Un modelo de Claude resolvió en 30 minutos un misterio de la NSA que duraba 25 años

Un modelo interno de Claude, el asistente de inteligencia artificial de Anthropic, resolvió en menos de media hora un misterio de la criptografía que llevaba 25 años sin respuesta: el origen de las semillas numéricas que la Agencia de Seguridad Nacional de Estados Unidos (NSA) entregó para definir las curvas elípticas que hoy protegen buena parte de las conexiones seguras de internet.

Según el informe que Anthropic publicó el 16 de octubre, un empleado le pidió a un modelo de investigación interno que averiguara cómo se habían generado esos números sin darle ninguna pista previa. El modelo determinó que las semillas de las curvas P-192, P-224, P-256, P-384 y P-521 no salieron de ningún algoritmo de hash, sino de lrand48, un generador de números pseudoaleatorios incluido en las bibliotecas del lenguaje C desde los años noventa, inicializado con una marca de tiempo del sistema.

Un enigma heredado de la era Snowden

El Instituto Nacional de Estándares y Tecnología de Estados Unidos, conocido como NIST, adoptó esas curvas en el año 2000 dentro del estándar de firma digital FIPS 186-2. El organismo publicó las semillas junto con las curvas, pero nunca explicó de dónde habían salido esos números, lo que alimentó sospechas de que pudieran esconder una puerta trasera a favor de la NSA.

El criptógrafo Filippo Valsorda, quien organizó en 2023 una recompensa para quien resolviera el enigma, confirmó el hallazgo en su propio sitio y precisó que el equipo de Anthropic reclamó el premio el 15 de octubre a la 01:07:51 UTC. El dinero, de 36.864 dólares, se donará a Internet Security Research Group, la organización sin fines de lucro que opera el servicio de certificados Let’s Encrypt.

Durante años circuló la versión de que un empleado de la NSA, Jerry Solinas, había generado las semillas a partir del hash de una frase en broma, algo que él mismo narró en 2015 sin poder aportar pruebas. Solinas murió en 2023 y nunca quedó registro de esa frase ni de su proceso exacto.

Cómo llegó Claude a la respuesta

El modelo descartó esa pista desde el principio y probó un camino distinto: supuso que el programa original usaba un generador de números pseudoaleatorios típico de los años noventa y escribió un rastreador que comparó 34 combinaciones posibles de esos generadores contra los valores publicados.

Encontró que en varias semillas los bits superiores de cada bloque de 32 aparecían siempre en cero, una señal característica del generador lrand48. Según el propio informe de Anthropic, esa coincidencia tenía una probabilidad de apenas una en 5.810 de ocurrir al azar.

Para las semillas de las curvas primas, donde el generador conserva menos información de cada salida, Claude recurrió al algoritmo de reducción de retículos Lenstra-Lenstra-Lovász para reconstruir el estado interno del generador a partir de los pocos bits disponibles. El sistema corrió el generador hacia atrás hasta llegar al punto en el que se inicializó con la función srand48.

Las diez marcas de tiempo recuperadas correspondían a fechas reales entre mayo de 1997 y abril de 1998, lo que para Anthropic descarta que la coincidencia fuera casualidad. La semilla de P-256, una de las curvas más usadas en la actualidad, surgió de una corrida iniciada el 16 de agosto de 1997, en la candidata número 1.842 del generador.

Lo que el hallazgo no resuelve

Anthropic fue clara, el resultado no constituye una ruptura criptográfica ni revela una debilidad nueva en el algoritmo de firma ECDSA, que usa estas curvas. Al contrario, sostiene que el hecho de que las semillas salieran de un procedimiento simple y reproducible por cualquiera reduce el margen para que hubiera un diseño deliberado con fines de espionaje.

El informe reconoce también varios cabos sueltos. El equipo no logró explicar el origen de la semilla de la curva binaria B-163, ni cómo se generaron los puntos base de las curvas P-224, P-256, P-384 y P-521, un dato distinto de la semilla y necesario para completar cada curva.

Tampoco quedó claro por qué el programa original saltó algunas combinaciones que, según el análisis de Claude, también habrían producido curvas matemáticamente válidas. Para la curva P-256, por ejemplo, la candidata número 876 del mismo proceso también cumplía todos los requisitos, pero no fue la elegida.

El trabajo estuvo a cargo de diez investigadores del equipo de seguridad de Anthropic, entre ellos Nicholas Carlini y Steve Weis, quienes reconocieron de forma póstuma a Solinas por haber sobrellevado con humor años de sospechas sobre su posible rol en un eventual backdoor de la NSA.