Мой блог
Как нейросеть Claude восстановила сиды кривых NIST и спроектировала квантовые схемы
Компания Anthropic обнародовала результаты двух масштабных исследований, задействовавших искусственный интеллект для решения фундаментальных математических и инженерных проблем. В рамках первого эксперимента исследовательская команда разбирает происхождение сидов эллиптических кривых NIST, пытаясь выяснить природу псевдослучайных констант, предложенных спецслужбами еще в конце 1990-х годов. Во второй публикации представлен опыт применения модели для оптимизации логических квантовых цепочек.
Внутренняя модель Claude справилась с реконструкцией сидов пяти простых кривых менее чем за полчаса. Тем не менее в материалах содержатся как строгие математические доказательства, так и открытые вопросы, которые пока остаются на уровне рабочих гипотез.
Что именно смогла восстановить нейросеть Claude
Криптографические кривые линейки P-192–P-521 вошли в официальный стандарт NIST FIPS 186-2 в 2000 году. Исходные сиды предоставило Агентство национальной безопасности США без детального описания метода их формирования. Из-за отсутствия технической прозрачности экспертное сообщество на протяжении почти трех десятилетий рассматривало вероятность наличия скрытых математических лазеек или намеренного ослабления защиты. Прежние попытки специалистов Anthropic связать эти значения с хеш-функциями от текстовых фраз успехом не увенчались, после чего системе поручили проанализировать задачу без предварительных подсказок.
ИИ-модель выдвинула гипотезу об использовании распространенных генераторов псевдослучайных чисел (PRNG) из библиотек языка C той эпохи и перебрала 34 варианта алгоритмов в сочетании с разными схемами форматирования вывода. Ключевой уликой послужил старший бит: сразу в четырех сидах из десяти он оказался нулевым во всех двадцати словах, что статистически крайне маловероятно при честном шуме. Такая сигнатура характерна для стандартного генератора lrand48, выдающего старшие 31 бит из своего внутреннего 48-битного состояния.
Дальнейшая реконструкция выполнялась методом сведения задачи к решеткам и алгоритму LLL. Полученные состояния удалось отмотать до инициализирующей функции srand48 и сопоставить с конкретными метками времени Unix. Доказательством корректности служит то, что каждое найденное 48-битное состояние безошибочно генерирует полные 160 бит целевого сида для десяти кривых NIST и спецификации ANSI X9.62. Разработчики опубликовали код верификации под лицензией CC0, сделав расчеты воспроизводимыми для всех желающих.
Границы подтвержденных данных: что осталось недоказанным
Хотя в новостных заголовках результат преподносится как полное раскрытие тайны, авторы исследования четко разграничивают подтвержденные факты и оставшиеся нерешенными нюансы:
- Сиды пяти кривых над простыми полями: происхождение констант P-192, P-224, P-256, P-384 и P-521 полностью доказано. Они были сгенерированы в промежутке между маем 1997 года и апрелем 1998 года с привязкой к Unix-таймстампам (например, для P-256 использовалась 1842-я итерация от метки 1997-08-16 01:52:34 UTC).
- Базовые точки: для шести кривых от мая 1997 года (включая P-192) удалось подтвердить генерацию через утилиту FreeLIP авторства Арьена Ленстры. Это первый случай в истории анализа стандартов NIST, когда происхождение базовых точек получило документальное объяснение. При этом точки для P-224, P-256, P-384 и P-521 до сих пор не расшифрованы.
- Бинарные кривые: сид для кривой B-163 не подошел ни под одну протестированную конфигурацию PRNG и остался загадкой.
- Критерии фильтрации: алгоритм выбора финальных кандидатов неизвестен. В случае P-256 математически пригодная кривая получалась уже на 876-й итерации генератора, но составители почему-то взяли 1842-ю. Аналогично для P-224 были пропущены три подходящих значения, а в материалах ANSI — еще семь.
Необъясненный пропуск кандидатов оставляет теоретическую возможность избирательного подбора параметров. Авторы публикации подчеркивают: работа не утверждает, что бэкдор математически невозможен. Она лишь доказывает, что версия о преднамеренной уязвимости стала существенно менее правдоподобной по сравнению с гипотезой о рутинном процедурном отборе.
Факты о времени генерации и вознаграждении
Широко растиражированные заявления требуют контекстных уточнений. Фраза о решении задачи «менее чем за полчаса» относится исключительно к вычислению сидов пяти базовых кривых, тогда как анализ остальных элементов занял существенно больше ресурсов. Временной интервал тайны также составляет не ровно тридцать лет, а около четверти века: параметры создавались в 1997–1998 годах и были стандартизированы в 2000 году.
Денежная премия в размере 36 864 долларов не учреждалась самой Anthropic. Эту награду еще в 2023 году объявил независимый специалист по криптографии Филиппо Вальсорда с коллегами. Исходный призовой фонд составлял 12 288 долларов, однако правила предусматривали его утроение при передаче средств на общественные цели. В соответствии с регламентом сумма направлена в некоммерческую организацию Internet Security Research Group, развивающую удостоверяющий центр Let’s Encrypt.
Оптимизация квантовых схем с помощью Claude Mythos 5
Во второй научной статье описано тестирование экспериментальной модификации Claude Mythos 5 в роли автономного проектировщика логических квантовых структур. Модель в закрытом цикле оптимизировала восемь вычислительных примитивов, востребованных в квантовой химии, оптимизационных задачах и криптоанализе. Во всех случаях удалось снизить расход логических элементов относительно ранее публиковавшихся академических ориентиров.
Наиболее показательные метрики зафиксированы в двух направлениях:
- Сложение точек эллиптической кривой: одна из спроектированных схем сократила количество логических вентилей (гейтов) в 17 раз, потребовав взамен на 12% больше квантовых битов по сравнению с решениями из работ Шроттенлоера и Ло 2026 года. Синтез занял 53 часа автономной работы модели.
- Декодер Рида — Соломона для алгоритма DQI: число задействованных вентилей снизилось в 12 раз по сравнению с проектными выкладками Google от 2025 года. Объем резервных вспомогательных кубитов удалось уменьшить с 665 всего до 19 штук при допустимой вероятности сбоя около одного раза на 10 000 итераций.
Эти расчеты представляют собой исключительно теоретические ресурсные оценки для гипотетических отказоустойчивых машин будущего, а не физические тесты на текущем оборудовании. Кроме того, декодер в данном случае выполняет классические операции внутри общего алгоритма и не связан с системами квантовой коррекции ошибок (QEC). Верификация велась внешними расчетными симуляторами и формальными доказательствами на языке Lean в сотрудничестве с исследователями из Гарварда.
Примечательно смысловое пересечение обоих анонсов: синтезированная операция сложения точек на эллиптической кривой как раз лежит в основе перспективных методов взлома асимметричной криптографии на квантовых компьютерах. Таким образом, в рамках одного исследовательского пакета представлены данные, реабилитирующие надежность стандартов NIST, и алгоритмические методы, потенциально ускоряющие их будущую компрометацию.
Практические выводы для криптографической защиты
С точки зрения практического применения публикация не требует от системных администраторов или инженеров безопасности срочных действий: заменять действующие сертификаты и ключи ECDSA в продуктовой инфраструктуре нет необходимости. Доказательная база по пяти основным кривым открыта для повторного расчета через выложенный программный код, тогда как статус B-163 и оставшихся базовых точек остается предметом дальнейших исследований в криптографическом сообществе.
