ClaudeがNIST楕円曲線のシードを解明｜P-256の出自は1997年の時刻と乱数、安全性への影響も整理

AnthropicのClaudeが、NISTの楕円曲線（P-192／P-224／P-256／P-384／P-521）の「シード」がどう作られたかを突き止めました。シードは英文のハッシュではなく、Cライブラリの乱数生成器 lrand48 を1997〜98年のUnix時刻で初期化した出力でした。Anthropicは「暗号の破れでも曲線の弱点でもない」としており、P-256などを使っている人が取るべき対応はありません。

この記事でわかること

• 何が解明されたのか（通説と今回わかったことの違い）
• Claudeがどんな手順で、どれくらいの時間で答えにたどり着いたか
• 曲線ごとのシード生成時刻の一覧
• まだ解明されていない点
• HTTPS・パスキーなどでP-256を使う人に影響はあるか
• AIの研究能力として、この成果をどう受け止めればよいか

こんな人に向けた記事です

• ニュースで「Claudeが25年来の暗号の謎を解いた」と見て、中身を知りたい人
• 自社システムや証明書でECDSA（P-256／P-384）を使っていて、対応が必要か確かめたい人
• AIが専門的な研究をどこまでできるのかを知りたい人

一次情報は、Anthropicの研究記事「Claude reveals ECDSA curve origins」と、懸賞を出していた暗号技術者Filippo Valsorda氏の「seeds solved」です。どちらも2026年10月16日に公開されました。

シードの正体は「lrand48＋1997年の時刻」で、利用者の対応は不要

今回わかったのは、NIST曲線のシードが「1990年代のありふれた乱数生成器を、そのときの時刻で初期化して出した値」だったという事実です。新しい攻撃が見つかったわけではありません。

Anthropicは研究記事で次のように明言しています。

This is not a cryptographic break, new attack, or weakness in the ECDSA curves.

（これは暗号の破れでも、新しい攻撃でも、ECDSA曲線の弱点でもない）

あわせて「取るべき対応や変えるべきことはない」とも書いています。むしろ、シードが単純で再現できる手順から生まれていたことがわかり、「NSAが曲線にバックドアを仕込んだのではないか」という長年の疑いは、これまでより成り立ちにくくなりました。

ただし、「解明」されたのはシードの生成方法です。主要曲線のベースポイント（基準点）の由来など、まだ説明がつかない点も残っています。

そもそも「NIST楕円曲線のシード」とは何か

NIST楕円曲線は、HTTPSの証明書やパスキーなどで広く使われている楕円曲線暗号の標準パラメータです。その曲線を決める元になった20バイトの値が「シード」で、これまで出自が説明されていませんでした。

基礎用語をひとことで

なぜシードが「謎」だったのか

2000年に公表されたFIPS 186-2の曲線は、ANSI X9.62の「検証可能な乱数」という方式で作られています。シードをSHA-1にかけて曲線のパラメータを導くので、「シードから曲線が出てくること」は誰でも確かめられます。

問題は、そのシードをどう選んだかが説明されていなかったことです。シードを好きなだけ選び直せるなら、弱い曲線が出るまでやり直して「検証可能な乱数で作りました」と見せかけることもできます。Bernstein氏とLange氏らの研究（いわゆるBADA55）は、この手口が理論上成り立つことを示していました。

シードはNSAが提供し、1997年にNSAのJerry Solinas氏（2023年死去）が生成したとされています。NSAが関わった乱数規格Dual_EC_DRBGにバックドアの疑いがかかり、NISTが撤回した経緯もあって、「NIST曲線は信用できるのか」という議論が長く続いてきました。FIPS 186-2の公表から数えて約25年のあいだ、この問いに決着はついていませんでした。

通説と今回わかったことの違い

出典: Filippo Valsorda「seeds solved」

これまでは「ユーモラスな英文をハッシュした値」と説明されていましたが、実際はハッシュ値ではありませんでした。

Anthropicの社員も以前「英文のハッシュ」の線で探したものの、見つからなかったそうです。今回の結果を受けて、Anthropicはこの通説を誤りだったと結論づけています。

Claudeはどうやって解いたのか

出典: Anthropic 公式

社員が社内の研究用モデルに「シードの生成方法を割り出せるか」と尋ねたところ、Claudeは30分足らずで答えにたどり着きました。社員は既知の手がかりを与えていません。

使われたモデル

Anthropicの記事は「an internal research model（社内の研究用モデル）」と書いているだけで、モデル名は公表していません。一般向けに提供されているClaude Opus 5.5や、セキュリティ研究で話題になったClaude Mythosと同じものかどうかはわかりません。ClaudeそのものについてはClaudeの総合解説「Claudeとは」にまとめています。

解明までの6ステップ

Anthropicの記事によると、流れは次のとおりです。

1. 仮説を立てる：1990年代のCライブラリの弱い乱数が使われていて、その出力の特徴は見分けられるはずだと考えた
2. スキャナを書く：公表されたシードを1ビットずつずらしながら、連続した乱数出力に見えるかを調べるプログラムを書いた。試した生成器と切り出し方の組み合わせは34通り
3. 異常に気づく：一部のシードで、32ビットごとの最上位ビットがすべて0になっていた。偶然なら約5,810分の1の確率。これは48ビットの状態の上位31ビットを返す lrand48 の特徴と一致した
4. バイナリ曲線は総当たり：隠れた17ビット（2^17通り）を総当たりで復元した
5. 素数曲線は格子で復元：1出力あたりの手がかりが少ないため、LLLアルゴリズムで内部状態を復元した
6. 時刻を読む：復元した状態を srand48 で初期化した直後まで巻き戻し、初期化に使われたUnix時刻を読み取った

海外メディアのUnite.AIは、Claudeの推論ログに「偶然ではありえない（10 × 160ビット）。本物だ」という趣旨の記述があったと伝えています。

「30分」の意味

30分足らずというのは、答えにたどり着くまでの時間です。その後の検証、再現コードの整備、記事の執筆には人間の研究者があたっています。著者には暗号研究者のHenry de Valence氏、Nicholas Carlini氏、Steve Weis氏ら、Anthropicの10名が名を連ねています。

曲線ごとのシード生成時刻一覧

公表されたシードは、それぞれ特定の日時に初期化された乱数から作られていました。次の表はAnthropicの再現コードの出力で、Valsorda氏の記事とも一致しています。

いま最も広く使われているP-256は、1997年8月16日（UTC）に動かしたプログラムの1842番目の候補でした。

バイナリ曲線のB-233／B-283／B-409／B-571は、記録された値を「時刻の半分」と読むと1998年4月17日15時24〜32分ごろになり、P-224の約2週間後にあたります。そのまま読むと1984年2月になってしまうため、Anthropicは「プログラムが時刻を半分にしていた可能性がある」と書いています。ここは仮説の段階です。

ベースポイントの一部も判明

シードとは別に、P-192と、ANSI X9.62の例示曲線5つ（prime192v2／v3、prime239v1／v2／v3）のベースポイントも由来がわかりました。Arjen Lenstra氏の長整数ライブラリFreeLIPの乱数を、小さな整数（P-192では20000など）で初期化して作られていました。初期のNTL（Victor Shoup氏のライブラリ）にも同じコードが入っています。Anthropicは、NIST曲線のベースポイントの由来が説明されたのはこれが初めてだとしています。

解明できたこと・まだ謎のこと

シードの作り方はほぼ明らかになりましたが、すべてが解けたわけではありません。

気になるのは「飛ばされた候補」です。P-256を生成した実行では、876番目の候補も条件を満たす曲線になるのに採用されていません。P-224では3つ、ANSIの実行では7つが同じように飛ばされています。

Valsorda氏によると、文書に書かれていない棄却条件が2つありました。1つは「曲線の位数nのビット長が基礎体pのビット長を超えたら棄却する」というもので、もう1つはまだ説明がついていません。

なお、今回の成果は査読論文ではなくブログでの発表です。Valsorda氏がGoで独自に再実装してアルゴリズムを確認していますが、他の暗号研究者による検証や論評は、2026年10月17日時点では主なものが出ていません。

P-256を使っている人への影響は？利用シーン別に整理

出典: Let's Encrypt 公式サイト

どの利用シーンでも対応は不要です。曲線のパラメータは何も変わっておらず、新しい攻撃方法も見つかっていません。

なぜ「バックドアの可能性が下がった」と言えるのか

カギになるのは「シードを選ぶ側にどれだけ自由があったか」です。

Bernstein氏とLange氏の2017年の研究では、シードを選ぶ側に約70ビットの自由度があれば、弱い曲線の一群を狙って選び出せるとされていました。

Valsorda氏の試算では、今回の手順で選ぶ側に残っていた自由は約30ビットしかありません。1997〜98年のどの時刻でも選べて、素数位数を持つ最初の16候補のどれでも選べたと、かなり甘く見積もってもこの程度です。70ビットと30ビットの差は、2の40乗倍（約1兆倍）にあたります。この数字から、Valsorda氏はBernstein氏らが示した手法は「完全に否定される」とし、NSAだけが使える種類のバックドア（NOBUS型）も成り立たないと述べています。

Anthropicも、弱い曲線は簡単には見つからないので、候補を飛ばして弱い曲線を選んだとは考えにくいとしています。

専門家の個人的な見解

Valsorda氏は個人の見解として、「今ならNIST曲線（P-256を含む）をCurve25519／Ed25519／X25519より勧める」と書いています。ただし、これは一人の専門家の意見です。どちらの曲線も現時点では安全とされているので、今回のニュースだけを理由に既存システムの曲線を入れ替える必要はありません。どちらもいずれは耐量子暗号への置き換えが進む見込みです。

懸賞金36,864ドルはLet's Encryptの運営団体へ

出典: ISRG 公式サイト

謎の解明には懸賞金がかけられていました。Anthropicのチームが受け取る懸賞金36,864ドルは、全額がLet's Encryptを運営するISRG（Internet Security Research Group）に寄付されます。

12,288ドルの3倍で36,864ドルという計算です。再現用のPythonスクリプト（シードの再現・ベースポイントの再現の2本）は、Anthropicの記事内にCC0 1.0（パブリックドメイン）で公開されています。

AIの研究能力として見たときの意味

今回の成果で注目したいのは、Claudeが仮説を立て、検証用のコードを書き、統計的な異常に気づき、格子簡約で状態を復元するところまで、人の誘導なしに進めた点です。手順そのものは暗号研究者が使ってきた手法ですが、それを組み合わせて30分足らずで答えにたどり着いています。

Claudeによる暗号関連の研究成果は、ここ数か月で続いています。

Anthropicは脆弱性の発見と防御にAIを使う取り組みとしてProject Glasswingも進めています。

一方で、受け止め方には注意が要ります。

• 使ったモデルは非公開：一般向けのClaudeで同じことができるとは限りません
• 検証は人間が担当：30分は発見までの時間で、その後の確認には専門家の時間がかかっています
• 査読前：外部の暗号研究者による独立した検証はこれからです
• 未解明の点も残る：AIが謎をすべて解いたわけではありません

業務でAIを使う立場から見ると、今回の事例は「専門家が問いを立て、AIが仮説検証を高速に回し、人間が結果を確かめる」という分担の形がうまく機能した例と言えます。データ分析や調査業務で、新しいモデルや機能を自社の業務システムに組み込むときの方法と費用の目安は「既存システムにAIを組み込む方法」で整理しています。

AIをセキュリティ業務に使う場面については、サイバーセキュリティ業界のAI活用や、Anthropicのセキュリティ向け製品をまとめたClaude Securityとはも参考になります。AIを使う側のリスク管理は生成AIのセキュリティリスクで扱っています。

このニュースを押さえておきたい人・気にしなくてよい人

押さえておきたい人

• 社内で暗号方式の選定やポリシー策定をしている人：「NIST曲線は危ないのでは」と聞かれたときに、今回の結果と「対応不要」の根拠を説明できる
• セキュリティ担当者・PKIの運用者：P-256／P-384の採用理由を説明する材料が一つ増える
• AIの研究活用を検討している人：AIが専門研究のどこで力を発揮し、どこに人の確認が要るのかを知る具体例になる
• 暗号の歴史や標準化の経緯に関心がある人：約25年続いた論争の一区切りにあたる

気にしなくてよい人

• HTTPSのサイトを閲覧したり、パスキーでログインしたりしているだけの人：何も変わらないので、設定を見直す必要はない
• 今回のニュースを理由に曲線を入れ替えようとしている人：その必要はない。将来の移行は耐量子暗号への切り替えとして計画する
• 「AIが暗号を破った」と心配している人：今回見つかったのは過去のシードの作り方で、暗号を破る方法ではない

よくある質問

Q. 今回の発見で、P-256で作った鍵や証明書は危なくなりましたか？

いいえ。Anthropicは「暗号の破れでも、新しい攻撃でも、曲線の弱点でもない」と明言しています。わかったのは曲線のパラメータが決まった経緯で、鍵を解読したり署名を偽造したりする方法は見つかっていません。証明書の再発行や鍵の作り直しは不要です。

Q. 一般向けのClaudeでも同じ研究ができますか？

わかりません。使われたのは社内の研究用モデルで、名前は公表されていません。公開されている再現コードを読み解いたり、解説を頼んだりすることは一般向けのClaudeでもできますが、未知の問題を同じ速さで解けるかは別の話です。

Q. 「25年来の謎」と「29年」の両方の表記を見かけます。どちらが正しいですか？

数え方の違いです。曲線を載せたFIPS 186-2の公表（2000年）から数えると約25年、シードが生成された1997年から数えると約29年になります。

Q. Solinas氏の「英文をハッシュした」という説明は嘘だったのですか？

意図はわかりません。Solinas氏は2015年に記憶をもとに説明しており、本人は2023年に亡くなっています。記憶違いだった可能性もあり、Anthropicも「通説は誤りだった」と結論づけるにとどめ、意図には踏み込んでいません。

Q. 結局、NSAのバックドアはなかったと言い切れますか？

言い切ることはできませんが、可能性はかなり低くなりました。シードを選ぶ側の自由度が約30ビットしかなく、弱い曲線を狙うのに必要とされた約70ビットに遠く及ばないためです。ただ、主要曲線のベースポイントの由来や、飛ばされた候補の基準など、説明のつかない点はまだ残っています。

Q. 再現コードはどこで見られますか？

Anthropicの研究記事「Claude reveals ECDSA curve origins」の本文中に、Pythonスクリプトが2本掲載されています。ライセンスはCC0 1.0で、自由に使えます。

まとめ

• AnthropicのClaude（社内の研究用モデル）が、NIST楕円曲線のシードは lrand48 を1997〜98年のUnix時刻で初期化した乱数だったことを突き止めた
• 通説だった「英文のハッシュ」は誤りで、P-256は1997年8月16日に動かしたプログラムの1842番目の候補だった
• 暗号の破れではなく、HTTPS・パスキー・SSHなどでP-256やP-384を使う人に対応は不要
• 選ぶ側の自由度は約30ビットしかなく、バックドアの可能性はこれまでより低くなった
• 主要曲線のベースポイント、B-163のシード、飛ばされた候補の基準はまだ謎のまま
• 懸賞金36,864ドルはLet's Encryptを運営するISRGへ寄付される

外部の暗号研究者による検証や、残る謎の進展があれば、この記事にも反映していきます。Claudeのモデルや機能の全体像は「Claudeとは」、生成AI全般の基礎は「生成AIとは」で確認できます。