Claude hat ein kryptografisches Rätsel gelöst, das 25 Jahre offen war: Am 16. Oktober 2026 berichtete Anthropics Frontier Red Team, ein internes Forschungsmodell habe in weniger als einer halben Stunde zurückverfolgt, wie die Seeds der NIST-Elliptikkurven erzeugt wurden. Die Seeds lieferte in den 1990er Jahren die US-amerikanische National Security Agency; NIST übernahm die Kurven im Jahr 2000 in den Standard FIPS 186-2 für digitale Signaturen, erklärte aber nie, woher die Seeds stammten — und so hing der Verdacht einer Hintertür jahrzehntelang über ECDSA.
Warum eine Zahlenfolge so lange beunruhigte
ECDSA ist das am weitesten verbreitete Verfahren für elliptische Kurvensignaturen, und die Seeds der Standardkurven P-192, P-224, P-256, P-384 und P-521 stehen im Standard selbst — jeder kann die Werte nachlesen, aber niemand konnte sagen, wie sie entstanden waren. Die gängige Geschichte stammte aus der Erinnerung des früheren NSA-Mitarbeiters Jerry Solinas: Die Seeds könnten der Hash einer scherzhaften Phrase gewesen sein. Solinas starb 2023, Kollegen reagierten nicht, und Jahre des Ausprobierens von Phrasenkandidaten führten zu nichts; auf die Antwort war eine Belohnung von 36.864 Dollar ausgesetzt. Eine unerklärte magische Zahl in einem weltweiten Infrastrukturstandard ist für sich genommen ein Vertrauensproblem.
Die Antwort lag nicht in einer Phrase, sondern in einem alten Generator
Im Oktober 2026 stellte ein Anthropic-Mitarbeiter die Frage einem internen Forschungsmodell — und hielt den Phrasenhinweis bewusst zurück. Das Modell ging den umgekehrten Weg: Es vermutete, der Autor des Erzeugungsprogramms habe einen schwachen Pseudozufallsgenerator aus den C-Bibliotheken der 1990er Jahre benutzt, dessen Ausgabe einen erkennbaren Fingerabdruck trägt. Es schrieb einen Scanner, der jeden Seed in Stücke schnitt und prüfte, ob sie wie aufeinanderfolgende Ausgaben eines solchen Generators aussehen, und probierte 34 Kombinationen aus Generatoren und Schnittlagen. Der entscheidende Hinweis lag auf Bitebene: Bei vier der Seeds ist in allen 20 32-Bit-Wörtern das oberste Bit null — ein Muster, das zufällig nur mit einer Wahrscheinlichkeit von etwa 1 zu 5.810 auftritt — und das zeigt auf lrand48, einen Generator, der nur die oberen 31 Bit eines 48-Bit-Zustands ausgibt. Anschließend probierte das Modell alle 2 hoch 17 Möglichkeiten für die 17 verborgenen Bits des ersten Worts und prüfte, ob die folgenden Wörter übereinstimmen; so stellte es den Generatorzustand für diese vier Seeds vollständig wieder her.
Das Ergebnis ist nüchtern: Alle fünf Seeds der Primkörper-Kurven sind Ausgaben von lrand48, initialisiert mit Unix-Zeitstempeln zwischen Mai 1997 und April 1998, ganz ohne Hashverfahren. Das Programm zog pro Durchlauf 20 Byte als Kandidaten-Seed; der veröffentlichte P-256-Seed war Kandidat Nummer 1.842 eines Laufs, der am 16. August 1997 um 01:52:34 Uhr UTC begann. Mit derselben Methode ließ sich erstmals auch erklären, woher die Basispunkte von P-192 und fünf verwandten ANSI-X9.62-Kurven stammen.
Kein Bruch — und die offenen Enden stehen in der Publikation
Anthropic betont, dies sei kein Bruch von ECDSA: An den Kurven wurde keine Schwäche gefunden, und Nutzer müssen nichts ändern. Das Team hat Code veröffentlicht, der jeden Seed regeneriert, und die Belohnung geht an die Internet Security Research Group, die gemeinnützige Organisation hinter Let's Encrypt. Die Beweislage sollte trotzdem ehrlich benannt werden: Das Ergebnis stammt bislang aus Anthropics eigener Veröffentlichung und ist noch nicht unabhängig bestätigt, auch wenn der reproduzierbare Code die Prüfung erleichtert. Ebenso offen wird der ungelöste Rest aufgeführt — warum Kandidat 876 des P-256-Laufs, der ebenfalls funktioniert hätte, übersprungen wurde, ist unbekannt; der Seed der Binärkurve B-163 und die Basispunkte von P-224, P-256, P-384 und P-521 bleiben unerklärt.
Der Vorgang folgt demselben Arbeitsmuster wie Claudes selbstständige Optimierung von Quantenschaltkreisen, die in allen acht Aufgaben die besten veröffentlichten Entwürfe übertraf: dem Modell ein Problem geben, es in einer Schleife wiederholen lassen, in der sich Antworten automatisch prüfen lassen, und den Menschen auf das Stellen der Frage und das Nachprüfen des Ergebnisses zurückziehen. Für die Kryptografie löste sich ein 25 Jahre alter Verdacht nicht durch neue Mathematik, sondern weil ein Modell bereit war, in einer Werkzeugkiste aus den 1990er Jahren zu wühlen — vielen vermeintlich unlösbaren alten Problemen fehlt vielleicht genau diese Geduld.
