「Claude AI」、NSAの25年続く暗号シードの謎を解明

何十年もの間、世界屈指の暗号学者たちは「幻影」を追いかけてきました。インターネット通信の保護に使用される5つの数学的曲線には、米国国家安全保障局（NSA）が提供した謎めいた数値が含まれており、その数値の出所について誰も納得のいく説明ができませんでした。その起源に関する説は、忘れ去られた冗談から、意図的に仕込まれた脆弱性まで多岐にわたっていました。 そこでAnthropic社のAI「Claude」が挑戦し、その数字は30年近く前の古いコンピュータプログラムとタイムスタンプに由来すると突き止めました。

NSAを巡る25年にわたる謎

この物語は1990年代後半に始まります。当時、数学者たちは高度な数学を用いてデジタル情報を保護する手法である楕円曲線暗号の標準規格を策定していました。 P-192、P-224、P-256、P-384、P-521として知られる五つの曲線は、最終的に米国国立標準技術研究所（NIST）が公表した標準の一部となりました。これらの数学的仕組みは、ウェブサイト、金融取引、政府の通信のセキュリティ確保に貢献しました。

しかし、ここで驚くべき事実があります。各曲線は、「シード」と呼ばれる謎めいた160ビットの初期値を用いて構築されていたのです。 曲線を生成するために用いられた数学的手順は誰でも検証できたが、NSAがそれらの初期値をどのように選定したのかは誰にも分からなかった。この未解決の疑問が、同機関が自機関の専門家だけが利用可能な弱点を隠蔽するために、意図的にシードを選定したのではないかという憶測を煽った。

暗号研究者のニール・コブリッツとアルフレッド・メネゼスは2015年の論文『A Riddle Wrapped in an Enigma』でこの論争を検証しました。実用的なバックドアは実証されませんでしたが、この謎は消えることがありませんでした。

どうやら存在しなかったらしい「秘密のフレーズ」

長年にわたり、主流の説として、元のシードを提供したとされるNSAの数学者ジェリー・ソリナスの名前が挙がっていました。ソリナスらによると、それらの数値はユーモラスな英語のフレーズ――おそらく「Jerry deserves a raise（ジェリーには昇給がふさわしい）」のようなもの――をハッシュ化して生成されたものでした。ハッシュ化とは、情報を固定長の数学的な指紋に変換する処理です。 残念ながら、正確なフレーズを覚えている者はおらず、当初使用されていたコンピュータもすでに交換されていたと伝えられています。

ソリーナス自身もプロセスを再現を試みたが成功しなかった。やがてこの謎には懸賞金がかけられるようになった。 2023年10月、暗号学者のフィリッポ・ヴァルソルダはシードの由来を解明した者に12,288ドルの報奨金を提示しました。慈善団体のマッチング制度により、潜在的な報奨金は36,864ドルに増額されました。3年間、この報奨金は誰も受け取りませんでした。そこで、クロードが登場しました。

クロードが「目に見えているのに気づかなかった」答えを発見

10月16日に公開されたAnthropicの調査によると、ある従業員が、長年にわたる「秘密のフレーズ」説には触れずに、社内の研究用モデル「Claude」にシードの調査を依頼しました。モデルは、古いコンピュータプログラムに関連するパターンの検証を開始しました。すると、ある手がかりがすぐに目につきました。 いくつかのシードには最上位ビットが一貫してゼロの数字グループが含まれており、このパターンがランダムに現れる確率はおよそ5,810分の1でした。これはUnix時代のプログラミング環境で広く使われていた擬似乱数生成器「lrand48」を示唆していました。 真にランダムなプロセスとは異なり、擬似乱数生成器は初期値が分かれば予測可能な数列を生成します。Claudeは数学的な逆算を行い、生成器の内部状態を復元し、公開されていたシードを正確に再現しました。そして、驚くべき事実が明らかになりました。

その初期値は1997年と1998年のUnixタイムスタンプ、つまり日付と時刻を数値で表したものに一致していました。モデルの記録された推論には、それ自体の明らかな驚きが表れていました。「これは驚くべきことです。25年間も未解決だった謎が解けたのです。」 この一連の作業には30分もかからなかった。

5つの曲線、5つのタイムスタンプ、そして1つの驚くべき一致

復元された初期値から、5つのNIST素数体曲線が1997年5月から1998年4月までの特定の日付に遡ることが分かりました。P-192は1997年5月18日に対応するタイムスタンプに由来し、P-521はその年の8月8日に遡りました。 P-256は8月16日、P-384は8月30日、そしてP-224は1998年4月3日に続きました。 その手法はほとんど滑稽なほど単純でした。通常の乱数生成器をタイムスタンプで初期化し、候補となるシードを生成して数学的な要件に照らして検証し、許容できる曲線が現れるまで検索を続けるというものです。

P-256の場合、受け入れられたシードは候補1,842番目で現れました。P-224の場合は7,026個の候補を要しました。一致は完全なもので、単に似た数字を生成するのではなく、公開されたシードの160ビットすべてを再現していました。 Valsorda氏はGoプログラミング言語を用いて独自に結果を再現し、この発見を裏付けました。Anthropic社も、他者が検証できるようコードを公開しました。これらの結果は、生成手法に対する強力な数学的証拠を提供していますが、元のソフトウェアを誰が運用していたのか、あるいはなぜ特定の候補が却下されたのかについては、正確には明らかにしていません。

この発見がインターネットセキュリティに与える意味

この発見は安心材料となりますが、普遍的なセキュリティ保証というわけではありません。長年にわたり懸念されてきた点の一つは、NSAがシードを選択する際に十分な自由度を持ち、意図的に数学的に脆弱な曲線を選べる可能性でした。しかし、復元されたプロセスでは、一部の仮説的な攻撃に必要な選択肢よりもはるかに少ない選択肢しか提供されていなかったようです。 Anthropicの研究者らは、寛大な仮定の下で選択の自由度がおよそ30ビットであると推定したが、これはある脆弱性選択シナリオで想定されていた約70ビットよりもかなり少ない。

この結果により、この特定のバックドア説の信憑性は大幅に低下しました。重要な点として、この発見は楕円曲線暗号そのものを破るものではなく、また、考えられるすべての脆弱性が排除されたことを立証するものでもありません。また、secp256k1と呼ばれる別の楕円曲線を使用しているビットコインやイーサリアムには直接的な影響はありません。

グレゴリー・マクスウェル、クロードの「大舞台」に冷水を浴びせる

興味深いことに、ビットコイン開発者のグレゴリー・マクスウェルはそれほど熱狂的な反応を示さず、Hacker News上で、9月20日にAnthropic AIのクレジットが期限切れになる友人に対し、同じ暗号学的謎の調査を提案していたと主張しました。その友人のAIエージェントは数時間にわたりこの問題に取り組んだものの成功せず、マクスウェルはAIの推論能力に感心しませんでした。

これまでAnthropicのAIアプローチを率直に批判してきたマクスウェルは、同社が友人のモデルの能力を制限していたのではないかと疑問を呈し、クロードの発見をめぐる大騒ぎを皮肉った。彼は功績を主張したり発見に異議を唱えたりすることは避け、結果の違いは単にAIへの指示の仕方の違いを反映しているだけかもしれないと示唆した。

「ミザントロピックがまたしても他人の成果を横取りしたと言いたいわけではない。これは多くの人が間違いなく抱いたであろう明白な疑問であり、成功はおそらく専門的な活用に依存していたのだろう（友人の例では、それは全く行われていなかった）」とマクスウェルは記した。 「しかし、同社がモデル性能を目立たない形で低下させていたのではないか、と私は思わざるを得ない」

報奨金は支払われたが、疑問は残る

この発見により、ヴァルソルダ氏が3年前に発した挑戦はついに決着しました。 Anthropicのチームは報奨金36,864ドルを、Let's Encryptを運営するInternet Security Research Groupに支払いました。ヴァルソルダは今回の発見について「暗号史の一ページを埋める助けとなり、これらの重要な暗号プリミティブに対する我々の信頼を強めるものだ」と述べました。なお、いくつかの未解決の問題は残っています。 研究者たちは、数学的に妥当な候補の一部がなぜ除外されたのかについて完全には説明しておらず、別の曲線であるB-163のシードの由来も依然として解明されていません。

とはいえ、核心となる謎は解明されたようです。数十年にわたる疑惑や憶測、そして忘れ去られたとされる秘密のフレーズを再構築しようとする試みの失敗を経て、その答えは1990年代のありふれたコンピュータルーチンの中にありました。NSAの謎めいた数字は、必ずしも精巧な秘密を隠していたわけではありません。単に時刻を記録していただけかもしれません。