AnthropicのAIモデルが、1990年代後半にNSAが米政府に引き渡した数字に関する長年の謎を解明した。この数字は長らくバックドアの可能性が疑われていたが、実際には1997年と1998年のタイムスタンプを入力した一般的な乱数生成プログラムに由来していた。
モデルが解答に到達するまでに要した時間は約30分であり、暗号学者たちが25年間追い求めてきた謎がここに解かれた。
説明のつかない設計の鍵
インターネットの多くは楕円曲線暗号を利用しており、これはbitcoinのウォレット保護にも用いられている。楕円曲線は秘密鍵の詳細を明かさずに保有を証明できる数学分野である。曲線の設計は透明性が求められるが、2000年に米国立標準技術研究所（NIST）はNSAが提供した一連の曲線を採用し、NSAは設計に使われた数字の由来を説明しなかった。
Snowdenによる暴露によって、NSAが暗号標準を弱体化させようとしていた事実が明らかになると、NISTはこれらの曲線で利用されるDual EC乱数生成器を勧告対象から外した。種となるseedは公開されていたものの、その選び方の説明がなかったためNSAがバックドアを意図していたのではないかとの疑念が長年にわたり存在していた。
2015年には暗号学者Neal KoblitzとAlfred Menezesが論文「A Riddle Wrapped in an Enigma」で検証し、NSAの数学者Jerry Solinasからseedが渡された事実を確認。2018年以降もセキュリティ研究者Steve Weisが説明を求めて調査を続けたが、NISTやNSAは十分な回答を与えなかった。2023年には暗号技術エンジニアFilippo Valsordaらが懸賞金を提示して答えを募集したが、Solinasの死去により結論には至らなかった。
Claudeが掘り下げた真相
AnthropicのAIモデルClaudeが調査を行い、従来の説を共有しないまま検証した結果、seedは古いC言語ソフトウェアライブラリに含まれる乱数生成器lrand48に由来していることを突き止めた。ClaudeはP-256という広く使われる曲線の背後にあるシーケンスを再現し、公開されたseedに対して1,842番目の候補で完全一致を見つけた。
モデルは「25年前の謎を解いてしまった」と推論し、その発見はリアルな現実世界の事象であることを示した。この解明により、誰でもプログラムを実行してNSAが提供した数字を導出できるようになった。Anthropicはこれが隠れた弱点の可能性を大幅に低減するとしたものの、なぜプログラムが一部の候補を飛ばしたのか、また曲線の他の部分の選定理由は未解明のままであると説明している。
なお、この乱数生成器lrand48の予測可能性はウォレットの秘密鍵の安全性を脅かす可能性があるが、NSAのseedは公開されており、秘密情報の盗用リスクは当初から存在しなかった。
bitcoinとの関係
bitcoinは今回の謎解きに直接関係していない。bitcoinウォレットはより単純な方程式から派生する曲線secp256k1を使用している。bitcoinの曲線は調整可能な値がほとんどなく、NSAが介入して弱点を埋め込む余地はほぼない。この点がbitcoinの大きな利点として暗号学者に評価されている。
創設者のSatoshi Nakamotoはなぜsecp256k1を選んだか明言しておらず、この曲線はbitcoin公開前にはほとんど使用例がなかった。Ethereumも同じ曲線を採用し、2021年のTaprootアップグレードまで保持し続けている。
量子コンピューターは別の脅威としてbitcoinの鍵を逆算可能にする可能性が指摘されている。Googleは先日、量子エラーを約40分の1に減らすWillowチップの開発を発表したが、現在のところ鍵を破るに十分な規模の量子コンピューターは存在せず、その登場時期も不透明だ。
AnthropicはブログでNISTの曲線利用者に対し現時点での変更は不要であると伝えている。seedの出自に関する長年の疑問を経て、誰もがそれらの数値に至る経路を再現できるようになったと説明した。
なお、36,864ドルの懸賞金は非営利団体Internet Security Research Groupに寄付された。
