20년 넘게 암호학자들은 보안에서 가장 널리 쓰이는 숫자 몇 개가 어디서 왔는지 궁금해했습니다. 2000년에 표준화돼 웹 전역에서 디지털 서명에 쓰이는 NIST 타원곡선 P-192, P-224, P-256, P-384, P-521은 각각 공개된 시드에서 정의됐지만, 그 시드의 출처는 한 번도 설명되지 않았습니다. 시드가 만드는 방법 없이 NSA에서 왔기 때문에 약점이 숨어 있을지 모른다고 의심하는 사람도 있었습니다. Anthropic의 Frontier Red Team은 내부 Claude 모델이 이제 그 생성 방법을 밝혀냈으며, 답은 평범했다고 말합니다.
시드는 소문처럼 어떤 문구의 해시값이 아니었습니다. 1990년대 C 라이브러리의 난수 생성기 lrand48을 Unix 타임스탬프로 초기화해 나온 날것의 출력이었습니다. Anthropic의 한 직원이 이전 단서를 언급하지 않고 출처를 찾아 달라고 하자, 모델은 30분도 안 돼 답에 이르렀습니다. 각 시드의 조각이 오래된 생성기의 연속 출력처럼 보이는지 검사하는 스캐너를 쓰고, 일부 시드의 최상위 비트가 우연으로 보기 어려울 만큼 자주 0이라는 점을 알아챘으며, 소수체 곡선 시드에 대해서는 표준 격자 기법으로 생성기의 숨은 상태를 복원했습니다. 생성기를 거꾸로 돌리자 모든 시작점이 1997년 5월부터 1998년 4월 사이의 타임스탬프였습니다. P-256의 시드는 그 실행의 1,842번째 후보였고, 복원한 각 상태는 시드의 160비트 전체를 다시 만들어 내므로 우연은 배제됩니다.
이 발견은 신뢰를 해치기보다 높입니다. Anthropic은 이것이 암호 붕괴나 새로운 공격이 아니라고 강조합니다. 약한 생성기를 타임스탬프로 돌려 얻은 시드라면 누군가 일부러 결함 있는 곡선을 찾았을 여지가 거의 없기 때문입니다. 덤으로 모델은 P-192와 관련된 ANSI 예시 곡선 다섯 개의 기준점이 Arjen Lenstra의 라이브러리 FreeLIP의 난수 생성기에서 나왔다는 점도 밝혔습니다. Anthropic은 NIST 기준점이 설명된 것 은 이번이 처음이라고 봅니다.
독자가 할 일은 없습니다. P-256과 그 형제 곡선들은 이미 널리 신뢰받아 왔고, Anthropic도 아무 조치가 필요 없다고 분명히 말합니다. 흥미로운 것은 방법입니다. 추측을 무작정 대입하지 않고 1990년대 소프트웨어가 어떻게 작동했을지 추론한 모델이, Anthropic 직원들의 이전 시도를 포함해 사람의 노력으로 풀리지 않던 수수께끼를 풀었습니다.
남은 질문도 있습니다. 쓸 수 있었던 후보 몇 개가 건너뛰어졌습니다. P-256의 경우 같은 실행의 876번째 후보도 적합한 곡선을 만들었을 것이고 선택 규칙은 알려지지 않았지만, Anthropic은 건너뛴 수가 너무 적어 의도적 약화를 시사하지 않는다고 주장합니다. 이진체 곡선 시드 하나인 B-163은 시도한 어떤 방법에도 맞지 않았고, P-224, P-256, P-384, P-521의 기준점도 여전히 설명되지 않았습니다. 재현용 코드가 공개돼 있어 다른 사람들도 확인할 수 있습니다.