IA da Anthropic desvenda origem dos números das curvas criptográficas do NIST, mistério de 25 anos
Pesquisadores da Anthropic contam que um modelo interno do Claude levou menos de meia hora para explicar de onde vieram os números usados pela NSA nas curvas criptográficas do NIST, um enigma que alimentava suspeitas de porta dos fundos havia mais de 25 anos.
Uma equipe de pesquisadores da Anthropic publicou em 16 de outubro de 2026 um estudo que afirma ter resolvido um dos mistérios mais antigos da criptografia moderna: a origem das "sementes" das curvas elípticas padronizadas pelo NIST, o instituto de padrões dos Estados Unidos. Essas curvas, como a P-256, estão por trás de assinaturas digitais e conexões seguras usadas todos os dias em sites, aplicativos e cartões. Segundo o relato, um funcionário pediu a um modelo interno que descobrisse como aqueles valores tinham sido gerados, sem contar a versão que circulava sobre o assunto, e a resposta veio em menos de 30 minutos.
Por que esses números eram um problema
As curvas entraram no padrão FIPS 186-2 em 2000, para o algoritmo de assinatura ECDSA. Cada uma depende de um coeficiente calculado a partir de uma semente de 160 bits, e essas sementes foram entregues pela NSA sem nenhuma explicação de como tinham sido escolhidas. Em tese, alguém que controlasse a escolha poderia procurar uma curva com alguma fraqueza conhecida só por ele. A desconfiança ganhou força depois das revelações de Edward Snowden, porque ficou comprovado que a NSA havia, sim, inserido uma porta dos fundos em outro padrão, o gerador de números aleatórios Dual_EC_DRBG.
A explicação mais conhecida veio do matemático Jerry Solinas, da NSA, que em 2014 e 2015 disse acreditar que as sementes tinham saído do resumo (hash) de uma frase bem-humorada em inglês, algo como um pedido de aumento para ele e um colega, mas admitiu não lembrar nem a frase nem o procedimento. Solinas morreu em 2023. Em outubro de 2023, o criptógrafo Filippo Valsorda organizou uma recompensa para quem desvendasse a origem dos números, começando em 12.288 dólares e subindo para 36.864 dólares caso o prêmio fosse doado para caridade.
O que o Claude encontrou
Em vez de procurar a tal frase, o modelo apostou que os valores poderiam ter vindo de um gerador de números pseudoaleatórios fraco, comum nas bibliotecas da linguagem C dos anos 1990. Ele escreveu um programa para varrer as sementes publicadas em busca de padrões típicos de vários desses geradores e notou que alguns bits ficavam sempre zerados, exatamente o rastro deixado pela função lrand48, que entrega só parte do seu estado interno a cada chamada. A partir daí, usou força bruta em alguns casos e uma técnica matemática de redução de reticulados, conhecida como LLL, em outros, para reconstruir o estado do gerador e rodá-lo de trás para frente.
O resultado, segundo a Anthropic, é que as sementes das curvas P-192, P-224, P-256, P-384 e P-521 não são hashes de frase nenhuma. Elas são saídas do lrand48 iniciado com o relógio do computador, com datas entre maio de 1997 e abril de 1998. No caso da P-256, a execução começou em 16 de agosto de 1997, à 1h52min34s no horário universal, e a semente publicada é o candidato de número 1.842 daquela sequência. A empresa divulgou o código em Python, em domínio público, que regenera os valores, o que permite a qualquer pessoa repetir a conta. O mesmo método explicou ainda sementes de curvas de exemplo do padrão ANSI X9.62 e de quatro curvas binárias.
O que isso significa para você
Na prática, nada muda no seu celular ou navegador, e a própria Anthropic afirma que não há nenhuma ação a tomar. O estudo não é um ataque nem revela falha nas curvas. O que ele faz é derrubar o principal argumento de quem suspeitava de manipulação: se as sementes vieram de um gerador comum alimentado por uma data, sobra muito pouco espaço para alguém ter escolhido a dedo uma curva fraca. Segundo o blog do matemático John D. Cook, Valsorda verificou o resultado, entregou a recompensa e passou a dizer que hoje recomendaria as curvas do NIST, lembrando que todas elas devem dar lugar, com o tempo, às assinaturas pós-quânticas. O prêmio será doado ao Internet Security Research Group, a organização sem fins lucrativos por trás do Let's Encrypt.
Também não há impacto sobre o bitcoin, como observou a CoinDesk, porque a rede usa outra curva, a secp256k1. E Cook pondera que o feito não indica que modelos de linguagem ameacem a criptografia: procurar a origem de uma semente é um problema bem diferente de quebrar um algoritmo.
O que ainda não se sabe
O mistério não foi resolvido por inteiro. A semente da curva binária B-163 não se encaixou em nenhum padrão testado, e os pontos-base das curvas P-224, P-256, P-384 e P-521 continuam sem explicação. Também não se sabe por que o programa original pulou alguns candidatos válidos: na mesma execução da P-256, o candidato 876 já gerava uma curva utilizável, mas o escolhido foi o 1.842. Os autores consideram improvável que isso esconda uma seleção maliciosa, mas não descartam a hipótese por completo. Vale lembrar ainda que as conclusões vêm do relato da própria Anthropic e da verificação de Valsorda, sem revisão por pares publicada até agora. O próximo passo natural é ver outros criptógrafos rodarem o código divulgado e tentarem fechar as lacunas que sobraram.
Fontes consultadas:
