John Wood 等 · Anthropic Frontier Red Team · 阅读原文
原始来源：John Wood 等 · Anthropic Frontier Red Team
发现渠道：Hacker News · 原始讨论
ECDSA 是一类用椭圆曲线完成数字签名的方法。NIST 在2000年发布的标准给出了曲线参数和生成参数的种子，却未解释种子最初如何产生。过去有人沿“幽默短语的哈希”查找；Anthropic 这次报告，内部研究模型换了方向，检查1990年代常用伪随机数生成器留下的位模式。伪随机数由有限内部状态确定，找到状态便能重建整段输出。
模型从部分曲线种子的最高位规律识别出 C 库 lrand48，再枚举隐藏位；对于只保留每次输出一个字节的另一批种子，则用 LLL 格基约简——把整数关系中的隐藏结构找出来——恢复状态。逆推初始化后，十个采用模素数运算的曲线种子对应1997至1998年的时间戳。例如 P-256 对上1997年8月16日的一次初始化及第1842个候选；其公布种子也能与旧标准核对。
这是参数来历的解释。团队没有报告签名被破解，并明确保留未知项：P-256 的更早可行候选为何被跳过、B-163 种子为何不匹配，以及若干基点怎样选择，仍未解释。
可信度 65 · 重要性 81 · 新颖度 79
技术与主题
评测与基准 · 推理能力 · Cryptographic Provenance · PRNG State Recovery · Lattice Reduction
fidotron
针对同一篇参数来源报告的分析；未提供独立攻击或重建实验。
忠实转述（非原句）：他认可这确认了产生方式，却认为无法据此说明为何选中这些参数：生成跨越数月，未公开的弃选候选仍不可见。他也不同意“若要制造可信来历，就应当时公布时间戳”是必然推论；保持沉默也可能达到目的。
matthewdgreen
回应同串关于弱曲线筛选的假设；身份按公开账号记录，不另凭名气提分。
忠实转述（非原句）：他的反驳是：若这么小的搜索就能遇到可利用的弱曲线，弱曲线类别必须非常多；那将涉及椭圆曲线密码本身更大的问题。该评论给出判断理由，没有提供针对本次曲线的新攻击或完整概率计算。
编辑评读
我认为最有价值的进展，是把一段无法询问原作者的历史变成可核对的生成规则。时间戳、迭代次数与完整种子之间的对应比“模型说自己发现了”更有内容，也不依赖相信其自述思考。但这只重建了一条能得到现有参数的路径，没有恢复所有曾被生成、审查和丢弃的候选。原文承认存在跳过的可行曲线，因而“生成方式简单”还不能自动推出“选择过程没有自由度”。
HN 的 fidotron 强调遗漏的选择记录，matthewdgreen 则认为要靠这种小规模搜索选中弱曲线，需要弱曲线类极多。两人并非在争论数值能否匹配，而是在赋予未见历史不同的先验合理性。前者的反例并未发现后门，后者的判断也不等于完整安全证明。比追随任一极端更有用的后续，是查到当年的筛选条件或新恢复的候选记录；在此之前，把结果用于解释来源，别扩大成新的部署结论。
需要留意
- 能重建已选种子，不能据此重建全部筛选历史；不是新的密码攻击。