2026年10月16日、米AI企業Anthropicは、AIモデル「Claude」が30分未満で、米国立標準技術研究所（NIST）の楕円曲線暗号に使われるシード値の生成過程を解明したと発表した。約25年間にわたり議論されてきた暗号パラメータの由来が明らかになり、意図的なバックドアへの懸念を検証する新たな手掛かりとなった。
Claudeが乱数生成器と時刻からシード値を特定
楕円曲線デジタル署名アルゴリズム（ECDSA）は、デジタル署名などに使われる暗号技術である。NISTは2000年、デジタル署名規格の一部として複数の標準楕円曲線を採用したが、そのパラメータの生成に使われたシード値の由来は長年明らかにされていなかった。
問題となっていたのは、シード値が米国家安全保障局（NSA）から提供されたにもかかわらず、生成方法や選定根拠が説明されていなかった点だ。この不透明さから、曲線に意図的なバックドア（※）が仕込まれているのではないかという疑念が生まれ、研究者や暗号コミュニティーの間で議論が続いてきた。
Anthropicの発表によると、2026年10月、同社の従業員が社内の研究用AIモデルに対し、既知の手掛かりを示さずにシード値の生成方法を調べるよう依頼した。Claudeは30分未満で、NISTのP-192、P-224、P-256、P-384、P-521という5種類の素数体上の楕円曲線について、シード値の由来を特定したという。
解明の鍵となったのは、1990年代のC言語ライブラリに含まれていた疑似乱数生成器「lrand48」と、Unixタイムスタンプの組み合わせだった。Claudeは公表済みのシード値をビット単位で走査し、乱数生成器の出力パターンを検証。内部状態を復元し、生成時の初期化に使われた時刻を割り出した。
その結果、素数体上の曲線に対応する10個のシード値は、1997年5月から1998年4月までのUnixタイムスタンプと整合した。さらに、NISTの曲線だけでなく、ANSI X9.62規格に含まれる例示用曲線のシード値にも同じ生成方式が確認された。
一方、二元体上の曲線のシード値の一つであるB-163は解明できず、すべての生成過程が判明したわけではない。
※バックドア：暗号システムなどに設けられた、通常のセキュリティー機構を回避して秘密情報へアクセスできる仕組み。
暗号の安全性を補強する成果も残る未解明領域
今回の発見は、ECDSAの暗号を破ったことを意味するものではない。Anthropicは、シード値が一般的な疑似乱数生成器と時刻から再現可能な形で生成されていたことから、曲線の選定に意図的な弱点が仕込まれた可能性は従来より低くなったと説明している。これは暗号の安全性に対する疑念を検証するうえで、重要な手掛かりになったといえる。
注目すべきは、Claudeが単に過去の記録や文章を検索するのではなく、生成に使われたソフトウェアの挙動を推測し、数値データから仮説を検証した点だ。乱数生成器の特徴を検出し、内部状態を復元する計算手法を組み合わせることで、長年解決されなかった問題に突破口を開いた。AIが暗号研究において、仮説の構築から検証までを支援できる可能性を示す事例である。
ただし、未解明の課題も残る。Claudeは一部の楕円曲線について基準点の生成方法も特定したが、P-224、P-256、P-384、P-521の基準点や、NISTの二元体上の曲線の基準点については説明できていない。また、生成過程では条件を満たす候補が一部飛ばされていたことも判明したものの、その選定基準は不明である。
Anthropicは、飛ばされた候補の数が少ないことなどから、意図的に弱い曲線が選ばれた可能性は低いと評価している。一方、特定の性質を持つ曲線を選ぶために時刻を探索した可能性を完全には否定しておらず、今回の分析だけですべての疑念が解消されたわけではない。
今後、AIが暗号技術の歴史的な未解決問題や複雑な実装の検証に活用されれば、専門家の調査を補助する手段として存在感を高める可能性がある。
ただし、今回の成果は特定の問題に対する分析結果であり、AIが暗号の安全性を包括的に保証するものではない。再現可能な検証と専門家による評価を組み合わせることが、成果を信頼につなげる条件となる。
