Claude ไขปริศนา 25 ปีของ seed เส้นโค้ง NIST P-256 สำเร็จ — ไม่ใช่ hash ของวลีลับ แต่เป็นเลขจาก lrand48 ที่ seed ด้วยเวลา Unix ปี 1997 ใช้เวลาไม่ถึงครึ่งชั่วโมง

ตั้งแต่ NIST ประกาศมาตรฐาน FIPS 186-2 ในปี 2000 เส้นโค้งวงรีมาตรฐานอย่าง P-256 ซึ่งใช้ใน TLS, ใบรับรอง HTTPS, passkey และกระเป๋าเงินคริปโตจำนวนมาก มีพารามิเตอร์ “seed” ขนาด 160 บิตที่ NSA ส่งมาโดยไม่บอกว่าได้มาอย่างไร (ของ P-256 คือ C49D3608 86E70493 6A6678E1 139D26B7 819F7E90) เรื่องนี้ทำให้คนในวงการสงสัยกันมา 25 ปีว่ามี backdoor ซ่อนอยู่หรือเปล่า Filippo Valsorda เคยตั้งรางวัล $36,864 ให้คนที่หาที่มาเจอ แต่ไม่มีใครทำได้

วันที่ 16 ต.ค. 2026 ทีม Frontier Red Team ของ Anthropic เผยแพร่บทความ “Claude reveals ECDSA curve origins” ว่ามีพนักงานคนหนึ่งลองถามโมเดลวิจัยภายใน โดยไม่ได้ให้เบาะแสเรื่องวลีลับ Claude ใช้เวลา ไม่ถึงครึ่งชั่วโมง ก็พบว่า seed ของ P-192, P-224, P-256, P-384 และ P-521 ไม่ได้มาจาก hash ใดๆ เลย แต่เป็นเอาต์พุตของ lrand48 ในไลบรารีมาตรฐานภาษา C ที่ seed ด้วย Unix timestamp

Claude หาเจอได้อย่างไร

ข่าวลือเดิมที่ Jerry Solinas จาก NSA เล่าไว้ในปี 2015 คือ seed เป็น hash ของวลีขำๆ ทำนอง “Give Bob and Jerry a raise” พนักงาน Anthropic หลายคนเคยลองตามแนวนี้แล้วไม่สำเร็จ Claude เลือกอีกทาง คือสมมติว่าซอฟต์แวร์ยุค 1990 น่าจะใช้ PRNG ที่มากับไลบรารี C ซึ่งอ่อนพอจะจับรูปแบบได้

• Claude เขียน scanner ที่เลื่อนไปตาม seed ทีละบิต เพื่อทดสอบ 34 ชุดผสมระหว่าง generator กับวิธีตัดบิต แล้วสังเกตว่า seed 4 ใน 10 ตัวมีบิตบนสุดเป็น 0 ทั้ง 20 word ซึ่งโอกาสเกิดโดยบังเอิญคือ 1 ใน 5,810 และเป็นลายเซ็นของ lrand48 ที่คืนค่าแค่ 31 บิตบนจาก state ขนาด 48 บิต
• สำหรับ seed กลุ่มนี้ (เส้นโค้ง binary) Claude ไล่ค่า 17 บิตที่ซ่อนอยู่ครบทั้ง 2¹⁷ แบบ แล้วตรวจว่า word ถัดไปตรงกัน
• seed ของเส้นโค้ง prime ใช้รูปแบบ lrand48() >> 23 ซึ่งเหลือบิตน้อยกว่า การกู้ state ของ LCG ที่ถูกตัดบิตเป็นโจทย์ lattice แบบตำรา Claude จึงแก้ด้วย LLL แล้ววนแบบนี้ซ้ำทุก window เพราะไม่รู้ว่า seed แสดงบิตช่วงไหนของ state
• จากนั้นย้อน LCG กลับจนถึง state ที่ srand48 ตั้งไว้ (16 บิตล่าง = 0x330E) ผลคือ seed ของเส้นโค้ง prime ทั้ง 10 ตัวย้อนไปถึง timestamp ระหว่าง พ.ค. 1997 ถึง เม.ย. 1998 เช่น P-256 = 1997-08-16 01:52:34 และเป็น candidate ลำดับที่ 1,842

Anthropic เผยแพร่โค้ด Python ราว 30 บรรทัดที่สร้าง seed ทั้งหมดขึ้นมาใหม่ได้ เราลองรันเฉพาะส่วนของ P-256 แล้ว ได้ C49D360886E704936A6678E1139D26B7819F7E90 ตรงกับค่ามาตรฐานทุกไบต์ เมื่อเทียบ seed 160 บิตกับ timestamp 32 บิตและเลขลำดับไม่มาก โอกาสที่จะตรงกันโดยบังเอิญแทบเป็นศูนย์

ผลพลอยได้และคำถามที่ยังเหลือ

• Claude ยังอธิบายที่มาของ base point ได้ 6 เส้นโค้ง (P-192 และเส้นโค้งตัวอย่างใน ANSI X9.62 อีก 5 เส้น) ว่ามาจาก RNG ในไลบรารี FreeLIP ของ Arjen Lenstra เช่น P-192 ใช้ seed 20000 Anthropic บอกว่าเท่าที่รู้ ยังไม่เคยมีใครอธิบาย base point ของ NIST ได้มาก่อน
• ยังอธิบายไม่ได้: seed ของ B-163 และ base point ของ P-224/256/384/521 รวมถึงเส้นโค้ง binary
• จุดที่น่าสนใจที่สุดคือในการรันของ P-256 มี candidate ลำดับที่ 876 ที่ให้เส้นโค้งซึ่งใช้ได้เหมือนกัน แต่ถูกข้ามไป และ P-224 ก็ข้ามไป 3 ตัว Anthropic ยอมรับว่าไม่รู้ว่าใช้เกณฑ์อะไรเลือก แต่ประเมินว่าจำนวนที่ข้ามน้อยเกินกว่าจะใช้ซ่อนเส้นโค้งที่อ่อนแอได้

Anthropic ย้ำว่านี่ “not a cryptographic break” ผู้ใช้ไม่ต้องทำอะไร และผลนี้ทำให้มั่นใจขึ้นว่าเส้นโค้งไม่มี backdoor เงินรางวัลจะบริจาคให้ Internet Security Research Group (ผู้ดูแล Let’s Encrypt)

มุมมอง AI Curator

ในแง่ความปลอดภัย ข่าวนี้ไม่ได้เปลี่ยนอะไร ระบบ TLS, PKI และ passkey ที่ใช้ P-256 ในธนาคาร หน่วยงานรัฐ และแอปในไทยไม่ต้องย้ายไปไหน และยิ่งมีเหตุผลน้อยลงที่จะกังวลเรื่อง backdoor แต่ในแง่ความสามารถของ AI นี่เป็นตัวอย่างที่ชัดเจนมาก งานนี้ไม่ใช่การท่องคำตอบที่มีอยู่แล้ว เพราะคำตอบไม่เคยมีใครรู้ ข่าวลือที่มีอยู่ก็ชี้ผิดทาง และวิธีที่ได้ผลต้องเชื่อมความรู้หลายส่วน ทั้งประวัติ libc ยุค 90, ลายเซ็นทางสถิติของ LCG และ lattice reduction แล้วตรวจคำตอบด้วยการคำนวณจริง ตัวโมเดลเองก็สงสัยว่าตัวเองอยู่ในสภาพแวดล้อมทดสอบหรือเปล่า ก่อนจะยืนยันจากการที่บิตตรงกันทั้ง 160 บิต ซึ่งเป็นนิสัยที่ดีของนักวิจัย

ประเด็นที่ทีม security ควรคิดต่อคือฝั่งกลับของเรื่องนี้ ถ้าโมเดลกู้ state ของ PRNG ที่อ่อนจากเอาต์พุตได้ภายในครึ่งชั่วโมง ระบบเก่าที่ยังใช้ rand(), lrand48 หรือ Math.random() ออก token, OTP หรือ session ID ก็ถูกตรวจเจอได้ง่ายขึ้นมาก ทั้งโดยฝ่ายป้องกันและฝ่ายโจมตี นี่เป็นจังหวะดีที่จะใช้ AI ไล่ตรวจโค้ดเก่าในองค์กรหาจุดที่ใช้ PRNG ผิดประเภท ก่อนที่คนอื่นจะทำแทน

แหล่งข่าว

• Claude reveals ECDSA curve origins — Anthropic
• NIST Elliptic Curves Seeds Bounty — Filippo Valsorda