本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
Anthropicは2026年10月16日付の発表で、AI「Claude」の社内研究モデルが、米国立標準技術研究所（NIST）の楕円曲線5種類について、暗号パラメーターの生成に使われた「シード」の由来を30分未満で解明したと明らかにした。1997～1998年のUnix時刻で初期化した乱数生成器の出力から再現できるという。暗号の脆弱性や新しい攻撃の発見ではなく、利用者の対応は不要としている。
古い乱数生成器から5種類のシードを再現
対象はP-192、P-224、P-256、P-384、P-521の5種類。これらは楕円曲線デジタル署名アルゴリズム（ECDSA）などで用いられる標準曲線だ。シードは曲線の係数を決める公開パラメーターの生成に使われるが、その由来は長年説明されていなかった。
Anthropicによると、ClaudeはCライブラリの乱数生成器「lrand48」に着目。Unix時刻を初期化関数「srand48」に渡し、乱数出力から20バイト単位で候補を生成する方法を特定した。
解析には、切り詰められた乱数出力から内部状態を復元する「LLL格子基底簡約」を利用した。同社は再現用コードも公開している。
P-256では、1997年8月16日01時52分34秒UTCを初期化時刻として、第1842候補から標準のシードを再現した。暗号研究者Filippo Valsordaも、生成手順をGoで再実装して結果を確認したと公表している。
シードの選別基準には未解明部分も
シードの生成方法は判明したものの、なぜ特定の候補が採用されたかは完全には説明できていない。
Anthropicによると、P-256では同じ乱数列の第876候補も条件を満たす素数位数曲線を与えるが、標準には第1842候補が採用された。先の候補を除外した理由は不明だ。
一方、P-192とANSI X9.62の例示曲線5種類については、基点の生成方法も特定した。ただし、B-163のシードやP-224、P-256、P-384、P-521、NIST二進体曲線の基点の生成方法は未解明としている。
Anthropicは今回の成果により、意図的に弱い曲線が選ばれた可能性はさらに低くなったと評価している。ただし、すべてのパラメーターの選定経緯が判明したわけではなく、ECDSAの安全性を破る攻撃が発見されたものでもない。
