Claude が 25 年越しの暗号学の未解決問題に答えを出した。2026 年 10 月 16 日、Anthropic の Frontier Red Team は、社内の研究モデルが NIST の楕円曲線シード（seed）の生成方法を 30 分足らずで突き止めたと発表した。このシードは 1990 年代に米国家安全保障局が提供し、NIST が 2000 年の FIPS 186-2 デジタル署名標準で該当曲線を採用したが、その出所は一度も説明されず、ECDSA にはバックドア疑惑が長年つきまとってきた。
なぜ一串の数字が気にされ続けたのか
ECDSA は最も広く使われる楕円曲線署名方式で、標準曲線 P-192、P-224、P-256、P-384、P-521 のシードは標準文書そのものに記されている。値自体は誰でも確認できるが、どう生成されたかは誰も説明できなかった。有力だった話は、当時の NSA 職員 Jerry Solinas の回想で、シードは何か冗談めいた短文のハッシュではないかというものだった。Solinas は 2023 年に亡くなり、関係者の協力も得られないまま、短文の候補を試す試みは長年実を結ばなかった。この問いには 36,864 ドルの懸賞までかけられた。世界の基盤級の標準の中に、出所不明の「魔法の数字」が居座ること自体が信頼の問題だった。
答えは短文ではなく、古い生成器の中にあった
2026 年 10 月、Anthropic の一人の社員が社内研究モデルにこの問いを投げ、その際あえて短文の手がかりを与えなかった。モデルは逆方向に進んだ。生成プログラムを書いた人物は 1990 年代の C ライブラリに付属していた弱い疑似乱数生成器を使ったはずで、その出力には識別できる指紋が残る、と仮定したのだ。モデルはスキャナーを書き、各シードを小片に切り分け、それが往年の生成器の連続出力らしく見えるかを検査し、生成器と切り分け方の組み合わせを 34 通り試した。決め手はビットレベルの痕跡だった。シードのうち四つでは、20 個の 32 ビット語すべての最上位ビットがゼロで、偶然そうなる確率はおよそ 5,810 分の 1 —— これは 48 ビットの内部状態の上位 31 ビットだけを返す lrand48 を指し示していた。モデルは続いて、最初の語で欠けている 17 ビットの全候補（2 の 17 乗通り）を試し、後続の語が一致するか検証して、四つのシードについて生成器の状態を完全に復元した。
結論は素朴だ。素数体曲線の五つのシードはいずれも lrand48 の出力で、初期化には 1997 年 5 月から 1998 年 4 月の間の Unix タイムスタンプが使われ、ハッシュは一切介在していない。プログラムは 1 回ごとに 20 バイトを候補シードとして引き、P-256 のシードは 1997 年 8 月 16 日 1 時 52 分 34 秒（UTC）に始まった実行の 1,842 番目の候補だった。同じ手法で、P-192 と関連する ANSI X9.62 曲線五つの基点の出所も初めて説明された。
「解読」ではない。そして残された尾もある
Anthropic は、これは ECDSA の解読ではなく、曲線に弱点は見つかっておらず、利用者が何かを変更する必要はないと明言している。チームは全シードを再生成できるコードを公開し、懸賞金は Let's Encrypt を運営する非営利団体 Internet Security Research Group に寄付される。ただし証拠の格付けは正直に記すべきだ。結果は現時点で Anthropic 自身の発表によるもので、独立した検証はまだ終わっていない。再現コードの公開が、その確認のハードルを下げているのは確かだが。未解決の部分も同じように列挙されている。P-256 の実行で、使えたはずの 876 番目の候補がなぜ飛ばされたのかは不明で、二進曲線 B-163 のシードと、P-224、P-256、P-384、P-521 の基点の出所も未解明のままだ。
この出来事は、Claude が量子回路を自律的に最適化し、八つのタスクすべてで公表済みの最良設計を上回った件と同じ作業様式の二度目の現れだ。問題をモデルに渡し、自動で検算できる閉じたループの中で試行を繰り返させ、人間の仕事は問いを立てることと結果を確かめることに退く。暗号学にとって、25 年の疑念が晴れたのは新しい数学のおかげではなく、モデルが 1990 年代の道具箱を掘り返す根気を持っていたからだった。「解けない」とされてきた古い問題の多くに欠けているのは、案外その種の忍耐なのかもしれない。
