25年加密后门疑云告破：Claude破解NSA椭圆曲线参数，证实来自1997年时间戳

保护全世界几十亿人上网刷网页、转账、签名用的加密算法，最关键的参数到底打哪儿来的？

整整二十五年，密码学界没人能说清。

当年美国国家安全局给标准组织递交了一串十六进制数字，说这是椭圆曲线算法的随机种子。 但他们偏偏没解释这串数字是怎么算出来的。

这就把全世界搞神经衰弱了。

只要你今天用手机、刷网页，无论是 HTTPS 加密连接还是各种身份验证，底层几乎都在跑这套叫 ECDSA 的签名算法。 这里面最著名的，是标准里的 P-256 曲线。 椭圆曲线好不好用，全看方程里的参数挑得对不对。 密码学里最忌讳的，就是有人故意挑一组表面毫无规律、暗地里却藏着特殊数学捷径的参数。 只要掌握这种特定弱点，你的私钥就能被瞬间破解。 所以正规安全标准都要给出无作弊证明，公开种子是怎么生成的。 可当年安全局直接交出一串十六进制字符串，扔下一句“这是随机选的”，就没了下文。

大家怀疑了二十多年：安全局当年是不是动用了超级算力，在几百亿个候选里挑出了一个带有后门的特权曲线？ 后来中本聪设计比特币，特意避开官方推荐的这套曲线，转头选了冷门的方案，很大程度上也是为了防着这一手。

圈子里猜了很多年。 流传最广的一个说法，是安全局密码学家杰里·索利纳斯当年随手用一句英文打油诗算出的哈希值。 传说那句话是调侃领导“给杰里涨工资”。 知名密码专家菲利波·瓦尔索达甚至设了一个 36,864 美元的悬赏池。 谁能找出这串种子的确切生成来源，奖金就归谁。 无数黑客和研究员试着用字典去撞英文句子，撞了十几年，一无所获。

2026 年 10 月，Anthropic 的安全研究人员把这个二十五年的老谜题喂给了 Claude。 AI 根本没去猜英文打油诗。 它直接扫了一遍这些十六进制数字的底层二进制结构。

这一扫，立刻看出了门道。 这串种子的最高几位，存在微小的统计偏差。 现代密码学哈希函数会把每一个比特打得极其均匀，绝不会留下这种规律。 这种偏差，是上世纪九十年代经典伪随机数发生器特有的特征。 具体来说，就是当年 Unix 系统和 C 语言标准库里最基础的函数：lrand48()。

找到了工具，Claude 搬出格基规约算法，直接反解出这个 48 位生成器的内部状态。 然后顺着时间往回倒推。 不到半小时，整套生成代码被彻底还原了。

答案一出来，所有人都愣住了。 既没有惊天阴谋，也没有搞笑的英文打油诗。 那个被称为全球网络安全最大悬案的神秘种子，是 1997 年 8 月 16 日下午，某个工程师随手抓取的系统当前时间戳。

他的写法极其朴素： 读取当时的时间戳，当成种子喂给系统自带的 lrand48() 跑循环。 每生成一个候选曲线，就做一次常规的数学筛查，检查曲线的点数是不是质数、能不能抗住已知攻击。 遇到不合格的就跳过。 一直跑到第 1842 个候选，各项指标都达标了，程序停机。 每天保护全球几百亿次访问的 P-256 曲线参数，就这么敲定了。 其他几条标准曲线也一样，分别在 1997 年 5 月到 1998 年 4 月之间，用同样的方法顺手跑了出来。

为什么这个发现让全世界松了一大口气？ 因为如果要故意埋后门，必须在几百亿甚至更庞大的搜索空间里物色特定弱点。 而现在整个生成过程完全复现：以一个确定的时钟时间为起点，老老实实跑了 1842 步。 在 1997 年的旧电脑上，跑 1842 次循环只要几分钟。 几分钟的算力，根本不可能藏得住需要天文级计算才能挑出来的数学后门。

困扰了密码学界四分之一个世纪的黑盒疑云，原来只是一个工程师在周六下午写了几十行最普通的 C 语言代码。 至于当年为什么没写进标准说明？ 可能在那个年代的工程师眼里，调个系统自带的随机数函数，就像随手建了个临时变量一样寻常，压根没觉得需要跟全世界专门交代。

拿到悬赏后，研究团队把 36,864 美元全额捐给了互联网安全研究组。 全球网络安全的一块陈年心病，就这么在半小时里，被一个看懂了三十年前老代码习惯的 AI，彻底给治好了。