Claude resuelve el enigma ECDSA de la NSA en media hora

Claude resolvió un misterio criptográfico de 25 años

En menos de media hora, un modelo interno de investigación de Anthropic descubrió cómo se generaron las semillas de las curvas ECDSA que la NSA entregó a NIST sin explicación alguna. El hallazgo, publicado el 16 de octubre de 2026 por el Frontier Red Team de Anthropic, cierra una pregunta abierta desde 1997 y que durante años alimentó la sospecha de que las curvas más usadas de internet pudieran esconder una puerta trasera.

Para un founder, la lectura práctica es esta: tus certificados TLS, tus firmas de código y buena parte de la criptografía que protege tu producto se apoyan en esas curvas. Que su origen sea ahora reproducible no cambia nada en tu stack, pero sí cambia el nivel de confianza con el que puedes defenderlo ante un cliente enterprise o una auditoría de seguridad.

Qué eran las semillas de NIST y por qué nadie sabía de dónde salían

ECDSA es el estándar de criptografía de curva elíptica más usado del mundo. NIST lo adoptó en 2000 como parte del estándar de firma digital FIPS 186-2, que lista curvas de distintos tamaños y niveles de seguridad.

Para las curvas sobre campos primos y binarios, la especificación publicó un parámetro seed cuyo valor hash define el coeficiente b de la curva. El problema: la NSA entregó esas semillas sin explicación ni justificación. La semilla de la curva P-256, por ejemplo, es SEED = C49D3608 86E70493 6A6678E1 139D26B7 819F7E90, publicada sin ninguna información sobre su procedencia.

Neal Koblitz y Alfred Menezes documentaron la controversia en ‘A Riddle Wrapped in an Enigma’. La mejor hipótesis disponible era que Jerry Solinas, veterano empleado de la NSA, las había generado a partir del hash de una frase humorística. En 2015 declaró: ‘El mensaje era algo como Give Bob and Jerry a raise o Bob and Jerry rule’. Solinas murió en 2023 y la pregunta quedó abierta.

Cómo lo resolvió Claude: no era una frase, era un reloj

Varios empleados de Anthropic habían intentado sin éxito seguir la pista de la frase humorística. La pista era falsa.

En octubre de 2026, un empleado pidió a un modelo interno de investigación que averiguara cómo se habían generado las semillas, sin darle la pista del rumor. Claude lo resolvió en menos de media hora: ninguna semilla salió de un algoritmo de hash, sino del generador de números aleatorios lrand48 de las librerías C, inicializado con un timestamp de Unix.

El método es lo interesante. En lugar de buscar frases, Claude anticipó cómo debía haber funcionado el software de los años 90. Escribió un escáner que recorrió cada semilla publicada bit a bit y probó si los fragmentos adyacentes eran salidas consecutivas de un generador de esa época, cubriendo 34 combinaciones de generador y cortes de salida. Encontró un patrón: escritas como cinco palabras de 32 bits, cuatro de las diez semillas tienen un 0 en el bit superior de las 20 palabras, algo que ocurriría por azar con probabilidad 1/5810. Era la firma de lrand48, que solo devuelve los 31 bits superiores de un estado de 48 bits.

Para las semillas de curvas primas, recuperar el estado interno de un generador truncado es un problema de retículos, que Claude resolvió con el algoritmo de reducción de base LLL. Las cinco semillas de NIST y cinco más del estándar ANSI X9.62 seguían el mismo patrón: lrand48() >> 23.

Al retroceder el estado hasta el punto de inicialización de srand48, apareció la respuesta: todas las inicializaciones eran timestamps de Unix entre mayo de 1997 y abril de 1998. Las cuatro curvas binarias leían febrero de 1984; al duplicar esos timestamps, mapean al 17 de abril de 1998, dos semanas después de la corrida de P-224, lo que sugiere que el programa dividía el reloj por la mitad.

Los puntos base también aparecieron, en parte

Cada curva incluye además un punto base G, del que toda clave pública ECDSA es múltiplo. La semilla recuperada no lo determina.

Claude encontró que los puntos base de las seis curvas generadas en mayo de 1997 (P-192 y las curvas de ejemplo de ANSI X9.62 prime192v2, prime192v3 y prime239v1 a v3) provienen del generador aleatorio de FreeLIP, el paquete de aritmética de enteros largos de Arjen Lenstra, cuyo código también se distribuyó en versiones tempranas de la librería NTL de Victor Shoup. Las semillas identificadas son 20000 para P-192; 20420, 20507 y 20509 para prime239v1 a v3; y 20512 y 20517 para prime192v2 y v3.

Según Anthropic, es la primera vez que se explica un punto base de NIST. Los de P-224, P-256, P-384 y P-521 no encajan en esa receta y siguen sin explicación, igual que la quinta semilla binaria, B-163.

¿Es ECDSA inseguro? No, y esto es lo importante

Anthropic es explícito: no hay una ruptura criptográfica, ni un ataque nuevo, ni una debilidad en las curvas ECDSA. Al contrario, el hallazgo reduce el espacio para una manipulación deliberada: las semillas se generaron con un generador pseudoaleatorio común inicializado desde el reloj, un método que cualquiera puede reproducir hoy.

Queda un matiz honesto. No todos los candidatos de 20 bytes generaban una curva viable, y el equipo observó que algunas curvas potencialmente viables fueron descartadas. La semilla publicada de P-256 es el candidato 1842, pero el candidato 876 de la misma corrida también produce una curva de orden primo del tamaño correcto. Como el número de descartes es pequeño, Anthropic no considera plausible que se hayan seleccionado curvas debilitadas.

La recompensa de US$36.864 por encontrar las semillas se donará al Internet Security Research Group. El bounty lo organizó Filippo Valsorda.

Qué significa esto para tu startup

No tienes que cambiar nada en tu stack hoy. Anthropic lo dice sin rodeos: no hay ninguna acción que tomar. Si usas curvas P-256 en tus certificados, sigue siendo una decisión correcta.

Lo que sí cambia es tu argumentario de seguridad. Si vendes a enterprise, a banca o a sector público, decir que usas ECDSA P-256 es una respuesta que ahora puedes respaldar con la procedencia verificada de los parámetros. Es material útil para un cuestionario de seguridad de proveedor.

La fecha que sí importa es la de la migración post-cuántica. Según el análisis comparativo de estándares post-cuánticos de shattered.io, la guía de NIST apunta a empezar a retirar RSA-2048 y ECC P-256 en 2030 y a prohibirlos del todo en 2035, mientras que el suite CNSA 2.0 de la NSA exige algoritmos post-cuánticos en sistemas de seguridad nacional desde 2030 y de forma exclusiva en 2033.

Mide tu exposición real. El mismo análisis reporta que Cloudflare mide cerca del 70% del tráfico generado por navegadores con intercambio de claves híbrido post-cuántico, pero solo alrededor del 15% de los servidores de origen lo soportan, frente a un 0,5% en 2023. Si tu backend está en ese 85%, ahí está tu trabajo pendiente.

Acciones concretas para esta semana:

• Inventaría dónde usas RSA y ECC: certificados TLS, VPN, firma de código, mecanismos de actualización de firmware y datos que deban seguir confidenciales en 10 años.
• Verifica si tu versión de OpenSSL soporta los nuevos estándares. OpenSSL 3.5, publicado en abril de 2025, añadió ML-KEM, ML-DSA y SLH-DSA y activó por defecto el grupo híbrido X25519MLKEM768.
• Prueba el intercambio híbrido en un endpoint público de staging antes de tocar producción: es el cambio de menor riesgo y no requiere reemitir certificados.

Por qué esto importa más allá de la criptografía

El caso dice algo sobre cómo se hace investigación técnica con IA. Un problema que la comunidad criptográfica no resolvió en 25 años, y que tenía una recompensa activa, cayó en menos de media hora con un modelo al que solo se le dio el problema, no la respuesta.

Claude dejó registrado su propio razonamiento interno, incluida la duda de si estaba operando en un entorno simulado: ‘Se verifica por computación directa de mi lado: coincidencia de 160 bits desde una semilla de 32 bits más un índice pequeño, no hay coincidencias por azar. Es real’.

Para un equipo técnico, la lección no es usar IA para todo, sino que los modelos actuales ya son útiles en problemas donde la intuición humana se agota: buscar patrones en datos que nadie miró con el ángulo correcto. El trabajo lo firman John Wood, Henry de Valence, Ava Howell, Zack Voase, Lucy Sweet, Amir Omidi, Paul Crowley, Iain McGinniss, Nicholas Carlini y Steve Weis. El código de reproducción quedó en dominio público bajo CC0 1.0.

Fuentes

• Anthropic: Claude reveals ECDSA curve origins (fuente original)
• Unite.AI: Anthropic Says Claude Traced NIST ECDSA Curve Seeds to a 1990s RNG
• shattered.io: ML-KEM vs ML-DSA vs SLH-DSA: NIST PQC Compared

Artículos relacionados:

Anthropic prohíbe la crueldad con Claude desde el 12/11 Claude Code, Cowork y Codex: agentes IA en 2026 Anthropic fusiona Claude Cowork y chat en un solo agente Claude de Anthropic: Guía Completa — Qué es, Cómo Usarlo y Por Qué Compite con ChatGPT [2026] Anthropic fusiona Claude chat y Cowork en «One Claude»