Anthropic affirme que son modèle Claude a résolu en moins de trente minutes une énigme cryptographique vieille de vingt-cinq ans : l’origine des germes des courbes elliptiques normalisées par le NIST, fournis par la NSA. Il ne s’agit pas d’une faille, et le bitcoin, qui repose sur une autre courbe, n’est pas concerné.
🔑 En bref
- Claude a retrouvé l’origine des germes des courbes NIST, restée inexpliquée depuis leur adoption en 2000.
- Les germes proviennent d’un générateur pseudo-aléatoire classique (lrand48) initialisé par des horodatages Unix de 1997 et 1998.
- Aucune nouvelle attaque : les courbes actuellement déployées ne sont pas affaiblies et aucune action n’est requise.
- Le bitcoin utilise la courbe secp256k1, distincte, et n’est pas touché ; la menace quantique reste un sujet séparé.
Un mystère de vingt-cinq ans
Les courbes elliptiques sont au cœur de la cryptographie à clé publique, qui sécurise une grande partie d’Internet ainsi que les portefeuilles de bitcoin. En 2000, le NIST (National Institute of Standards and Technology) a adopté un ensemble de courbes dont les paramètres de départ, appelés germes (seeds), avaient été fournis par la NSA. Ces germes étaient publics, mais leur origine n’a jamais été documentée.
Le soupçon s’est installé après les révélations d’Edward Snowden sur les efforts de l’agence pour affaiblir les normes cryptographiques. En 2015, les cryptographes Neal Koblitz et Alfred Menezes ont publié l’article « A Riddle Wrapped in an Enigma », qui analysait cette controverse. Menezes, qui avait contribué à la norme initiale, se souvenait avoir reçu ces germes du mathématicien de la NSA Jerry Solinas en 1997. Solinas est décédé en 2023, laissant cette piste inexploitée.
Une enquête restée sans réponse
Le chercheur en sécurité Steve Weis a tenté pendant des années de retrouver la provenance des germes, notamment en déposant des demandes de registres publics en 2018. Le NIST a répondu ne posséder aucune documentation, tandis que la NSA a cessé de répondre. En 2023, l’ingénieur cryptographe Filippo Valsorda et d’autres contributeurs ont mis en jeu une récompense de 12 288 dollars, portée à plus de 36 000 dollars en cas de don à une œuvre caritative. La prime est restée sans réclamant jusqu’à ce que Claude s’intéresse au problème.
Cette année, un employé d’Anthropic a confié le problème au modèle interne Claude, sans lui transmettre la théorie antérieure d’un éventuel « mot de passe humoristique ». Le modèle a choisi une autre voie : il a supposé que les courbes avaient été générées avec des générateurs de nombres pseudo-aléatoires intégrés aux bibliothèques du langage C de l’époque.
Une méthode inédite : des horodatages au lieu du hasard
Le motif révélateur
Claude a écrit un programme de balayage couvrant 34 combinaisons de générateurs et de méthodes de troncature. Il a repéré une anomalie : dans certains germes, les bits de poids fort étaient tous à zéro. Parmi dix germes écrits en cinq mots de 32 bits, quatre présentaient ce schéma sur 20 mots de 32 bits, soit une probabilité aléatoire d’environ 1 sur 5 800. Ce motif est caractéristique de lrand48, qui ne restitue que les 31 bits de poids fort de son état interne de 48 bits.
Reconstituer l’état caché
Pour retrouver l’état masqué, Claude a testé exhaustivement les 2^17 possibilités pour les 17 bits manquants, puis vérifié si les quatre mots suivants se succédaient correctement. La méthode a fonctionné pour les quatre germes. Pour les courbes premières, le modèle a dû résoudre un problème de réseau (réseau cristallin) grâce à l’algorithme de réduction de base LLL, afin de retrouver l’état interne à partir d’un nombre limité de bits conservés. Au final, les dix germes des courbes premières du NIST et les cinq germes de la norme ANSI X9.62 ont tous été régénérés à partir de leur état interne de 48 bits, avec une correspondance exacte qui ne peut relever du hasard.
Remonter le temps
En remontant à partir de chaque état, Claude a constaté que tous les états initiaux de srand48 pouvaient s’interpréter comme des horodatages Unix, concentrés entre mai 1997 et avril 1998. Les résultats principaux sont résumés ci-dessous.
| Courbe | Élément retrouvé | Lecture proposée |
|---|---|---|
| P-256 | 1 842e candidat de lrand48 | Horodatage du 16 août 1997, 01:52:34 |
| P-192 | 139e candidat | Horodatage du 18 mai 1997 |
| Courbes binaires | États initiaux | Avril 1998, horloge possiblement divisée par deux |
| B-163 | Germe | Non expliqué |
D’autres germes correspondent à des valeurs comme 20 000, 20 420, 20 507, 20 509, 20 512 ou 20 517, qui renvoient à des intervalles de temps. Les états des courbes binaires pointent vers avril 1998, ce qui suggère que le programme d’origine divisait peut-être l’horloge système par deux.
Les points de base
Le modèle a aussi retrouvé l’origine des points de base de six courbes, dont P-192. Ils ont été produits par le générateur de nombres aléatoires de FreeLIP, logiciel de calcul sur grands entiers développé par Arjen Lenstra. Aucun processus de génération des points de base des courbes NIST n’avait été ainsi expliqué auparavant.
« C’est stupéfiant : cela résout le mystère vieux de 25 ans. »
« Wow, c’est une vraie découverte. »
Claude, modèle d’Anthropic
Pas de faille, mais des zones d’ombre
Anthropic insiste : la résolution ne constitue pas une faille cryptographique.
« Il ne s’agit ni d’une cassure cryptographique, ni d’une nouvelle attaque, ni d’une faiblesse dans les courbes ECDSA. »
Anthropic, billet de blog
La possibilité de reproduire le processus réduit considérablement l’espace d’une manipulation cachée, rendant l’hypothèse d’une porte dérobée intentionnelle beaucoup moins plausible. Aucune action n’est requise pour les utilisateurs des courbes NIST.
Certaines questions restent ouvertes :
- Le germe de la courbe B-163 n’a pas pu être expliqué.
- Les méthodes de génération des points de base pour P-224, P-256, P-384 et P-521 demeurent inconnues.
- Pour P-256, le 876e candidat répondait aux critères, mais le 1 842e a été retenu. Ce nombre de candidats ignorés reste trop faible pour étayer l’hypothèse d’une sélection délibérée.
La récompense de 36 864 dollars sera versée à l’Internet Security Research Group, association à but non lucratif derrière Let’s Encrypt. Valsorda a réimplémenté la solution en Go et confirmé la correspondance, tandis que le code Python permettant de reproduire les germes a été publié sous licence CC0 (domaine public).
Bitcoin : une autre courbe, un autre risque
Le bitcoin n’est pas touché. Le réseau utilise la courbe secp256k1, définie par deux petits nombres fixes qui laissent peu de marge à une faiblesse cachée. Satoshi Nakamoto n’a jamais expliqué ce choix, et la courbe était rarement utilisée avant que le bitcoin ne la popularise. Ethereum l’a également adoptée.
Cette simplicité est souvent citée comme un atout, mais une menace différente persiste : un ordinateur quantique suffisamment puissant pourrait calculer une clé privée à partir d’une clé publique visible sur la blockchain, quelle que soit la courbe retenue. Google a récemment annoncé que sa puce Willow réduisait d’environ 40 fois les erreurs dans l’une des étapes les plus coûteuses d’un tel calcul. Aucun calendrier précis n’est toutefois fixé pour la réalisation d’un tel ordinateur.
Conclusion : une avancée historique, sans alerte
La résolution du mystère des germes du NIST par Claude ne révèle aucune nouvelle vulnérabilité dans les courbes elliptiques actuelles. Elle apporte en revanche un éclairage historique sur la genèse de paramètres normalisés utilisés depuis plus de vingt ans, et renforce la confiance qu’on peut leur accorder. Elle illustre aussi la capacité d’Anthropic à utiliser l’IA comme outil de recherche sur des problèmes fondamentaux de cryptographie.
Trois scénarios se dessinent. Dans le cas de base, les équipes cryptographiques publient leurs propres vérifications et les standards restent inchangés. Dans un scénario favorable à la transparence, d’autres chercheurs appliquent des méthodes comparables à des normes voisines et comblent les zones d’ombre restantes. Dans un scénario défavorable, une anomalie plus sérieuse serait identifiée dans des paramètres jusque-là peu examinés, ravivant le débat sur la transparence des normes. Pour le bitcoin, l’impact direct reste nul à ce stade ; le sujet de fond demeure la préparation à long terme à la cryptographie post-quantique.
Sources
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
