521 in den Jahren 1997 und 1998 erzeugt wurden. Der Kryptograf Filippo Valsorda implementierte den gefundenen Ablauf anschließend unabhängig in Go und bestätigte das Ergebnis.
Die ursprünglichen Seeds waren mit den Kurven veröffentlicht worden, ihre Auswahl aber nicht dokumentiert. Über Jahre kursierte die Vermutung, sie seien aus einem vergessenen englischen Satz abgeleitet worden. Das stimmt nach der jetzt reproduzierten Berechnung nicht.
Ein Muster in den Bits führte zu lrand48
Anthropic zufolge ließ Claude zunächst unterschiedliche ältere Pseudozufallsgeneratoren gegen die bekannten Seed-Werte prüfen. Bei mehreren Werten fiel auf, dass bestimmte höchstwertige Bits durchgehend null waren. Das passte zur Ausgabe von lrand48, einem Generator mit 48-Bit-internem Zustand, der nur einen Teil seiner Zustandsbits ausgibt.
Das Modell untersuchte anschließend, ob die veröffentlichten 160-Bit-Seeds aus aufeinanderfolgenden Ausgaben dieses Generators zusammengesetzt sein konnten. Bei verkürzten Ausgaben half eine Gitterreduktion mit dem LLL-Verfahren, den internen Zustand zu rekonstruieren. Danach ließ sich die Generatorfolge bis zu einer Initialisierung mit einem Unix-Zeitstempel zurückverfolgen.
Für P-256 stimmt laut veröffentlichtem Reproduktionscode der 1.842. Kandidat eines Laufs vom 16. August 1997 exakt mit dem standardisierten Seed überein. Auch die anderen vier NIST-Primkurven lassen sich mit konkreten Zeitstempeln und Kandidatenindizes erzeugen. Anthropic schreibt, das Modell habe den wesentlichen Zusammenhang in weniger als einer halben Stunde gefunden. Diese Zeitangabe stammt aus dem internen Versuch; die Reproduzierbarkeit der Werte ist dagegen extern überprüft.
Ein rekonstruierter Seed ist kein gebrochener Signaturschlüssel
Die fraglichen Seeds wurden zur Festlegung öffentlicher Kurvenparameter verwendet. Sie sind keine geheimen ECDSA-Privatschlüssel. Dass ein historischer Seed aus einem vorhersagbaren Generator stammt, ermöglicht deshalb nicht, bestehende Signaturen zu fälschen oder private Schlüssel zu berechnen.
Valsorda sieht die Rekonstruktion als zusätzliche Evidenz gegen bestimmte lange diskutierte Hintertür-Hypothesen. Sie beantwortet aber nicht sämtliche Fragen zur Auswahl der Parameter. Der publizierte P-256-Seed ist nicht der erste Kandidat, der die bekannten mathematischen Bedingungen erfüllt. Ein weiteres Auswahlkriterium bleibt ungeklärt. Auch die Herkunft der Basispunkte von P-224, P-256, P-384 und P-521 ist weiterhin offen.
Anthropic konnte außerdem für P-192 und mehrere ANSI-Beispielkurven die Herkunft bestimmter Basispunkte auf einen Generator der historischen FreeLIP-Bibliothek zurückführen. Die Dokumentation enthält Code, mit dem sich die gefundenen Werte reproduzieren lassen.
Der konkrete Frontier-Fähigkeitsbefund liegt in der Kombination aus Hypothesenbildung, Codeanalyse, mathematischer Zustandsrekonstruktion und exakter Verifikation. Die Arbeit liefert eine Erklärung für veröffentlichte kryptografische Konstanten, keine neue Angriffsmethode gegen die damit arbeitenden Systeme.
Quellen: Anthropic, 16. Oktober 2026: https://www.anthropic.com/research/ecdsa-curve-origins ; Filippo Valsorda, unabhängige Reproduktion, 16. Oktober: https://words.filippo.io/seeds-solved/ ; CoinDesk, 17. Oktober: https://www.coindesk.com/tech/2026/10/17/wow-it-s-a-real-discovery-claude-cracks-a-25-year-nsa-number-mystery