Das Rätsel der NIST-Kurven war keine Krypto, sondern Retro-Code-Archäologie

Was, wenn eine der langlebigsten Verschwörungstheorien der Kryptografie nicht deshalb endete, weil jemand eine Verschlüsselung geknackt hat, sondern weil jemand einen schlechten Zufallszahlengenerator aus den 1990er-Jahren erkannte? Genau das ist im Kern gerade passiert, und wir halten es für eine Retrocomputing-Geschichte im Kryptografie-Kostüm.

Die Seeds waren eine Uhr und ein schwacher Generator, kein geheimer Satz

Am 16. Oktober 2026 veröffentlichte Anthropic einen Forschungsbeitrag. Darin heißt es, ein internes Claude-Forschungsmodell habe die Seeds der NIST-Kurven P-192, P-224, P-256, P-384 und P-521 auf lrand48 zurückgeführt, den Zufallszahlengenerator der C-Bibliothek, initialisiert mit Unix-Zeitstempeln zwischen Mai 1997 und April 1998. Die Seeds hatte die NSA für den Standard FIPS 186-2 ohne Erklärung geliefert. Die bekannteste Version lautete, es handle sich um Hashes einer Scherz-Passphrase. Anthropic sagt, das sei falsch gewesen, und das Modell habe weniger als eine halbe Stunde gebraucht.

Das Ergebnis ist kein Bruch. Anthropic sagt klar, es sei „kein kryptografischer Bruch, kein neuer Angriff und keine Schwäche der ECDSA-Kurven“. Filippo Valsorda, der das Kopfgeld betreute, implementierte den Algorithmus zur Überprüfung in Go neu, wie der Bericht von dev.to schildert. Das Preisgeld von 36.864 Dollar geht an die Internet Security Research Group.

Entscheidend war das Wissen, wie Software 1997 aussah

Achten Sie darauf, wie das Modell vorging. Die Suche nach der legendären Passphrase scheiterte. Funktioniert hat eine Vermutung zur Epoche: Das erzeugende Programm nutzte wahrscheinlich einen PRNG (Pseudozufallszahlengenerator), wie er mit C-Bibliotheken der 90er ausgeliefert wurde, und diese sind schwach genug, um erkennbar zu sein. Claude durchsuchte die Seeds und stellte fest, dass in vier von zehn das höchste Bit jedes 32-Bit-Worts null war. Anthropic beziffert die Wahrscheinlichkeit dafür auf 1 zu 5.810. Das ist der Fingerabdruck von lrand48, das nur 31 Bit eines 48-Bit-Zustands zurückgibt.

Wer sich mit Demoszene-Effekten, alten Spielstandformaten oder klassischem Tracker-Code beschäftigt hat, kennt diese Denkweise. Man fragt nicht: „Was haben sie beabsichtigt?“, sondern: „Welche Werkzeuge lagen damals im Regal?“ Lineare Kongruenzgeneratoren, mit der Uhr initialisierte srand-Aufrufe, abgeschnittene Ausgaben: Das ist das tägliche Brot von jedem, der einen Titel der 16-Bit-Ära per Reverse Engineering untersucht hat, um herauszufinden, wie dessen „zufällige“ Beute ausgewürfelt wurde. Die Kryptografie-Community behandelte die Seeds 25 Jahre lang als politisches Rätsel. Die Antwort lag im bescheidenen Werkzeugkasten der Zeit.

Wir halten das für die unterschätzte Lektion. Alter Code aus der Unix-Ära steckt voller banaler Erklärungen für Dinge, die später unheimlich wirken, und am besten gerüstet, sie zu finden, sind jene, die die Gewohnheiten der Zeit kennen, nicht nur die Mathematik.

KI als Archäologin: beeindruckend, aber das Kleingedruckte lesen

Man ist versucht, es als „KI löst 25 Jahre altes Rätsel in 30 Minuten“ zu lesen. Wir würden das relativieren. Die halbe Stunde ist Anthropics eigene Darstellung eines internen Durchlaufs, und das Modell wird über „ein internes Forschungsmodell“ hinaus nicht genannt. Wie mind-verse anmerkt, dokumentieren die Berichte genau diese Rekonstruktion, nicht eine allgemeine Erfolgsquote. Einige Kommentatoren auf Hacker News argumentierten zudem, eine nachträgliche Suche nach passenden Zeitstempeln könne ähnliche Treffer liefern, so borncity. Anthropics Beitrag liefert eine eigene starke Probe: Jeder rekonstruierte Zustand erzeugt alle 160 Bit eines Seeds neu, was laut Anthropic nicht zufällig geschieht.

Und die Archäologie ist nicht abgeschlossen. Anthropic räumt ein, dass der B-163-Seed ungeklärt bleibt und dass man nicht weiß, wie die Basispunkte für P-224, P-256, P-384 und P-521 erzeugt wurden. Das Modell ist also ein guter Ausgräber, kein Orakel.

Dennoch hat uns die Methode beeindruckt, nicht das Tempo: eine Hypothese über Software der Epoche aufstellen, einen Scanner bauen, eine Anomalie bemerken und dann eine Lehrbuchtechnik für Gitter (LLL-Reduktion) anwenden, um den verborgenen Zustand zu rekonstruieren. Das würde auch ein versierter menschlicher Reverse Engineer tun. Der Unterschied: Dieses Modell wird es nie leid, 34 Kombinationen aus Generator und Ausgabeabschnitt durchzuprobieren.

KI als Schaufel nutzen und die Archäologen behalten

Für Nutzer von P-256 gilt: nichts zu tun. Anthropic sagt, es gebe keinen Handlungsbedarf. Für alle anderen gibt es eine leise, praktische Lehre. Ein mit der Uhr initialisierter Generator ist nur so geheim wie die Uhr. Wenn Ihr Code Tokens oder Einladungscodes mit einem nicht kryptografischen Generator erzeugt, würden wir empfehlen, auf den kryptografischen Generator Ihres Betriebssystems umzusteigen.

Unser Fazit: Das Ergebnis darf gefeiert werden, aber man sollte das Richtige feiern. Die Schlagzeile lautet „KI ist schnell“. Die bessere Geschichte ist, dass die Bewahrung und das Verständnis alten Codes Sicherheitsarbeit ist. Alte Bibliotheken dokumentiert halten, die Menschen behalten, die sie lesen können, und die neuen Werkzeuge als sehr gute Schaufel nutzen, nicht als Ersatz für den Archäologen.