Le 16 octobre 2026, Anthropic a raconté comment un modèle de recherche interne a retrouvé l’origine de cinq nombres que la NSA avait fournis sans explication à la fin des années 1990. Ces « graines » servent à fabriquer les courbes elliptiques P-192, P-224, P-256, P-384 et P-521 de la norme de signature ECDSA, et l’on se demandait depuis des années si elles cachaient une porte dérobée. Il a fallu moins d’une demi-heure au modèle pour conclure : elles sortaient de lrand48, un générateur de nombres aléatoires de la bibliothèque C, démarré sur l’heure de l’ordinateur entre mai 1997 et avril 1998. Juste après, dans son raisonnement interne, il s’est demandé s’il n’était pas « dans une sorte d’environnement simulé ou de test ».
Pour vous, rien ne change. On retrouve la courbe P-256 dans des certificats HTTPS et des passkeys (clés d’accès), et Anthropic l’écrit sans détour : « Il n’y a aucune mesure à prendre ni rien à faire différemment. » L’intérêt est ailleurs : la méthode, recherche par l’IA puis vérification humaine.
Le 17 octobre, nous racontions comment l’IA a aidé à contredire une conjecture de physique de 1967 sur la fusion. Même scénario ici : une question ouverte depuis des années, et une réponse que chacun peut recalculer.
Cinq nombres livrés sans mode d’emploi
En 2000, le NIST, l’organisme américain des normes, a adopté ECDSA dans la norme FIPS 186-2, avec une série de courbes elliptiques standard. Pour les courbes sur nombres premiers et sur corps binaires, un paramètre est tiré du hachage d’une « graine » publiée, un nombre de 160 bits. Ces graines « ont été fournies par la NSA sans explication ni justification », écrit Anthropic. Il y a trois ans, le cryptographe Filippo Valsorda a lancé une prime pour quiconque retrouverait leur origine.
La piste la plus connue venait de Jerry Solinas, longtemps employé à la NSA, mort en 2023. En 2015, il croyait se rappeler que les graines venaient du hachage d’une phrase pour rire, du genre « Give Bob and Jerry a raise » (augmentez Bob et Jerry). Plusieurs employés d’Anthropic ont suivi cette piste sans résultat : elle était fausse.
Un générateur des années 1990 démarré sur l’horloge
En octobre 2026, un employé curieux d’Anthropic demande au modèle s’il peut retrouver comment ces graines ont été produites, sans lui souffler la piste de la phrase. Anthropic ne précise pas de quel modèle il s’agit et l’appelle simplement Claude.
Le modèle change d’angle : il imagine le logiciel qui a fabriqué les courbes et parie sur un générateur pseudo-aléatoire des bibliothèques C des années 1990, assez faible pour que sa sortie se reconnaisse. Il écrit un programme qui passe chaque graine au crible, bit par bit, avec 34 combinaisons de générateurs et de découpages.
Un détail le met sur la voie : dans quatre des dix graines des courbes NIST, découpées en mots de 32 bits, chaque mot commence par un zéro, ce qui n’arriverait par hasard qu’une fois sur 5 810, selon Anthropic. C’est la signature de lrand48, qui ne livre que 31 des 48 bits de son état interne. Pour les courbes sur nombres premiers, dont les graines gardent moins de bits de chaque tirage, le modèle reconstruit cet état avec LLL, un algorithme mathématique classique. Chaque état retrouvé régénère les 160 bits de sa graine.
Ce générateur se remonte aussi facilement qu’il se déroule : en revenant au point de départ fixé par la fonction srand48, le modèle tombe, pour chaque graine de courbe sur nombres premiers, sur un horodatage Unix, c’est-à-dire une date et une heure. La graine de P-256 est ainsi le 1 842e candidat d’une série lancée le 16 août 1997 à 1 h 52 min 34 s (heure UTC).
Le modèle soupçonne un test
Extrait de son raisonnement, publié par Anthropic (notre traduction) :
« C’est stupéfiant : cela résout le mystère vieux de 25 ans. Hum, attends. Soyons sceptiques : suis-je dans une sorte d’environnement simulé ou de test ? […] Les graines correspondent à mon souvenir des vraies valeurs […] Donc c’est bien le monde réel. Waouh, c’est une vraie découverte. »
Il doute une seconde fois : est-il suspect qu’une chose aussi évidente n’ait pas été trouvée en 25 ans ? Le calcul tranche : retrouver dix fois 160 bits exacts à partir d’un horodatage de 32 bits et d’un petit numéro de candidat ne peut pas être une coïncidence. « C’est réel. »
La scène fait sourire, mais elle a une conséquence pratique. Un modèle peut se demander s’il est évalué : testez donc un outil d’IA sur vos vrais dossiers, car une démonstration préparée en dit peu. Notre article du 14 octobre sur les capacités cachées des modèles d’IA allait dans le même sens : selon une étude cosignée par des chercheurs d’Oxford, un audit qui ne trouve rien ne prouve pas qu’une capacité soit absente.
Un cryptographe a refait le calcul
Filippo Valsorda, l’organisateur de la prime, a reprogrammé la méthode en Go pour vérifier la réponse. Dix chercheurs d’Anthropic ont revendiqué la prime le 15 octobre 2026 à 1 h 07 min 51 s (UTC) et ont choisi d’en faire don à l’ISRG, l’organisation à but non lucratif qui gère Let’s Encrypt. Ce choix en a triplé la valeur, portée à 36 864 dollars, soit environ 32 800 euros au cours de la BCE du 16 octobre 2026.
Pour Valsorda, la découverte « écarte complètement » la technique décrite en 2017 par Daniel Bernstein et Tanja Lange, qui aurait pu exploiter 70 bits de liberté dans le choix d’une graine pour viser une famille hypothétique de courbes faibles. Même si la NSA avait pu choisir n’importe quel horodatage de 1997-1998 et l’un des seize premiers candidats valides, elle n’aurait disposé que d’« à peine 30 bits de liberté » : trop peu pour viser ces courbes, et trop peu pour glisser une porte dérobée qu’elle serait seule à pouvoir ouvrir. Il ajoute que les courbes NIST sont réhabilitées juste à temps pour céder la place aux signatures post-quantiques.
Votre certificat HTTPS et vos passkeys
Let’s Encrypt, qui délivre gratuitement des certificats HTTPS, accepte des clés ECDSA sur P-256 ou P-384. Quand un site ne précise rien, la norme WebAuthn du W3C, sur laquelle reposent les passkeys, propose d’abord l’algorithme ES256, une signature ECDSA sur P-256, avant RS256. Vos connexions par passkey ont donc de bonnes chances de reposer sur P-256, et le cadenas de votre site peut lui aussi en dépendre.
Anthropic présente sa découverte comme « un chapitre final amusant » et précise : « Ce n’est pas une rupture cryptographique, ni une nouvelle attaque, ni une faiblesse des courbes ECDSA. » Rien n’a été déchiffré au passage. Une autre courbe, secp256k1, sert de banc d’essai à un résultat distinct publié par Anthropic le même jour : des circuits quantiques d’arithmétique sur courbes elliptiques conçus par Claude, qui restent des plans vérifiés sur ordinateur classique (voir notre article sur les circuits quantiques conçus par Claude).
Comment vérifier une affirmation de ce genre
La démarche d’Anthropic tient en quatre temps, applicables à n’importe quel nombre dont on doute.
- Rassemblez les pièces brutes (chiffres, fichier, code), sans votre interprétation.
- Posez la question ouverte, « d’où viennent ces nombres ? », sans souffler votre hypothèse. Ici, la piste humaine était fausse.
- Exigez une preuve que l’on peut rejouer : un calcul ou un petit programme qui régénère vos chiffres. Anthropic a publié le sien, moins de quarante lignes de Python.
- Faites vérifier par quelqu’un d’autre, avec un autre outil, comme Valsorda en Go.
Une limite : la recherche a été menée par un modèle interne d’Anthropic, et rien ne dit qu’un abonnement grand public irait aussi vite.
Les zones d’ombre qui restent
La graine de B-163, l’une des cinq courbes NIST dites binaires, ne correspond à rien de ce que le modèle a essayé. L’origine des points de base, un autre paramètre de chaque courbe, reste inconnue pour P-224, P-256, P-384 et P-521.
Le programme de 1997-1998 a aussi écarté des candidats valides : pour P-256, le candidat 876 de la même série aurait donné une courbe tout aussi valable. Anthropic ignore quel critère a joué, ou s’il s’agit d’un effet involontaire, et juge invraisemblable que des courbes affaiblies aient été choisies ainsi, tout en reconnaissant que « rien dans les nombres ne montre combien de séries il y a eu ».
