Claude、25年来のNSA由来「楕円曲線の謎」を30分以内に解明 NIST暗号標準のシード生成手順を再現|セキュリティとAIのニュース-セキュリティ対策Lab

投稿日時: 2026年10月19日更新日時: 2026年10月19日

米Anthropicは2026年10月16日、AIモデル「Claude」が、米国家安全保障局（NSA）が提供した楕円曲線暗号の標準パラメータについて、約25年間明らかになっていなかった生成手順を30分以内に突き止めたと発表しました。対象は、米国立標準技術研究所（NIST）の電子署名規格で使われるP-192、P-224、P-256、P-384、P-521の5種類です。Claudeは、1990年代から存在するC言語の疑似乱数生成器とUnix時刻から、公開済みのシード値を再現することに成功しました。

今回解明されたのは公開パラメータの由来であり、秘密鍵の復元や電子署名の偽造に成功したわけではありません。Anthropicは、新たな攻撃手法やECDSAの脆弱性を見つけたものではなく、利用者に設定変更などの対応は必要ないと説明しています。

ClaudeによるNIST楕円曲線の生成手順解明のサマリー

Anthropicは2026年10月16日、研究報告「Claude reveals ECDSA curve origins」を公表しました。
同社の社内研究モデル「Claude」が、30分以内にNISTの素数体上の楕円曲線5種類のシード生成手順を発見しました。
シードは、C言語ライブラリの疑似乱数生成器lrand48をUnix時刻で初期化し、その出力から作られたものでした。
NISTは2000年のFIPS 186-2で楕円曲線を採用しましたが、NSAが提供したシードの由来は説明されていませんでした。
Claudeは公開シードを解析し、34通りの疑似乱数生成器と出力位置の組み合わせなどを調査しました。
P-256では、1997年8月16日の時刻で初期化された生成器の1,842番目の候補が、公開済みシードと一致しました。
一部の基点の生成方法も再現しましたが、P-224・P-256・P-384・P-521の基点の由来などは引き続き未解明です。
今回の発見は暗号解読、秘密鍵流出、実際のサイバー攻撃の発生を意味しません。

項目	内容
発表日	2026年10月16日
発表組織	Anthropic
使用モデル	Claudeの社内研究モデル（モデル名・バージョンは公表されていません）
対象	NIST楕円曲線 P-192、P-224、P-256、P-384、P-521
解明した内容	公開済み楕円曲線パラメータを作るためのシードの生成手順
使用されていた方式	`lrand48`とUnixタイムスタンプによる疑似乱数生成
所要時間	30分以内（Anthropicの報告）
利用者への影響	暗号方式の破綻や新たな攻撃ではなく、変更対応は不要との説明

NSAが提供したNIST楕円曲線の「シード」はなぜ疑問視されていたのか

NISTが2000年1月に公表した電子署名標準「FIPS 186-2」には、ECDSA（楕円曲線デジタル署名アルゴリズム）で使用する標準楕円曲線が含まれています。各曲線には公開パラメータの一部を生成するためのシード値があり、定められた手順でシードから曲線係数を計算できるようになっていました。

一方、そのシード値自体がどのように選ばれたかは説明されていませんでした。NSAが提供した値だったこともあり、暗号研究者の間では、意図的に特定の性質を持つ曲線が選ばれた可能性を巡って議論が続いてきました。ただし、疑問が存在したことと、バックドアが実証されていたことは別です。

2023年には暗号研究者Filippo Valsorda氏が、シードの由来を突き止めるための懸賞を開始しました。かつてはNSA関係者の冗談めいた英語の文章をハッシュ化したものではないか、という説明も伝わっていましたが、今回の解析結果はそれとは異なるものでした。

Claudeは1990年代のC言語の疑似乱数生成器を特定

Anthropicによると、2026年10月、社内の研究者がシードの生成方法をClaudeの社内研究モデルに調査させたところ、Claudeは文章の候補を推測するのではなく、当時利用されていたプログラムの構造から調査を始めました。

公開済みシードのビット列をずらしながら調べ、34通りの疑似乱数生成器と出力の切り出し方を検証しました。その結果、一部のシードに、48ビットの内部状態を持つ線形合同法の疑似乱数生成器lrand48に特徴的なパターンが見つかりました。

素数体上の楕円曲線では、lrand48()の出力を右に23ビットずらして得られる値からシードが組み立てられていたと説明しています。Claudeは一部の出力情報が欠けた状態から内部状態を復元するため、LLL（Lenstra–Lenstra–Lovász）格子基底簡約アルゴリズムも利用しました。

こうして復元した内部状態を逆方向にたどると、1997年5月から1998年4月までのUnixタイムスタンプに対応する初期状態が得られました。P-256のシードは、1997年8月16日の時刻を使った生成処理で得られる1,842番目の候補と一致しました。Anthropicは、再現用のプログラムと生成された値を公開しています。

ここで使われていた疑似乱数生成器は暗号用途として安全性を期待するものではありませんが、今回再現されたのは曲線の公開パラメータを選んだ過程です。利用者ごとの秘密鍵や電子署名時に用いる乱数がlrand48で生成されていた、という発見ではありません。

すべてのパラメータ選定理由が解明されたわけではない

研究では、P-192やANSI X9.62で例示された曲線の一部について、基点（base point）の生成方法も再現されました。基点の生成には、整数演算ライブラリ「FreeLIP」の疑似乱数生成器が使用されたとみられています。

しかし、NISTのP-224、P-256、P-384、P-521の基点については、同じ方法で説明できていません。また、公開されている曲線の条件を満たす候補が途中で飛ばされていたことも確認されましたが、候補を採用・除外した当時の基準は解明されていません。二進体上の曲線B-163のシードも未解明です。

Anthropicは、再現可能な生成手順が明らかになったことは、意図的に細工された曲線が選ばれたという疑念を弱める材料になると評価しています。ただし、当時の選定判断を完全に再構成したと主張しているわけではありません。

今回の発見による暗号システムへの影響

今回の発表は、ECDSAの秘密鍵を解読したり、NISTの楕円曲線を利用する暗号通信・電子署名に新たな攻撃が成立したりしたことを示すものではありません。CVE番号や修正パッチが発表された脆弱性事案でもありません。

Anthropic自身も、利用者が運用を変更する必要はないと明言しています。企業の情報システム担当者が今回の報道を理由に、NIST標準曲線を直ちに利用停止したり、証明書や鍵を一斉交換したりする根拠は示されていません。

今回示されたのは、AIが長期間未解決だった暗号標準の歴史的な生成過程を、公開情報と数理的な検証から再現した事例です。Anthropicは別の取り組みとして、Project GlasswingでClaudeを使ったソフトウェアの脆弱性調査も進めていますが、今回の研究成果は脆弱性発見や攻撃実行とは区別して理解する必要があります。

なお、シードの由来の調査に設けられていた賞金3万6,864ドルについて、AnthropicはInternet Security Research Group（ISRG）へ寄付するとしています。