Claude svela l’origine dei seed delle curve NIST ECDSA: cosa ha trovato Anthropic

Per venticinque anni una domanda ha accompagnato chi si occupa di crittografia: da dove arrivano davvero i numeri che definiscono le curve ellittiche standardizzate dal NIST? Il 16 ottobre 2026 il Frontier Red Team di Anthropic ha pubblicato una risposta parziale ma molto concreta. Un modello di ricerca interno basato su Claude ha ricondotto i seed di cinque curve NIST a un vecchio generatore di numeri casuali della libreria C, inizializzato con un semplice timestamp.

Se ti occupi di blockchain, wallet o sicurezza, la notizia ti riguarda da vicino, perché ECDSA è la firma digitale su cui poggiano molte infrastrutture. Vediamo cosa è stato trovato, come ci è arrivato Claude e, soprattutto, cosa significa davvero.

Cosa ha annunciato Anthropic sui seed delle curve NIST

La ricerca è descritta da Anthropic nella pagina ecdsa-curve-origins, citata dalle principali testate che l’hanno ripresa. Il punto di partenza è lo standard FIPS 186-2, adottato dal NIST nel 2000, che include curve ellittiche per ECDSA con parametri forniti dalla NSA senza una spiegazione su come fossero stati generati.

Ogni curva ha un seed, cioè una sequenza di 160 bit da cui, tramite una procedura pubblica, si ricava il coefficiente b della curva. Il seed doveva servire da garanzia: se nasce da un processo trasparente, è difficile sostenere che la curva sia stata scelta ad arte. Ma nessuno sapeva spiegare l’origine di quei seed.

Secondo Anthropic, i seed delle curve P-192, P-224, P-256, P-384 e P-521 sono l’output di lrand48, il generatore pseudocasuale della libreria C, inizializzato con un timestamp Unix. Nessuna funzione di hash è coinvolta nel processo.

Una precisazione che conta

Anthropic è esplicita: non si tratta di una rottura crittografica, di un nuovo attacco né di una debolezza di ECDSA. È una ricostruzione storica di come sono stati prodotti certi numeri.

Come Claude è arrivato alla soluzione

Finora la spiegazione più diffusa sosteneva che Jerry Solinas, l’ex ricercatore NSA associato alle curve, avesse generato i seed facendo l’hash di una frase scherzosa. Gli ingegneri di Anthropic hanno provato quella pista senza successo e, secondo il racconto, la voce si è rivelata sbagliata. Solinas è morto nel 2023 e nel 2015 aveva dichiarato di non ricordare i dettagli della derivazione, mentre non sono stati trovati archivi utili.

Un dipendente ha quindi chiesto al modello di ricostruire il metodo senza il suggerimento della frase. Stando alle ricostruzioni, la risposta è arrivata in meno di mezz’ora.

Il metodo, passo dopo passo

Dopo che le ricerche basate su frasi e hash non hanno portato a nulla, Claude ha cambiato strategia: ha ipotizzato che dietro ci fosse un generatore debole degli anni Novanta e ha esaminato i seed cercando le tracce tipiche di quegli algoritmi, provando 34 combinazioni di generatore e porzione di bit.

L’indizio decisivo è statistico. In quattro dei dieci seed analizzati, il bit più alto di ogni parola è sempre zero. Per puro caso la probabilità sarebbe circa una su 5.810. Quel pattern è coerente con lrand48, che restituisce soltanto i 31 bit più alti di uno stato interno da 48 bit.

Per i seed delle curve binarie, Claude ha ricostruito per forza bruta i 17 bit nascosti della prima parola. Per i seed delle curve prime, dove ogni output conserva ancora meno bit, ha recuperato lo stato interno con l’algoritmo di riduzione di basi reticolari LLL.

Ogni stato a 48 bit ricostruito rigenera per intero i 160 bit del seed corrispondente. Questa verifica è ciò che rende il risultato più di un’ipotesi suggestiva.

I timestamp e le date che emergono

Facendo girare il generatore all’indietro, si arriva agli stati di inizializzazione, riconoscibili perché i 16 bit bassi valgono 0x330E. Per le dieci curve prime i timestamp cadono tra maggio 1997 e aprile 1998.

Per le quattro curve binarie i timestamp, letti direttamente, indicano febbraio 1984. Raddoppiandoli si ottiene il 17 aprile 1998, a due settimane dall’esecuzione relativa alla curva P-224, e per questo il team ipotizza che il programma originale dimezzasse il valore dell’orologio.

È un dettaglio da archeologia informatica, ma dice molto: i numeri che proteggono oggi enormi quantità di valore nascono da esecuzioni di un programma in un preciso periodo, con strumenti dell’epoca.

Anche i punti base hanno una storia

Il lavoro non si ferma ai seed. Secondo le ricostruzioni, Claude ha ricondotto i punti base di sei curve al generatore presente in FreeLIP, la libreria per interi lunghi di Arjen Lenstra, il cui codice compare anche nelle prime versioni di NTL. Riguarda P-192 e le curve ANSI X9.62 prime192v2, prime192v3 e prime239v1, v2 e v3. Anthropic afferma che nessun punto base NIST era stato spiegato prima.

Cosa resta ancora senza spiegazione

Il quadro non è chiuso, e Anthropic stessa lo riconosce. I punti base di P-224, P-256, P-384, P-521 e delle curve binarie NIST non corrispondono a questa ricetta e restano ignoti. Lo stesso vale per il quinto seed binario, quello della curva B-163, che non coincide con nessuno dei metodi provati.

C’è poi il tema dei candidati scartati. Il seed pubblicato per P-256 è il candidato numero 1842 della sua esecuzione, ma anche il candidato 876 produce una curva di ordine primo con la stessa costruzione. Nella corsa di P-224 sono stati saltati tre candidati validi, e in quelle ANSI altri sette.

Il team considera poco plausibile una scelta deliberata di curve indebolite, vista la quantità ridotta di candidati saltati, ma ammette che in linea di principio qualcuno potrebbe aver cercato tra i timestamp una curva con una proprietà desiderata.

Cosa cambia per la fiducia in ECDSA e nella crittografia

La lettura di Anthropic è che i seed derivino da un processo comune, riproducibile e basato sull’orologio, e che questo lasci molto meno spazio a manipolazioni nascoste. Il risultato rende una backdoor meno plausibile, ma non la esclude in modo assoluto.

Per chi sviluppa o usa sistemi basati su curve NIST, quindi, non emerge alcuna azione urgente. Cambia semmai la qualità dell’argomento: prima il dubbio si reggeva sul silenzio, ora su una spiegazione documentata, con codice pubblico.

Vale la pena ricordare il contesto. Sul sito abbiamo già raccontato il dibattito su se l’AI possa rompere ECDSA prima del quantum, con le posizioni di Justin Drake e Vitalik Buterin. Questa ricerca è un caso diverso, perché non attacca la firma ma ricostruisce la storia dei parametri, eppure mostra quanto i modelli siano ormai efficaci su problemi di crittoanalisi.

Perché questa vicenda dice qualcosa sull’AI

Il dato più interessante, per chi segue l’intelligenza artificiale, è il modo in cui il modello ha lavorato. Non ha recuperato una risposta già nota: ha formulato un’ipotesi, l’ha verificata con test statistici, ha usato strumenti matematici come la riduzione reticolare e ha controllato il risultato rigenerando i bit del seed.

Le ricostruzioni riferiscono anche che, durante il ragionamento, il modello ha verificato se si trovasse in un ambiente simulato prima di considerare reale il risultato. Sono dettagli riportati dalle testate e non misurabili in modo indipendente, come i tempi stessi.

Anthropic ha rilasciato il codice di riproduzione con licenza CC0 1.0: riproduce tutti i 14 seed e i sei punti base. Un compenso di 36.864 dollari, legato a una taglia per ritrovare i seed organizzata da Filippo Valsorda, sarà devoluto all’Internet Security Research Group, l’organizzazione dietro Let’s Encrypt.

Se vuoi capire come Anthropic gestisce i modelli più capaci in ambito sicurezza, puoi leggere anche il nostro approfondimento sul Cyber Verification Program, e per un quadro generale sul modello trovi la guida a Claude AI.

Conclusioni: cosa fare adesso

La sostanza è questa: i seed di cinque curve NIST vengono da un generatore degli anni Novanta e da un timestamp, non da un hash misterioso. Il mistero non è del tutto sciolto, ma l’ipotesi di una manipolazione nascosta esce indebolita.

Il consiglio pratico è non farsi trascinare dagli annunci né in un senso né nell’altro. Leggi la fonte primaria di Anthropic, guarda il codice di riproduzione e, se lavori con crittografia o blockchain, segui la discussione della comunità dei crittografi sui punti base ancora inspiegati.

Se vuoi restare aggiornato su come l’AI cambia sicurezza e crittografia, continua a seguirci: pubblichiamo ogni giorno analisi originali sulle novità più importanti.