Anthropicが楕円曲線のシードを30分で特定｜国内インフラ継続運用の根拠

米Anthropic（アンスロピック）は2026年10月16日、社内研究用Claudeモデルが米国立標準技術研究所（NIST）の楕円曲線暗号シードの生成源を特定したと発表しました。行政情報システムや金融インフラで広く使われている電子政府推奨暗号リスト（CRYPTREC暗号リスト）に掲載されているP-256などの楕円曲線暗号は、設定変更や即時廃止を伴うことなくそのまま運用を継続できます。

25年越しのNSAバックドア疑惑と30分での解明

デジタル署名方式であるECDSA（Elliptic Curve Digital Signature Algorithm）は、TLS通信や電子証明書を保護する基幹技術として使われています。NISTは2000年1月27日に発行した「FIPS PUB 186-2」で、米国家安全保障局（NSA）から提供されたパラメータを含む楕円曲線（P-192、P-224、P-256、P-384、P-521）を標準化しました。

しかし、曲線の係数を決める「シード値」がどのような根拠で選ばれたのかは、公式文書に明記されていませんでした。2007年にはNIST標準の擬似乱数生成器「Dual_EC_DRBG」にバックドアの存在が指摘され、2013年の機密文書暴露を経て、NISTの楕円曲線にもNSAが解読用の裏口を意図的に埋め込んだのではないかという疑念が世界中で議論されてきました。

2023年10月5日には、元Google暗号エンジニアのフィリッポ・ヴァルソルダ（Filippo Valsorda）氏がシードの出所を突き止めた人物に対する懸賞金（慈善団体寄付時は36,864ドル）を開設していました。

Anthropicの研究チーム（Frontier Red Team）は2026年10月15日、この謎の解明結果をヴァルソルダ氏へ提出しました。社内の研究用Claudeモデルへ「任意の文章から生成された」という従来の仮説を与えずに調査を指示したところ、モデルはわずか30分足らずで、シードが1990年代のC標準ライブラリ関数「lrand48」と当時のUnixタイムスタンプから機械的に作られていた事実を突き止めました。獲得した賞金36,864ドルは全額、Let’s Encryptを運営するInternet Security Research Group（ISRG）へ寄付されています。

以下の表は、今回Claudeが復元した各曲線の生成日時と反復回数のデータです。

なお、ビットコイン（Bitcoin）やイーサリアム（Ethereum）が採用している楕円曲線「secp256k1」はNIST規格ではなく、今回の解析対象には含まれていません。

参考記事: Bitcoinの耐量子移行にAIも新たな論点｜Anthropic研究が突きつける「AI-Day」リスクと暗号アジリ…

LLLアルゴリズムと推論モデルによる解析構造

25年間にわたり人間の専門家が解けなかった理由は、前提条件の固定化にありました。元NSA暗号研究者の故ジェリー・ソリナス（Jerry Solinas）氏が2015年に「語句にカウンターを付けたハッシュ値を使った記憶がある」と証言したため、暗号学界は辞書攻撃による英語テキストの探索に注力していました。

Claudeは、ハッシュ化された文章を探すアプローチを破棄し、1990年代後半の計算環境で使われていた擬似乱数生成プログラム自体の挙動をリバースエンジニアリングする方針をとりました。

解析を成立させた3つの技術ステップ

モデルはまず、ANSI X9.62やNIST仕様書に記載されたシード値を1ビット単位で走査し、34種類の乱数生成器と出力フォーマットを照合しました。4つの2元体曲線シードにおいて、各32ビットワードの最上位ビットが常に「0」である規則性を検出しました。これは48ビットの内部状態から上位31ビットのみを返すlrand48（POSIX標準の線形合同法）特有の出力痕跡です。隠れていた17ビットの状態空間（131,072通り）を総当たり検証し、内部状態の復元に成功しました。

次に素体曲線（P-192〜P-521）の解析では、出力ごとに8ビットしか保持されない切り捨て処理が行われていました。モデルは格子基底縮小アルゴリズムであるLLL（Lenstra-Lenstra-Lovász）法を適用し、不完全な乱数列から線形合同法の内部状態を逆算しました。その結果、160ビットのシード値すべてを完全に再生成することに成功しました。

最後に、復元した内部状態を過去方向へ巻き戻す検証を実行しました。C言語の乱数初期化関数srand48にシード値（Unixタイムスタンプ）を渡すと、初期状態の下位16ビットは固定値「0x330E」に設定されます。モデルが逆算した内部状態はすべてこの固定値パターンに収束し、得られた起点は1997年5月18日から1998年4月3日までの実在するシステム時刻を示していました。

バックドア混入仮説の計算的排除

暗号学者ダニエル・バーンスタイン（Daniel J. Bernstein）氏らの2017年の研究によれば、特定の解読用バックドアを持つ楕円曲線を意図的に生成するには、約70ビット相当の探索自由度が必要とされています。

今回の解析により、NSAの生成プログラムは当時のタイムスタンプで起動された後、適合する素数位数が得られるまで数千回のステップを順番に進めていただけであることが判明しました。探索の自由度は約30ビット程度にとどまり、意図的な弱点を埋め込んだ曲線を狙って選び出す計算能力は当時のコンピュータには存在し得なかったことが裏付けられました。

参考記事: AnthropicのAI、耐量子暗号「HAWK」の脆弱性を特定

国内暗号インフラとセキュリティ実務への影響

この成果が公表されたことで、国内のシステム運用やセキュリティ投資のロードマップには直接的な修正と長期的な運用の見直しが生じます。

既存システムの即時入れ替えリスクの消滅

総務省および経済産業省が管理するCRYPTREC暗号リストにおいて、P-256（別名: secp256r1）は電子政府推奨暗号として規定されています。国内の金融機関の勘定系API、官公庁のマイナンバー関連システム、一般企業のWebサーバー証明書（TLS 1.2/1.3）で稼働する署名基盤を、バックドア懸念を理由に緊急停止・変更する必要はありません。Anthropicおよびバウンティ主催者のヴァルソルダ氏も、曲線の数学的強度は保たれており、運用上の変更は不要であると明言しています。

レガシープロトコルに対するAIリバースエンジニアリング耐性の検証

一方で、企業内の独自実装や1990年代から2000年代初頭に策定された古い独自認証プロトコルには新たなリスクが生じます。人間が「検証に数十年かかる」と見なしていた不透明な暗号実装であっても、高度な推論モデルを用いれば30分で生成アルゴリズムやシードの構造が暴かれる環境が整いました。CRYPTRECの運用監視暗号や移行暗号に指定されている古いアルゴリズムを抱える国内企業は、これらがAI駆動の解析に晒された場合のリスク評価を急ぐ必要があります。

次世代暗号策定における再現性の厳格化

NISTが推進する耐量子計算機暗号（PQC）の標準化作業では、生成根拠が完全に追跡可能な「Nothing Up My Sleeve（懐に何も隠していない）ナンバー」の採用が標準化要件となっています。国内のセキュリティ製品開発企業が新たな暗号モジュールや暗号鍵生成器を設計する際にも、シードの決定プロセスを数学的かつ公開コードベースで検証可能にしておく設計が求められます。

参考記事: 耐量子暗号（PQC）とは？CISOが急ぐべき暗号インベントリと2030年への移行ロードマップ

今後の技術戦略と暗号管理の対応

今回の解析結果を受けて、暗号技術を利用する企業およびセキュリティ責任者が進めるべき実務対応は以下の通りです。

1. 現行ECDSAシステムの計画的維持

現在稼働しているP-256ベースのTLS証明書や認証トークンの緊急更新は不要です。既存システムの改修リソースは、突発的な曲線変更ではなく、2030年に向けた耐量子暗号（PQC）への移行準備へ集約させます。

2. 社内暗号インベントリにおける独自実装の洗い出し

過去に開発された社内システムや組込み機器において、乱数生成にlrand48などの古い線形合同法が残存していないかを点検します。AIによるリバースエンジニアリングを前提とした脅威モデリングを実施し、鍵生成器の安全性を再確認します。

3. 暗号アジリティを備えたアーキテクチャの構築

暗号アルゴリズム自体の安全性だけでなく、今回のようにAI解析によって前提が更新された際に、システム全体を止めることなく署名方式や鍵交換方式を切り替えられるソフトウェア構造（暗号アジリティ）の実装を進めます。

参考記事: 耐量子暗号（PQC）のハードウェア実装ロードマップ｜主要半導体ベンダーの対応と移行の技術的課題

出典: pasqualepillitteri.it
出典: filippo.io
出典: nist.gov
出典: unite.ai