בקצרה

  • מה קרה: ב־16 באוקטובר 2026 פרסמה Anthropic שמודל מחקר פנימי גילה איך נוצרו הזרעים של עקומות NIST.
  • התשובה: לא hash של משפט, אלא המחולל lrand48 שאותחל בשעון המחשב ב־1997–1998.
  • הסכנה: אין. לפי Anthropic זו לא פריצה, והממצא רלוונטי בעיקר לאנשי אבטחה ומפתחים.

כמעט 30 שנה אף אחד לא ידע מאיפה הגיעו כמה מספרים ארוכים שה־NSA מסר ל־NIST. לפי Anthropic, ל־Claude לקח פחות מחצי שעה למצוא את התשובה.

דסק AI · פורסם ב־17 באוקטובר 2026
מבט ראשון: ידיעה זו מבוססת על הפוסט הרשמי של Anthropic. מערכת מאיץ הריצה את הקוד שפורסם וקיבלה ממנו את הזרע של P-256, אבל לא בדקה את שאר הממצאים.

מה התעלומה סביב עקומות ECDSA?

ECDSA הוא תקן לחתימות דיגיטליות שמבוסס על עקומות אליפטיות. NIST אימץ אותו בשנת 2000, בתקן FIPS 186-2, יחד עם רשימה של עקומות מוכנות לשימוש. לכל עקומה פורסם "זרע" (seed): מספר באורך 160 ביט, שממנו גוזרים את אחד הפרמטרים שלה.

את הזרעים סיפק ה־NSA, בלי שום הסבר. מכאן נולד חשד ותיק: אולי הם נבחרו בכוונה, כדי להשאיר דלת אחורית. הגרסה הנפוצה הייתה שג׳רי סולינס מה־NSA יצר אותם מ־hash של משפט מבודח, משהו כמו "תנו לבוב ולג׳רי העלאה". סולינס נפטר ב־2023, ואיש לא הצליח לשחזר את המשפט. לשאלה הזו אפילו הוצע פרס כספי.

מה Claude מצא?

לפי Anthropic, כמה עובדים בחברה כבר ניסו בעבר ללכת בעקבות הרמז על המשפט, בלי הצלחה. החודש עובד אחר שאל מודל מחקר פנימי אם הוא יכול להבין איך נוצרו הזרעים, בלי לתת לו את הרמז. בתוך פחות מחצי שעה הגיע המודל לתשובה עבור P-192, P-224, P-256, P-384 ו־P-521.

מתברר שאף אחד מהזרעים לא נוצר מ־hash. הם יצאו ממחולל המספרים הפסאודו־אקראיים lrand48, שהגיע עם ספריות C של שנות ה־90, ואותחל בחותמת זמן של Unix. התוכנה שלפה 20 בתים בכל סיבוב, וכל סיבוב היה מועמד. ב־P-256, למשל, הזרע שנכנס לתקן הוא המועמד ה־1,842.

הדרך לשם הייתה מעניינת לא פחות. Claude ניחש שהתוכנה המקורית השתמשה במחולל ישן וחלש, כזה שאפשר לזהות את הפלט שלו. הוא כתב סורק ובדק 34 שילובים של מחוללים וחיתוכי פלט. אז הוא שם לב שבארבעה מתוך עשרה זרעים, הביט העליון בכל אחת מ־20 המילים הוא אפס. במקרה זה יקרה בסיכוי של בערך 1 ל־5,810. זו טביעת האצבע של lrand48.

משם הוא שחזר את המצב הפנימי של המחולל, בחלק מהמקרים בעזרת אלגוריתם LLL, והריץ אותו אחורה עד רגע האתחול. כל חותמות הזמן של העקומות האלה נפלו בין מאי 1997 לאפריל 1998.

פרטלפי Anthropic
עקומות שהזרע שלהן הוסברP-192, P-224, P-256, P-384, P-521, חמש עקומות דוגמה מתקן ANSI X9.62, וארבע עקומות בינאריות (בהסתייגות)
זמן עד לתשובהפחות מחצי שעה
מקור הזרעיםהמחולל lrand48, מאותחל בחותמת זמן Unix
טווח תאריכיםמאי 1997 עד אפריל 1998
מה נשאר פתוחהזרע של B-163, ונקודות הבסיס של P-224, P-256, P-384 ו־P-521
הפרס36,864 דולר, ייתרמו לארגון ISRG

אז ההצפנה נפרצה?

לא. Anthropic כותבת במפורש שזו לא פריצה, לא מתקפה חדשה ולא חולשה בעקומות. לפי החברה, הממצא דווקא מחזק את האמון בהן. מחולל פשוט שאותחל מהשעון, וכל אחד יכול לשחזר אותו, משאיר הרבה פחות מקום לתמרון.

יש גם תוספת. Claude הסביר את נקודות הבסיס של שש עקומות מ־1997, בהן P-192. לפי Anthropic, הן נוצרו ממחולל המספרים של FreeLIP, ספרייה של הקריפטוגרף ארג׳ן לנסטרה. ככל הידוע לחברה, אף נקודת בסיס של NIST לא הוסברה לפני כן.

מה עוד לא ידוע

  • למה דולגו מועמדים תקינים. ב־P-256 גם המועמד ה־876 היה נותן עקומה מתאימה, ולא ברור למה נבחר דווקא 1,842. לפי Anthropic, מספר הדילוגים קטן מכדי להצביע על בחירה מכוונת של עקומה חלשה.
  • כמה פעמים הורצה התוכנה. אי אפשר לדעת את זה מהמספרים עצמם.
  • איך נוצרו הזרע של B-163 ונקודות הבסיס של העקומות הגדולות.
  • איזה מודל בדיוק עשה את העבודה. Anthropic מתארת "מודל מחקר פנימי", בלי שם.
  • תגובה של NIST או של מארגן הפרס לא מופיעה בפוסט.

מה זה אומר לכם

  • גולשים ומשתמשים: אין מה לעשות. האתרים והאפליקציות שלכם לא צריכים שום שינוי, וגם Anthropic אומרת שלא נדרשת פעולה.
  • אנשי אבטחה ומפתחים: הקוד לשחזור הזרעים מופיע בפוסט, בכמה שורות Python. מערכת מאיץ הריצה אותו וקיבלה את הזרע של P-256 בדיוק כפי שהוא מופיע בתקן.
  • התמונה הרחבה: מודלי AI כבר לא רק כותבים קוד, הם גם פותרים שאלות פתוחות. על עבודת האבטחה של Anthropic קראו גם על Cyber Mission, ועל מונחים כמו hash ו־PRNG במילון מאיץ.

מקורות

  • Anthropic: Claude reveals ECDSA curve origins, anthropic.com/research/ecdsa-curve-origins, 16 באוקטובר 2026
  • תאריך אימות: 17 באוקטובר 2026