Claude rozwikłał zagadkę krzywych NIST

Wewnętrzny model badawczy Anthropic w niecałe pół godziny ustalił pochodzenie seedów, czyli ziaren, z których wyliczono krzywe eliptyczne NIST od P-192 do P-521. Nie stoi za nimi skrót żartobliwego zdania, jak głosiła legenda, tylko zwykły generator liczb pseudolosowych lrand48 z biblioteki języka C, uruchomiony z czasem zegara z lat 1997 i 1998. Anthropic opisał to 16 października razem z drugim wynikiem: Claude Mythos 5 zaprojektował obwody kwantowe oszczędniejsze od najlepszych opublikowanych. Jeśli Twoja aplikacja korzysta z HTTPS albo podpisów cyfrowych, nic nie musisz zmieniać.

Skąd wzięła się zagadka

ECDSA to najpopularniejszy standard podpisów cyfrowych na krzywych eliptycznych. NIST przyjął go w 2000 roku w normie FIPS 186-2, razem z gotowymi krzywymi, których część parametrów wyliczono z 20-bajtowych ziaren funkcją skrótu SHA-1. Ziarna dostarczyła NSA bez słowa wyjaśnienia, więc pytano, czy agencja nie dobrała krzywych z ukrytą słabością.

Według Jerry’ego Solinasa z NSA ziarna powstały ze skrótu zdania w rodzaju „Give Bob and Jerry a raise”, ale nikt nie pamiętał jego treści. Solinas zmarł w 2023 roku, a jesienią tego samego roku inżynier kryptografii Filippo Valsorda ogłosił nagrodę 12 288 USD za odtworzenie ziaren, potrojoną do 36 864 USD w razie przekazania na cele charytatywne.

Pół godziny i zwykły zegar

W październiku pracownik Anthropic zapytał model, czy sam ustali, jak powstały ziarna, bez podpowiedzi o zdaniu. Claude założył, że program z lat 90. korzystał ze słabego generatora, którego ślady widać w wynikach. W czterech z dziesięciu ziaren standardu NIST najwyższy bit każdego 32-bitowego słowa był zerem, co przypadkiem zdarza się z prawdopodobieństwem 1 do 5810. To podpis generatora lrand48: zwraca on liczby 31-bitowe, więc tego bitu nigdy nie ustawia. Model odtworzył jego stan wewnętrzny, a każdy odzyskany stan daje wszystkie 160 bitów ziarna, czego nie da się zrzucić na przypadek.

Ten generator można przeliczać wstecz, więc model doszedł do chwili jego uruchomienia, zapisanej jako znacznik czasu Unix. Program losował kolejne 20-bajtowe ziarna i odrzucał te, które nie dawały poprawnej krzywej. Ziarno P-256 to 1842. kandydat z przebiegu uruchomionego 16 sierpnia 1997 o 01:52:34 UTC. Anthropic opublikował krótki skrypt, którym każdy może to sprawdzić. Sam model podchodził do wyniku sceptycznie: zastanawiał się, czy nie trafił do środowiska testowego, i uznał odkrycie za prawdziwe dopiero po samodzielnym przeliczeniu.

Valsorda przepisał algorytm w języku Go i potwierdził odkrycie. Zespół Anthropic odebrał nagrodę 15 października i oddał ją ISRG, organizacji non-profit prowadzącej Let’s Encrypt, więc kwota wzrosła do 36 864 USD.

Czy coś się zmienia w bezpieczeństwie?

Nie. Anthropic pisze wprost, że to nie jest złamanie szyfru, nowy atak ani słabość krzywych, a użytkownicy nie muszą niczego zmieniać. Valsorda wylicza, że nawet przy swobodnym wyborze chwili z lat 1997 i 1998 oraz jednego z pierwszych 16 kandydatów NSA miałaby ledwie około 30 bitów swobody, czyli około miliarda możliwości. To za mało, by celowo trafić w krzywą z ukrytą furtką.

Nie wszystko jest jasne. W przebiegu, z którego wyszła P-256, kandydat nr 876 też dawał poprawną krzywą, a mimo to go pominięto. Niewyjaśnione pozostają też ziarno krzywej binarnej B-163 i pochodzenie punktów bazowych P-224, P-256, P-384 oraz P-521, czyli stałych punktów, od których liczy się klucze publiczne. Według Anthropic pominiętych kandydatów jest jednak za mało, by w ten sposób wybrać osłabione krzywe.

Niebieskie punkty to ziarna krzywych ze standardu, pomarańczowe kółka to inne ziarna dające poprawne krzywe, które z nieznanego powodu pominięto.

Drugi wynik: obwody kwantowe od Claude Mythos 5

W drugim wpisie badacze z Anthropic i Harvardu dali modelowi Claude Mythos 5 osiem zadań z chemii, optymalizacji, symulacji fizycznych i teorii liczb. Do każdego dołączyli program oceniający, który sprawdza poprawność obwodu i wystawia ocenę: iloczyn liczby kubitów (jednostek pamięci kwantowej) i bramek Toffoli, jednych z najdroższych operacji. Model proponował projekt, dostawał ocenę i poprawiał go bez udziału człowieka między rundami.

Według pracy w arXiv w siedmiu z ośmiu zadań nowe obwody potrzebują mniej bramek i mniej kubitów niż dotychczasowe. Tam, gdzie był punkt odniesienia, ocena poprawiła się od 4,1 do 39 razy, zależnie od zadania. W dekoderze Reeda-Solomona, najdroższym kroku algorytmu optymalizacyjnego DQI, model zmniejszył rezerwę kubitów na najgorszy przypadek z 665 do 19.

Krzyżyki to najlepsze wcześniejsze projekty, pomarańczowe kropki to projekty Claude. Im bliżej lewego dolnego rogu, tym taniej.

Ósme zadanie, dodawanie punktów na krzywej eliptycznej, to standardowy sprawdzian w tej dziedzinie. Po 53 godzinach pracy z minimalnym udziałem ludzi Claude znalazł nowy sposób na odwracanie modularne (odpowiednik dzielenia), najdroższy krok tej operacji, i sformalizował dowód w Lean, programie do komputerowego sprawdzania dowodów. Jeden z wariantów wymaga o 12 procent więcej kubitów niż najoszczędniejszy pod tym względem dotychczasowy projekt, ale 17 razy mniej bramek.

To projekty sprawdzone w symulacji na zwykłym komputerze, a dzisiejsze maszyny kwantowe mają od setek do tysięcy kubitów, czyli za mało dla wielu takich algorytmów. Autorzy zaznaczają, że iloczyn kubitów i bramek to tylko jedno z rozsądnych kryteriów oceny.

Czego to uczy przy budowaniu aplikacji z AI

Oba wyniki łączy automatyczny sprawdzian, którego nie da się oszukać: zgodność wszystkich 160 bitów ziarna albo program oceniający, który odrzuca każdy błędny obwód. Autorzy pracy zauważają, że dzięki temu model może proponować daleko idące zmiany i nie musi sam oceniać ich poprawności. Dlatego mógł pracować samodzielnie: niecałe pół godziny w jednym przypadku, 53 godziny w drugim.

To samo działa w zwykłej pracy z agentem AI, na przykład w Claude Code:

• Mierzalny cel: zamiast „popraw formularz” napisz „formularz ma przejść te pięć testów” i każ agentowi uruchamiać je po każdej zmianie.
• Najpierw sprawdzian, potem kod: poproś agenta o testy albo skrypt sprawdzający wynik i przejrzyj je, zanim zacznie właściwą pracę.
• Kilka podejść naraz: przy obwodach Claude początkowo trzymał się znanych rozwiązań i wielokrotnie sprawdzał wyniki, które były już dobrze potwierdzone. Pomogło żądanie kilku różnych podejść rozwijanych równolegle.
• Notatki zamiast jednej długiej rozmowy: każda runda zaczynała się w nowej sesji, z notatkami, w których model zapisywał przydatne wnioski. Tak samo poprowadzisz duży projekt, zapisując wnioski w pliku, który agent czyta na starcie.

Czy możesz skorzystać z tych modeli?

Model od krzywych nie ma publicznej nazwy. Claude Mythos 5 jest dostępny wyłącznie dla organizacji zweryfikowanych przez Anthropic, więc nie ma go w abonamencie Pro ani Max. W API kosztuje tyle co Fable 5: 10 USD za milion tokenów na wejściu i 50 USD na wyjściu. Według Anthropic to ten sam model bazowy, ale Fable 5 ma dodatkowe filtry. Metodę z obu eksperymentów przeniesiesz za to na ogólnodostępne modele, takie jak Opus 5.5 czy Fable 5.1.