Anthropic 10 月 16 日发文：一个内部研究模型在不到半小时内复原了 NIST P-192/224/256/384/521 五条素数域曲线的种子——它们是 C 库 lrand48 随机数生成器以 1997–1998 年 Unix 时间戳初始化后的输出，而非哈希短语。赏金组织者 Filippo Valsorda 已用 Go 独立复现，$36,864 赏金捐给 ISRG。这不是密码学攻破，曲线用户无需任何改动。
核心要点速览
- ✓P-256 种子 =
srand48(871696354)（1997-08-16 01:52:34 UTC）后第 1842 个 20 字节候选，依据 Anthropic 原文 - ✓关键线索：10 个种子中 4 个的 20 个 32 位字最高位全为 0，随机出现概率约 1/5810，指向只输出 48 位状态高 31 位的 lrand48
- ✓素数曲线种子为
lrand48() >> 23截断输出，用 LLL 格基约简恢复内部状态；10 个种子的初始化时间全部落在 1997 年 5 月至 1998 年 4 月 - ✓赏金 2026-10-15 01:07:51 UTC 被领取，翻倍至 $36,864 捐给运营 Let's Encrypt 的 ISRG；Filippo Valsorda 用 Go 独立复现
- ✓仍未解：B-163 种子、P-224/256/384/521 的基点来源，以及 P-256 为何跳过同样可用的第 876 个候选
把技术选型换算成你的开发预算
40 款主流编程套餐横向比价，支持输入/输出 Token 真实账单模拟
相关资源与官方项目出处
免代理直达深度技术解析与实战评估
核心背景与行业痛点
2000 年 NIST 在 FIPS 186-2 中发布 P-192/224/256/384/521 曲线，系数 b 由一个 20 字节“种子”经 SHA-1 推导，但种子由 NSA 提供且从未说明来源。P-256 至今支撑大量 TLS 与签名，“是否藏有后门”争论了 25 年；Filippo Valsorda 2023 年为此设立赏金。
架构亮点与底层机制
据 Anthropic 原文，员工没给提示，内部研究模型不到半小时就换了思路：推测当年软件用了 90 年代 C 库的弱 PRNG。它写扫描器测试 34 种生成器与切片组合，发现 4 个种子最高位全为 0（随机概率约 1/5810），锁定 lrand48；再用 LLL 格基约简恢复 lrand48() >> 23 截断输出背后的 48 位状态，逆推到 srand48 形态（低 16 位 0x330E），得到的全是 1997 年 5 月至 1998 年 4 月的 Unix 时间戳。
权威 Benchmark 与实测跑分对比
这不是模型跑分：P-256 对应 srand48(871696354) 的第 1842 个候选，每个 160 位种子仅由约 32 位时间戳加小序号完整再生，不可能是巧合。Valsorda 用 Go 独立复现；我们按原文 Python 代码在本地复现 P-256 种子 C49D3608…819F7E90，耗时约 0.005 秒。仍未解释：B-163 种子、P-224/256/384/521 基点，以及被跳过的可用候选。
开发者实战落地与开箱指南
P-256 用户无需改动——这不是攻破，反而降低了后门可能性。可直接运行原文末尾脚本复核；对 AI 编程从业者，更值得借鉴的是方法：先假设“生成它的软件长什么样”，再找统计指纹、用格算法求解，这类可验证的取证任务很适合交给智能体迭代。
即刻查看该技术对应模型与主流工具的实测差异，或一键测算团队 API 调用与 $20/月套餐盈亏平衡点。
讨论与评论
0登录后即可参与深度讨论
与广大 AI 开发者、工程师交流评测心得与前沿洞察