Claude identifie l'origine des courbes ECDSA : des timestamps Unix, pas des backdoors
Sommaire
En bref
- Claude (le modèle d'Anthropic) a découvert en moins de 30 minutes comment les seeds des courbes elliptiques NIST, gardées secrètes pendant 26 ans, ont été générées : via lrand48(), un générateur pseudo-aléatoire C standard, initialisé avec des timestamps Unix.
- La méthode était triviale (pas de hash complexe, pas d'algorithme mystérieux), ce qui renforce la confiance dans l'absence de backdoor.
- Les 10 seeds étudiées proviennent toutes du même processus banal, confirmé par une analyse statistique (probabilité de coïncidence accidentelle : 1 sur 5 810).
Ce que dit la source
Anthropic affirme avoir résolu une énigme cryptographique de 26 ans : les seeds des courbes NIST P-192, P-224, P-256, P-384 et P-521, fournis par la NSA sans explication, provenaient simplement d'appels répétés à lrand48() (un générateur pseudo-aléatoire C obsolète) initialisé par un Unix timestamp. L'entreprise présente cette découverte comme une preuve que les courbes ont été générées de manière bénigne, sans intentions malveillantes. Jerry Solinas (NSA, décédé en 2023) avait vaguement évoqué en 2015 que les seeds provenaient d'un hash d'une phrase humoristique, mais cette piste s'était avérée erronée. Claude a changé d'angle en reconnaissant la signature statistique de lrand48() dans les outputs, puis en récupérant l'état interne du générateur via un problème de réduction de base de treillis (algorithme LLL).
- Claude a examiné les seeds bit par bit et détecté un motif inhabituel : quatre des dix seeds avaient zéro dans le bit de poids fort de chacun de leurs cinq mots de 32 bits (probabilité naturelle : 1/5 810), signature diagnostique de lrand48().
- Pour les five seeds de courbes sur corps premier, Claude a dû récupérer l'état interne du générateur truncated (lrand48() >> 23), ce qui relève d'un problème de réduction de base de treillis résolu par LLL basis reduction.
- Chacun des 10 seeds analysés (5 NIST + 5 ANSI X9.62) correspond à une valeur spécifique de lrand48 pour un timestamp donné ; la probabilité que plusieurs seeds indépendants reproduisent tous cette signature par chance est négligeable.
- Le B-163 reste inexpliqué : Claude suggère une simple erreur de transcription lors de la publication, plutôt qu'un phénomène distinct.
Dans les commentaires
Débat partagé : plusieurs commentateurs applaudissent la résolution d'une longue controverse, tandis que d'autres soulèvent des objections de fond, notamment sur la sélection des candidates et la question de savoir si Anthropic dispose d'une asymétrie d'accès aux LLM pour des tâches sensibles.
- fidotron remet en cause la conclusion : même si la méthode est triviale, l'article ne dit rien sur la sélection parmi les candidates générées au fil des mois. Il note que « conceivably, the curves could have been selected to have a specific property by searching over timestamps », l'absence de preuve d'intention n'est pas une preuve d'innocence.
- slowin soulève une inquiétude structurelle : seuls Anthropic (et ses partenaires gouvernementaux supposés) peuvent faire ce travail avec Claude ; un chercheur indépendant aurait probablement été bloqué par les garde-fous du modèle. Cela élargit un fossé entre les capacités propriétaires et l'open-source.
- I_am_tiberius critique le manque d'attribution : Claude ne sait pas quelles recherches académiques l'ont influencé, donc de nombreux chercheurs ayant contribué à ce domaine restent invisibles. Anthropic ne les reconnaît pas explicitement.
Notre lecture
Anthropic a démontré une capacité non-triviale de Claude (reconnaissance de patterns cryptographiques, résolution de problèmes de réduction de base de treillis, exploration combinatoire systématique) sur un problème historiquement ouvert. Le résultat technique est solide et élimine effectivement la théorie du backdoor intentionnel des courbes NIST, ce qui apaise une inquiétude légitime du domaine. Cependant, l'article élude deux questions critiques : (1) la sélection a-t-elle pu être biaisée ex-post en cherchant des timestamps « innocents » ? (2) qu'advient-il si seules les grandes organisations AI disposent d'accès illimité à ces outils ? Pour une DSI ou une équipe infra, aucune action imédiate, les courbes ECDSA restent fiables, comme avant. Intéressant surtout comme signal des capacités de Claude en raisonnement combinatoire et récupération d'état cryptographique ; à noter comme référence pour une discussion future sur l'asymétrie d'accès aux LLM avancés.