Claude résout une énigme cryptographique vieille de 25 ans

Ce que Claude aurait vraiment trouvé

Le 16 octobre 2026, l’équipe Frontier Red Team d’Anthropic a publié une note de recherche affirmant que Claude avait identifié l’origine de valeurs de départ, ou seeds, utilisées dans plusieurs grandes courbes elliptiques NIST pour ECDSA, un standard de signature numérique servant à authentifier des messages, des logiciels et des transactions [1]. La conclusion est presque banale: les graines des courbes NIST P-192, P-224, P-256, P-384 et P-521 ne proviendraient pas du hachage d’une phrase cachée, mais de sorties de lrand48, un générateur pseudoaléatoire de bibliothèque C des années 1990, initialisé par des horodatages Unix [1].

Cette découverte est importante parce que ces courbes ont été normalisées en 2000 avec des nombres fournis par la NSA, sans explication publique complète de leur génération [2]. En cryptographie, une constante inexpliquée n’est jamais un simple détail technique. Elle devient vite un objet de soupçon: si personne ne peut expliquer comment un paramètre a été choisi, il reste possible d’imaginer qu’il a été sélectionné pour une propriété cachée. Le résultat présenté par Anthropic ne prouve pas que tous les choix historiques étaient innocents, mais il remplace une grande zone d’ombre par une recette calculable [1].

Anthropic affirme que Claude a trouvé cette piste en moins d’une demi-heure, après qu’un employé a demandé à un modèle interne d’expliquer le processus de génération sans l’orienter vers l’ancienne hypothèse de la phrase humoristique [1]. Investing.com a résumé l’affaire comme la résolution d’un mystère cryptographique de plusieurs décennies, ramené à un générateur de nombres aléatoires initialisé par des timestamps [2].

La méthode: des bits suspects aux dates Unix

L’intérêt ne tient pas seulement au fait que Claude ait proposé lrand48. Il tient surtout au fait que l’hypothèse soit vérifiable. D’après Anthropic, le modèle a raisonné à partir du logiciel probable qui aurait pu produire ces valeurs à la fin des années 1990 [1]. Claude aurait écrit un scanner parcourant chaque graine bit par bit pour tester si des morceaux voisins ressemblaient à des sorties consécutives de générateurs pseudoaléatoires anciens [1].

Un motif a attiré l’attention. Dans plusieurs graines, les bits de poids fort étaient systématiquement nuls lorsque les données étaient lues comme des mots de 32 bits, une signature compatible avec lrand48, qui ne renvoie que les 31 bits supérieurs d’un état interne de 48 bits [1]. Pour quatre graines, Claude aurait pu forcer les bits cachés et vérifier que les mots suivants correspondaient au même état du générateur [1]. Pour les graines des courbes premières, où moins de bits étaient conservés, Anthropic dit que Claude a utilisé l’algorithme de réduction de réseaux de Lenstra–Lenstra–Lovász afin de reconstruire les états tronqués du générateur linéaire congruentiel [1].

La force du résultat vient du fait que les états retrouvés régénèrent les 160 bits complets des graines, au lieu de produire une simple ressemblance statistique [1]. Anthropic indique que cinq graines de courbes premières NIST et cinq graines ANSI X9.62 suivent le même motif, à savoir lrand48() >> 23 [1]. Blockchain.News a notamment rapporté que, pour P-256, la graine publiée correspondait au candidat 1 842 d’une exécution démarrée le 16 août 1997 à 01:52:34 UTC [4].

Une fois les états du générateur récupérés, Claude a remonté le générateur en arrière jusqu’à des états compatibles avec srand48, dont la forme d’initialisation contient les 16 bits bas 0x330E [1]. Pour les dix graines de courbes premières, Anthropic affirme que ces initialisations correspondent à des horodatages Unix compris entre mai 1997 et avril 1998 [1]. Pour quatre courbes binaires, les dates directes tombaient en février 1984, mais le doublement des timestamps les ramenait au 17 avril 1998, ce qui conduit Anthropic à penser que le programme d’origine a peut-être divisé l’horloge par deux [1].

Un soupçon réduit, pas effacé

Anthropic insiste sur un point essentiel: il ne s’agit pas d’une cassure cryptographique, ni d’une nouvelle attaque, ni d’une faiblesse d’ECDSA exigeant une action des utilisateurs [1]. L’entreprise estime qu’un générateur banal et reproductible rend moins plausible l’hypothèse d’une porte dérobée volontaire, car le processus laisse moins de place à une sélection secrète [1]. Unite.AI reprend cette lecture en soulignant que le résultat éloigne l’idée d’une phrase secrète ou d’une subversion délibérée au profit d’un générateur initialisé par l’horloge [3].

Mais “moins plausible” ne veut pas dire “impossible”. Anthropic reconnaît que certains candidats apparemment valides ont été ignorés [1]. Pour P-256, la graine publiée est le candidat 1 842, alors que le candidat 876 de la même séquence aurait aussi produit une courbe d’ordre premier de la bonne taille [1]. P-224 et deux séries d’exemples ANSI auraient également sauté d’autres candidats valides, et Anthropic dit ignorer quels critères, le cas échéant, ont guidé ces choix [1].

C’est là que la prudence s’impose. Models at Work a noté que le résultat reste une recherche de fournisseur et qu’il n’a pas encore été validé indépendamment, tout en rappelant une objection forte: si un acteur avait cherché parmi des timestamps jusqu’à obtenir une propriété désirée, la dérivation finale pourrait elle aussi ressembler à une génération innocente par horloge [5]. Anthropic répond que ce scénario paraît peu plausible compte tenu du faible nombre de candidats sautés, car il supposerait que des courbes affaiblies soient fréquentes et faciles à trouver [1]. Pour une communauté cryptographique, toutefois, “peu plausible” appelle tout de même reproduction, revue et tests adversariaux.

Les points de base: une deuxième piste partielle

Claude aurait aussi retrouvé l’origine de certains points de base, c’est-à-dire les points générateurs fixes utilisés dans les calculs ECDSA [1]. La graine détermine un coefficient de courbe, mais pas le point de base; il s’agit donc d’un problème distinct [1].

Anthropic affirme que les points de base de six courbes générées en mai 1997 — P-192 et les courbes d’exemple ANSI X9.62 prime192v2, prime192v3 et prime239v1 à prime239v3 — proviennent d’une routine pseudoaléatoire du paquet FreeLIP d’Arjen Lenstra, code également présent dans de premières versions de la bibliothèque NTL de Victor Shoup [1]. La recette consisterait à initialiser le générateur avec un petit entier, jeter sept sorties, générer des coordonnées x candidates à partir de sorties de 26 bits réduites modulo p, puis répéter jusqu’à ce que x appartienne à la courbe [1].

Les entiers retrouvés incluent 20000 pour P-192, ainsi que 20420, 20507, 20509, 20512 et 20517 pour les courbes d’exemple ANSI [1]. Anthropic dit ne pas savoir comment les points de base de P-224, P-256, P-384 et P-521 ont été choisis, et la même incertitude demeure pour les courbes binaires de NIST [1].

Ce qui reste à vérifier

Le principal élément non résolu est B-163, la cinquième graine binaire, qui ne correspondrait à rien de ce que Claude a essayé [1]. Restent aussi les candidats valides sautés et les points de base inexpliqués de quatre grandes courbes premières NIST [1]. Ces limites ne détruisent pas le résultat central, mais elles délimitent le travail nécessaire avant de considérer le dossier définitivement clos.

Le traitement de la récompense est un autre signal intéressant. Anthropic indique que la prime de 36 864 dollars associée à la découverte des graines sera donnée à l’Internet Security Research Group [1]. Ce geste souligne l’intérêt public du travail, mais il ne remplace pas une validation externe.

Pourquoi cette affaire compte pour l’IA

Cet épisode est plus parlant qu’un score de benchmark, car il combine génération d’hypothèses, écriture de code, calcul et scepticisme. Claude n’aurait pas seulement répondu à une question de culture générale; selon Anthropic, le modèle aurait produit et testé une méthode contre des constantes cryptographiques publiques [1]. La bonne leçon n’est donc pas que l’IA “fait de la cryptographie” au sens large, mais que les modèles de frontière peuvent devenir des collaborateurs utiles lorsque leurs affirmations se réduisent à des artefacts reproductibles.

L’industrie devrait donc regarder le code, le hachage du dépôt, les scripts de reproduction, les vérifications tierces et les réactions des cryptographes plus attentivement que le chronomètre de 30 minutes. Si le résultat tient, Claude aura contribué à résoudre une énigme vieille d’un quart de siècle. S’il est partiellement corrigé par la revue externe, cette correction enseignera tout autant comment auditer les découvertes assistées par IA. Dans les deux cas, Alan Turing aurait probablement demandé le script exact avant d’applaudir.

Sources des dernières 72 heures

1. [1]Claude reveals ECDSA curve origins16 oct. 2026, 02:00
2. [2]Anthropic says Claude solved 25-year cryptography mystery in 30 minutes16 oct. 2026, 16:53
3. [3]Anthropic Says Claude Traced NIST ECDSA Curve Seeds to a 1990S RNG16 oct. 2026, 02:00
4. [4]Claude traces the origins of NIST ECDSA curve seeds16 oct. 2026, 21:07
5. [5]Anthropic says Claude traced NIST curve seeds to a 1990s random generator16 oct. 2026, 02:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.