Claude vient de refermer un dossier de cryptographie resté ouvert pendant 25 ans : le 16 octobre 2026, l'équipe Frontier Red Team d'Anthropic a rapporté qu'un modèle de recherche interne avait retrouvé, en moins d'une demi-heure, la manière dont les graines (seeds) des courbes elliptiques du NIST avaient été générées. Ces graines avaient été fournies par la National Security Agency américaine dans les années 1990 ; le NIST a adopté les courbes dans la norme de signature numérique FIPS 186-2 en 2000 sans jamais expliquer leur provenance, et le soupçon d'une porte dérobée a pesé sur ECDSA depuis lors.
Pourquoi une suite de nombres a pu inquiéter si longtemps
ECDSA est le schéma de signature à courbe elliptique le plus répandu, et les graines des courbes normalisées P-192, P-224, P-256, P-384 et P-521 figurent dans la norme elle-même : tout le monde peut consulter les valeurs, mais personne ne pouvait dire comment elles avaient été produites. Le récit dominant venait du souvenir d'un ancien employé de la NSA, Jerry Solinas : les graines seraient peut-être le hachage d'une phrase humoristique. Solinas est mort en 2023, ses collègues sont restés sans réponse, et des années d'essais de phrases candidates n'ont mené nulle part ; une récompense publique de 36 864 dollars attendait la réponse. Un nombre magique inexpliqué, logé dans une norme d'infrastructure mondiale, est en soi un problème de confiance.
La réponse n'était pas une phrase, mais un vieux générateur
En octobre 2026, un employé d'Anthropic a posé la question à un modèle de recherche interne, en retenant délibérément l'indice de la phrase. Le modèle a pris le chemin inverse : il a supposé que l'auteur du programme de génération avait utilisé un générateur pseudo-aléatoire faible, du type livré avec les bibliothèques C des années 1990, dont la sortie porte une empreinte reconnaissable. Il a écrit un programme de balayage qui découpait chaque graine en morceaux et testait s'ils ressemblaient à des sorties consécutives d'un tel générateur, en essayant 34 combinaisons de générateurs et de découpages. L'indice décisif se situait au niveau des bits : dans quatre des graines, les 20 mots de 32 bits ont tous leur bit de poids fort à zéro — une configuration dont la probabilité d'apparaître par hasard est d'environ 1 sur 5 810 —, ce qui désigne lrand48, un générateur qui ne rend que les 31 bits supérieurs d'un état de 48 bits. Le modèle a ensuite essayé chacune des 2^17 valeurs possibles pour les 17 bits cachés du premier mot et vérifié que les mots suivants correspondaient, reconstituant entièrement l'état du générateur pour ces quatre graines.
La conclusion est simple : les cinq graines des courbes sur corps premiers sont des sorties de lrand48, initialisé avec des horodatages Unix situés entre mai 1997 et avril 1998, sans aucun algorithme de hachage. Le programme tirait 20 octets par itération comme graine candidate ; la graine publiée de P-256 était la candidate n° 1 842 d'une exécution commencée le 16 août 1997 à 01:52:34 UTC. La même méthode a aussi expliqué, pour la première fois, l'origine des points de base de P-192 et de cinq courbes ANSI X9.62 apparentées.
Ni cassure, ni dossier entièrement clos
Anthropic le souligne : il ne s'agit pas d'une cassure d'ECDSA, aucune faiblesse n'a été trouvée dans les courbes et les utilisateurs n'ont rien à changer. L'équipe a publié un code qui régénère chaque graine, et la récompense sera reversée à l'Internet Security Research Group, l'organisation à but non lucratif derrière Let's Encrypt. Il faut néanmoins qualifier honnêtement le niveau de preuve : le résultat provient pour l'instant de la publication d'Anthropic elle-même et n'a pas encore été confirmé de manière indépendante, même si le code reproductible abaisse la barre de la vérification. Le reste non résolu est énuméré avec la même franchise — on ignore pourquoi la candidate n° 876 de l'exécution P-256, qui aurait également convenu, a été écartée ; la graine de la courbe binaire B-163 et les points de base de P-224, P-256, P-384 et P-521 demeurent inexpliqués.
L'épisode suit le même schéma de travail que l'optimisation autonome de circuits quantiques par Claude, au-dessus des meilleures conceptions publiées sur les huit tâches : confier un problème au modèle, le laisser itérer dans une boucle où les réponses se vérifient automatiquement, et ramener l'humain à poser la question et à contrôler le résultat. Pour la cryptographie, un soupçon vieux de 25 ans s'est dissipé non pas grâce à des mathématiques nouvelles, mais parce qu'un modèle a accepté de fouiller dans une boîte à outils des années 1990 — et c'est peut-être exactement cette patience qui manque à beaucoup de vieux problèmes réputés insolubles.
