A suspeita durou 25 anos. A resposta levou meia hora.
Em 2000, o NIST adotou o padrão ECDSA de curvas elípticas, o padrão de assinatura criptográfica mais usado do mundo. Cada curva vinha com um parâmetro chamado seed, fornecido pela NSA, sem explicação. Vinte e cinco anos de especulação sobre se aqueles números escondiam uma porta dos fundos.
O rumor e a hipótese
O rumor mais forte era de Jerry Solinas, funcionário histórico da agência: ele teria gerado as seeds a partir de um hash de uma frase engraçada que esqueceu, e morreu em 2023 sem lembrá-la. Um prêmio foi anunciado e ninguém ganhou.
Em outubro, um funcionário da Anthropic perguntou ao modelo de pesquisa interno se ele resolveria sem a pista do rumor. O Claude achou as seeds de P-192, P-224, P-256, P-384 e P-521 em menos de meia hora.
A resposta: relógio, não conspiração
O resultado não é o que o rumor dizia. As seeds não são hash de frase nenhuma: são a saída do gerador aleatório lrand48 da biblioteca C, inicializado com um timestamp Unix. Relógio, e não frase engraçada.
O método é o que vale a leitura. Em vez de tentar a frase do rumor, o Claude antecipou como o software de 1997 devia ter funcionado: um gerador pseudoraleatório fraco, do tipo que se reconhece pela saída. O modelo escreveu um scanner que varreu cada seed publicada bit a bit e testou 34 combinações de gerador e fatia de saída.
A assinatura apareceu em quatro das dez seeds: o bit mais alto era zero em todas as vinte palavras, probabilidade de 1 em 5.810, o que assinou o lrand48, que só devolve 31 dos 48 bits de estado. A recuperação do estado truncado é um problema clássico de reticulado, resolvido com o algoritmo LLL.
A implicação de segurança é boa
As curvas não foram envenenadas. A técnica descrita por Daniel Bernstein e Tanja Lange, que podia ter explorado a liberdade na escolha da seed, foi completamente descartada: mesmo com liberdade total sobre os timestamps e os candidatos, restavam cerca de 30 bits, insuficientes para mirar uma classe fraca de curvas ou embutir uma porta dos fundos.
E o desfecho simbólico: Filippo Valsorda, o criptógrafo que organizou a recompensa de três anos e é defensor histórico das curvas alternativas, publicou que agora recomenda pessoalmente as curvas do NIST no lugar das dele. E fechou com a frase que ninguém esperava: no timing exato para elas serem aposentadas em favor das assinaturas pós-quânticas.
A lição que não é técnica
É sobre confiança. Vinte e cinco anos de especulação feriram a confiança num sistema que sabemos agora ser limpo, e ninguém precisou mudar nada: basta calcular.
É o mesmo padrão do caso Enigma resolvido pelo Astra: suspeita acumulada por décadas, espaço de busca finito, método que antecipa o contexto histórico e validação da comunidade. A IA virou o instrumento que fecha processos que a esperança e a paranoia mantinham abertos.
Conclusão
Vinte e cinco anos de teoria, meia hora de scanner, e a resposta era um relógio.
Para quem opera criptografia, o caso limpa uma mancha antiga com a melhor saída possível: nada a corrigir, tudo a documentar. Para quem opera IA, é mais uma prova da tese do ano: suspeita virada em hipótese testável com espaço de busca finito é o tipo de problema que a IA fecha. E fecha rápido.