NSAが渡した暗号の「種」の謎、Claudeが30分足らずで解明 元は1990年代の時刻

Anthropicは2026年10月16日、AIの「Claude」が、米国の暗号の標準にある数字「種(seed)」の出どころを突き止めたと発表した。種は米国家安全保障局(NSA)が説明なしに渡したもので、裏口があるのではと長く疑われてきた。

何が謎だったのか

問題の暗号は、電子署名の方式「ECDSA」だ。電子署名は、データが本物で書き換えられていないことを確かめる仕組みだ。米国立標準技術研究所(NIST)は2000年1月27日付の標準「FIPS 186-2」で、P-256などの曲線を定めた。2023年2月の今の文書「SP 800-186」にも、P-256は同じ種とともに載っている。曲線の形を決める数字の一部は、種から計算して作る。

ところが、種をどう選んだかは書かれていなかった。種を自由に選べれば、わざと弱い曲線を選べたかもしれない。NSAで種を用意したJerry Solinas氏は、冗談の言葉から作ったが言葉は忘れたと話し、2023年に亡くなった。同じ年、暗号の技術者のFilippo Valsorda氏が、種の元を見つけた人に懸賞を出すと呼びかけた。同氏によると、P-256とP-384は、ウェブの多くを守る証明書に使われている。

Claudeは何を見つけたのか

Anthropicによると、10月に社員が社内の研究用のモデルに、手がかりを示さずに種の作り方を尋ねた。Claudeは30分足らずで、P-192、P-224、P-256、P-384、P-521の種の出どころを突き止めた。

種の元は言葉ではなかった。1990年代のC言語(プログラムを書く言葉の一つ)に付いていた、乱数(でたらめに見える数)の仕組み「lrand48」の出力だった。Claudeは、古い乱数には見分けられる癖があると考えた。数字の並びから仕組みの状態を割り出し、出発点までさかのぼると、どれも1997年5月から1998年4月の間の時刻だった。P-256は、1997年8月16日の時刻から始めて1,842番目の候補だった。

かんたんに言うと

種は、くじの番号のようなものだ。曲線は、その番号を決まった計算にかけて作る。計算の方法は公開されているので、番号が分かればだれでも同じ曲線を作り直せる。ただ、番号をどう引いたかが分からず、都合のよい番号を選んだのではと疑われていた。今回分かったのは、時計の時刻を元にした機械のくじだったことだ。好きな番号を選べる余地は小さい。

誰がどう確かめたのか

Anthropicは、種を作り直すプログラムを誰でも使える形で公開した。Valsorda氏も10月16日、自分で書き直して確かめたと発表した。懸賞金は寄付を選んで3倍の3万6,864ドルとなり、「Let's Encrypt」を運営する非営利団体ISRGに贈られる。

安全性は変わるのか

Anthropicは、暗号が破られたわけでも、新しい攻撃方法が見つかったわけでもないとする。時刻から作るありふれた乱数だったため、裏口がある可能性はずっと低くなったという。利用者がすることは何もないとしている。Valsorda氏も、NSAがどの時刻を選べたとしても、弱い曲線を狙うには自由が足りないと説明した。

ただ、B-163という曲線の種はまだ分からない。P-256などの「基準の点」(鍵を作るときの出発点になる点)の作り方も不明だ。条件を満たす候補を飛ばした理由も分かっていない。Anthropicは、飛ばした数は少なく、弱い曲線をわざと選んだとは考えにくいとしている。

日本ではどうなるのか

日本の政府機関がシステムの調達で使う「CRYPTREC暗号リスト」は、署名の方式としてECDSAを載せている。鍵の長さの選び方を定めた基準(2022年3月)は、128ビットの強さの曲線の一つにP-256を挙げる。CRYPTRECの注意喚起のページは、23日の時点で「現在、注意喚起情報はありません」としている。研究に使ったモデルの名前や、一般への提供は書かれていない。

まとめ

20年以上続いた疑いに、だれでも再現できる答えが出た。AIを安全の調査に使う例は広がっている(関連記事: PHPの「緊急」の脆弱性、AIを使った調査で見つかる)。