Claude가 25년 묵은 암호학 수수께끼에 답을 냈다. 2026년 10월 16일, Anthropic의 Frontier Red Team은 사내 연구 모델이 NIST 타원곡선 시드(seed)의 생성 방식을 30분이 채 안 되는 시간에 추적해 냈다고 발표했다. 이 시드는 1990년대 미국 국가안보국이 제공했고, NIST는 2000년 FIPS 186-2 디지털 서명 표준에서 해당 곡선들을 채택했지만 시드가 어떻게 만들어졌는지는 한 번도 설명하지 않았다. ECDSA에 백도어 의혹이 오래 따라붙은 이유다.
숫자 한 줄이 왜 그토록 신경 쓰였나
ECDSA는 가장 널리 쓰이는 타원곡선 서명 방식이고, 표준 곡선 P-192, P-224, P-256, P-384, P-521의 시드는 표준 문서에 그대로 적혀 있다. 값 자체는 누구나 볼 수 있지만 어떻게 생성됐는지는 아무도 말할 수 없었다. 유력했던 이야기는 당시 NSA 직원 Jerry Solinas의 회고에서 나온 것으로, 시드가 어떤 농담 문구의 해시일지 모른다는 것이었다. Solinas는 2023년에 세상을 떠났고 동료들의 협조도 얻지 못한 채, 문구 후보를 대입하는 시도는 오랫동안 성과가 없었다. 이 문제에는 36,864달러의 현상금까지 걸렸다. 전 세계 인프라급 표준 안에 출처를 알 수 없는 '마법의 숫자'가 자리 잡고 있다는 것 자체가 신뢰의 문제였다.
답은 문구가 아니라 오래된 생성기 안에 있었다
2026년 10월, Anthropic 직원 한 명이 사내 연구 모델에 이 문제를 던지면서 일부러 문구 단서는 주지 않았다. 모델은 반대 방향으로 갔다. 생성 프로그램을 쓴 사람이 1990년대 C 라이브러리에 딸려 오던 약한 의사난수 생성기를 썼을 것이고, 그런 출력에는 알아볼 수 있는 지문이 남는다고 가정한 것이다. 모델은 스캐너를 짜서 각 시드를 조각으로 잘라 옛 생성기의 연속 출력처럼 보이는지 검사했고, 생성기와 절단 방식의 조합 34가지를 시험했다. 결정적 단서는 비트 층위에서 나왔다. 시드 중 네 개에서는 20개의 32비트 워드 모두 최상위 비트가 0이었는데, 우연히 그럴 확률은 약 5,810분의 1이다. 이는 48비트 내부 상태의 상위 31비트만 반환하는 lrand48을 가리켰다. 모델은 이어서 첫 워드에서 가려진 17비트의 모든 경우(2의 17제곱)를 대입하고 뒤따르는 워드들이 맞아떨어지는지 검증해, 네 시드에 대해 생성기 상태를 완전히 복원했다.
결론은 소박하다. 소수체 곡선 다섯 개의 시드는 모두 lrand48의 출력이었고, 초기화에는 1997년 5월부터 1998년 4월 사이의 Unix 타임스탬프가 쓰였으며, 해시는 전혀 개입하지 않았다. 프로그램은 한 번에 20바이트를 후보 시드로 뽑았고, P-256의 시드는 1997년 8월 16일 01시 52분 34초(UTC)에 시작된 실행에서 1,842번째 후보였다. 같은 방법으로 P-192와 관련 ANSI X9.62 곡선 다섯 개의 기준점 출처도 처음으로 설명됐다.
'해킹'이 아니며, 남은 꼬리도 공개됐다
Anthropic은 이 발견이 ECDSA를 깬 것이 아니며 곡선에서 약점은 발견되지 않았고 사용자가 바꿀 것도 없다고 분명히 했다. 연구팀은 모든 시드를 재생성할 수 있는 코드를 공개했고, 현상금은 Let's Encrypt를 운영하는 비영리단체 Internet Security Research Group에 기부된다. 다만 증거의 등급은 솔직히 적어야 한다. 결과는 현재 Anthropic 자체 발표에서 나온 것으로 아직 독립 검증은 끝나지 않았다. 재현 코드가 공개돼 검증 문턱이 낮아진 것은 사실이지만. 풀리지 않은 부분도 같은 방식으로 열거됐다. P-256 실행에서 쓸 수 있었던 876번째 후보가 왜 건너뛰어졌는지는 알 수 없고, 이진 곡선 B-163의 시드와 P-224, P-256, P-384, P-521의 기준점 출처도 여전히 설명되지 않았다.
이 일은 Claude가 양자 회로를 스스로 최적화해 여덟 개 작업 모두에서 기존 최고 설계를 넘어선 사례와 같은 작업 방식이 두 번째로 드러난 것이다. 문제를 모델에게 넘기고 자동으로 검산할 수 있는 닫힌 루프 안에서 반복하게 하며, 사람의 일은 질문을 던지고 결과를 확인하는 쪽으로 물러난다. 암호학계에서 25년의 의혹이 걷힌 것은 새 수학 덕분이 아니라, 모델이 1990년대의 낡은 도구 상자를 뒤질 끈기를 보였기 때문이다. '풀 수 없다'던 오래된 문제 다수에 부족했던 것은 어쩌면 그런 인내인지도 모른다.
