Claude, NIST'in ECDSA eğri tohumlarını zaman damgalarına bağladı

25 yıllık bir kriptografi gizemi yanıt buldu ve Anthropic bunu bir yapay zeka modelinin yarım saatten kısa sürede bulduğunu söylüyor. Şirketin Frontier Red Team’i 16 Ekim’de, NIST’in standart ECDSA eğrilerinin arkasındaki tohumların saatle tohumlanmış bir 1990’lar rastgele sayı üretecinden geldiğini söyleyen bir yazı yayımladı. Yazıyı tam okuduk ve yayımladıkları kodu çalıştırdık. Bu yazı neyin bulunduğunu, neyin açıklanamadığını ve sonucun neyi gösterip neyi göstermediğini anlatıyor.

Anthropic, NIST’in ECDSA tohumları hakkında ne duyurdu?

Tohumların, uzun süredir varsayıldığı gibi özet çıktıları değil, kılık değiştirmiş zaman damgaları olduğunu. Anthropic, Ekim 2026’da meraklı bir çalışanın bir iç araştırma modelinden tohumların nasıl üretildiğini eski ipucuna işaret etmeden bulmasını istediğini söylüyor. Yazıya göre Claude “yarım saatten kısa sürede” NIST P-192, P-224, P-256, P-384 ve P-521 tohumlarının kökenini buldu. Bunlar, bir Unix zaman damgasıyla tohumlanmış C kütüphanesinin lrand48 rastgele sayı üretecinin çıktısı. Anthropic yazıyı “eğlenceli bir kapanış bölümü” ve “yapılacak bir eylem yok” diye çerçeveliyor.

Tohumlar neden önemliydi?

Çünkü NSA bunları hiçbir açıklama olmadan sağlamıştı. NIST 2000’de ECDSA’yı FIPS 186-2’de benimsedi ve standart, özeti eğrinin b katsayısını tanımlayan her eğri için bir “tohum” yayımladı. P-256 tohumu C49D3608 86E70493 6A6678E1 139D26B7 819F7E90 idi ve nereden geldiğine dair hiçbir bilgi yoktu. Bu, eğrilerin bir zayıflığı gizlemek için seçilip seçilmediğini merak ettirdi. Neal Koblitz ve Alfred Menezes tartışmayı “A Riddle Wrapped in an Enigma”da özetledi ve bunu bir amatör araştırma ve bir ödül izledi. En iyi hikâye, Jerry Solinas’ın 2015’te tohumların esprili bir parolanın özetinden geldiğini hatırlamasıydı; Anthropic bunun yanlış çıktığını söylüyor. Solinas 2023’te öldü.

Claude tohumların kökenini nasıl buldu?

Üretici yazılımın nasıl çalışmış olması gerektiğini tahmin edip bir parmak izi arayarak. Anthropic şu adımları anlatıyor:

• Bir tahmin. Söylenen ifade için aramalar sonuçsuz kalınca Claude, yazılımın 1990’lar C kütüphanesinden zayıf bir PRNG kullandığını varsaydı; çıktısı tanınabilirdi.
• Bir tarayıcı. Her tohum boyunca bit bit kayarak, bitişik parçaların eski üreteçlerin ardışık çıktıları olup olmadığını, 34 üreteç ve çıktı dilimi kombinasyonu üzerinde sınadı.
• Bir parmak izi. NIST’in on eğri tohumundan dördünün beş 32 bitlik kelimesinin hepsinde üst bit sıfırdı; Anthropic bunun rastlantı olasılığını 5.810’da 1 olarak veriyor. Bu, 48 bitlik durumun yalnızca üst 31 bitini döndüren lrand48’e uyuyor. Claude ilk kelimenin gizli 17 bitini kaba kuvvetle denedi ve sonraki dört kelimenin geldiğini doğruladı.
• Asal eğriler. Tohumları aynı üreteçten geliyordu ama daha az bit tutuyordu (lrand48() >> 23), bu yüzden Claude iç durumu, kesilmiş doğrusal eşlenik üreteçler için bilinen bir teknik olan LLL kafes indirgemeyle kurtardı. Bu, beş NIST asal eğri tohumu ve ANSI X9.62 standardından beş tohum için işe yaradı.
• Zaman damgaları. Durumu srand48’in ayarlayacağı biçime geri sarmak (düşük 16 bit 0x330E), her asal eğri tohumu için Mayıs 1997 ile Nisan 1998 arasında bir Unix zaman damgası verdi. İkili eğri tohumları Şubat 1984 gibi okunuyor, ama ikiye katlanınca 17 Nisan 1998’e denk geliyor; yani program saati yarıya bölmüş olabilir.
• Bir akıl sağlığı kontrolü. Claude’un kayıtlı akıl yürütmesi, simüle edilmiş veya test ortamında olup olmadığını düşündüğünü, sonra sonucu doğrudan hesaplamayla doğruladığını gösteriyor: 32 bitlik bir tohum artı küçük bir indeks her tohumun 160 bitinin tamamını yeniden üretiyor.

Hangi eğriler açıklandı, hangileri açıklanmadı?

Çoğu tohum, bazı taban noktaları ve eğrilerin hepsi değil:

Anthropic ayrıca altı eğrinin taban noktalarının nereden geldiğini buldu: P-192 ve beş ANSI X9.62 örnek eğrisi (prime192v2, prime192v3, prime239v1–v3), Arjen Lenstra’nın uzun tamsayı paketi FreeLIP’teki rastgele sayı üretecinden gelen noktaları kullanıyor; Victor Shoup’un NTL kütüphanesinin erken sürümleri aynı kodu taşıyordu. Tarif şöyle: üreteci küçük bir tamsayıyla tohumla, yedi çıktıyı at, x eğri üzerinde olana kadar p’ye göre indirgenmiş 26 bitlik değerler çek. Tohumlar P-192 için 20000, prime239v1–v3 için 20420, 20507 ve 20509, prime192v2 ve v3 için 20512 ve 20517. Anthropic’in bildiği kadarıyla hiçbir NIST taban noktası daha önce açıklanmamıştı. P-224, P-256, P-384, P-521 ve NIST ikili eğrilerinin taban noktaları uymuyor ve B-163 tohumu gibi açıklanamadı.

Bu, NIST eğrilerinin güvenli olduğu anlamına mı geliyor?

Anthropic sonucun bir kırılma olmadığını söylüyor, ama arka kapının yokluğunu kanıtlamıyor. Yazı bunun “bir kriptografik kırılma, yeni saldırı veya zayıflık” olmadığını ve ekibi eğrilerin kasıtlı zayıflıklar olmadan seçildiğine “daha emin” kıldığını söylüyor, çünkü tohumlar basit bir üreteçten ve “artık herkesin yeniden üretebileceği” bir saatten geldi. Bizim okumamız daha temkinli: zararsız görünen bir köken kasıtlı bir arka kapıyı daha az olası kılıyor, ama yazının kendisi soruyu kapatamayacağı nedenleri sıralıyor.

• Atlanan adaylar. Her aday tohum geçerli bir eğri vermez, ama bazı geçerli olanlar atlanmış. P-256 için yayımlanan tohum 1.842. aday, ancak 876. aday da doğru boyutta asal mertebeli bir eğri veriyor. P-224’ün koşusu üç, ANSI örnekleri yedi tane daha atladı. Ölçütler bilinmiyor.
• Olası bir zaman damgası taraması. Anthropic, birinin seçilmiş bir özelliğe sahip eğri elde etmek için zaman damgaları üzerinde arama yapmış olmasının akla yatkın olduğunu, ancak bunun ancak zaman damgası masumiyet kanıtı olarak açıklanacaksa mantıklı olacağını not ediyor. “Rakamlarda kaç koşu olduğunu gösteren bir şey yok.”
• Zayıflatılmış eğriler. Anthropic, zayıflatılmış eğrilerin seçildiğini düşünmüyor, çünkü bu zayıflatılmış eğrilerin yaygın ve bulması kolay olduğu anlamına gelirdi.

Sonucu kendiniz kontrol edebilir misiniz?

Evet ve biz yaptık. Anthropic iki kamu malı (CC0) Python betiği yayımladı. Yerelde değiştirmeden çalıştırdık. İlki 14 tohum değerinin hepsini yazdırdı ve P-256 satırı, 1997-08-16 01:52:34 UTC’de 1.842. adaydan C49D360886E704936A6678E1139D26B7819F7E90, yazının alıntıladığı tohumla uyuşuyor. İkincisi, betikte sabit kodlanmış yayımlanmış x koordinatlarına karşı altı taban noktası kontrolünün hepsi için True yazdırdı. Yazının 5.810’da 1 rakamını da yeniden hesapladık: her üst bitin sıfır veya bir olma ihtimali eşit varsayıldığında, on tohumdan en az dördünün beş kelimesinin hepsinde üst bitin sıfır olma olasılığı, 5.810’da 1. Diğer eğrilerin tohumlarını NIST belgeleriyle bağımsız olarak kontrol etmedik. Betiklerin gösterdiği, iddia edilen zaman damgaları ve aday numaralarının tohumları yeniden ürettiği; 32 bitlik bir tohum ve küçük bir indeks 160 biti rastlantıyla eşleştiremeyeceği için bu tek başına güçlü bir kanıt.

NIST eğri tohumları hakkında neler hâlâ belirsiz?

• İkili eğri B-163. Claude’un denediği hiçbir şey tohumuna uymuyor.
• P-224, P-256, P-384 ve P-521’in taban noktaları ve NIST ikili eğrilerinin taban noktaları.
• Bazı geçerli adayların neden atlandığı.
• 1990’lar programını kimin ve kaç kez çalıştırdığı. Rakamlar söyleyemez.
• İkili eğri zaman damgalarının nasıl yarıya bölündüğü. Anthropic bu okumayı bir olasılık olarak niteliyor.

Akılda tutulacaklar

Bunlar bizim gözlemlerimiz:

• Yeniden üretilebilir bir sonuç. Kod açık, kısa ve bir saniyede çalışıyor.
• “Açıklandı”, “güvenli olduğu kanıtlandı” değil. Yazı bunu kendisi söylüyor ve geriye kalanları sıralıyor.
• Süreç, yanıt kadar haber. Bir iç model, hiçbir ipucu verilmeden bir hipotez tahmin etti, bir tarayıcı kurdu ve sonucu insanlar yıllarca başaramadıktan sonra yarım saatten kısa sürede doğruladı; yazı kaç deneme yapıldığını söylemiyor.
• Bir eylem gerekmiyor. Anthropic okurların bunu kapanış bölümü olarak almasını söylüyor ve çoğu araştırmacı eğrilere zaten güveniyordu.

Editoryal inceleme: 17 Ekim 2026 (AI). Anthropic’in araştırma yazısı (iki kod listesi dahil metin olarak tam okundu) esas alınarak hazırlandı; iki genel Python betiğini yerelde çalıştırarak ve belirttiği olasılığı yeniden hesaplayarak çapraz kontrol ettik. Bağlantılı makaleleri okumadık, yazının alıntıladığı P-256 değeri dışında tohumları NIST belgeleriyle kontrol etmedik ve ikincil haberleri kullanmadık.