Une IA lève le mystère des courbes cryptographiques après 30 ans de doutes

Depuis près de trois décennies, les courbes elliptiques standardisées par le NIST constituaient une énigme cryptographique. Fournies par la NSA sans justification, ces graines mathématiques alimentaient les soupçons d’une potentielle porte dérobée. Une intelligence artificielle vient de résoudre ce mystère en quelques minutes seulement.

Une découverte révolutionnaire signée Claude

Le 16 octobre 2026, l’équipe Frontier Red Team d’Anthropic a publié une découverte majeure. Les graines des courbes elliptiques P-192 à P-521 proviennent du générateur lrand48 de la bibliothèque C, initialisé par des horodatages datant de 1997 et 1998.

Filippo Valsorda, organisateur de la prime ouverte pour retrouver ces origines, a vérifié le calcul. La publication, intitulée « Claude reveals ECDSA curve origins », porte la signature de dix chercheurs d’Anthropic.

La simplicité de la solution surprend : vingt-quatre lignes de Python suffisent désormais à régénérer ces graines. Un résultat qui clôt des années d’interrogations dans la communauté cryptographique.

Comment l’IA a résolu l’énigme en moins de trente minutes

Un modèle de recherche interne d’Anthropic, désigné comme Claude, a été sollicité en octobre 2026. Un employé lui a demandé de retrouver la production des graines, sans orientation particulière.

Là où plusieurs salariés avaient échoué en cherchant une phrase hachée, l’IA a fourni la réponse en moins d’une demi-heure. Le modèle a supposé l’utilisation d’un générateur pseudo-aléatoire livré avec les bibliothèques C des années 1990.

L’indice statistique déterminant

L’élément clé résidait dans une anomalie statistique. Quatre des dix graines présentent un bit de tête nul sur chacun de leurs cinq mots de 32 bits. Une coïncidence dont la probabilité atteint une chance sur 5 810.

L’état interne a été reconstitué par essai exhaustif et réduction de réseau. La fonction srand48 initialise l’état de 48 bits avec un horodatage Unix, complété par la constante 0x330E.

Exemple concret : la graine de P-256 correspond au 1 842e candidat d’un tirage lancé le 16 août 1997 à 01:52:34 UTC.

Le contexte historique des courbes NIST

Les courbes P-192, P-224, P-256, P-384 et P-521 figurent dans la norme de signature FIPS 186-2, adoptée par le NIST en 2000. Leur coefficient b est dérivé par hachage SHA-1 d’une valeur de 160 bits selon la procédure ANSI X9.62.

Le hachage empêche de choisir b manuellement mais laissait ouverte la question du choix de la graine. La NSA avait fourni ces graines « sans explication ni justification ».

Les révélations de 2023

En 2023, Alfred Menezes avait indiqué à Steve Weis que Jerry Solinas, de la NSA, lui avait remis des graines « à l’automne 1997 ». Solinas, décédé en 2023, évoquait le hachage d’un message humoristique dont il ne se souvenait plus.

Les soupçons de manipulation enfin levés

« Les précédents de la NSA, à savoir Dual_EC_DRBG », expliquaient la suspicion envers ces graines. Filippo Valsorda, en annonçant sa prime le 5 octobre 2023, tenait pourtant ces craintes pour infondées.

Le site SafeCurves classait P-224, P-256 et P-384 comme « manipulables » en raison d’une « graine inexpliquée ». Cette classification devient caduque avec la nouvelle découverte.

Une marge de manœuvre insuffisante pour une porte dérobée

Selon Valsorda, la NSA n’aurait disposé que d’environ 30 bits de liberté, jugé « trop peu pour une porte dérobée ». Les résultats du 16 octobre écartent complètement une technique décrite par Daniel J. Bernstein et Tanja Lange en 2017.

Cette technique exploitait 70 bits de liberté. La liberté réelle de la NSA est jugée insuffisante pour y loger « la moindre porte dérobée NOBUS ».

Des conclusions rassurantes pour la cryptographie

Anthropic se veut clair : « Il ne s’agit ni d’un cassage cryptographique, ni d’une nouvelle attaque, ni d’une faiblesse des courbes ECDSA ». La manipulation des graines devient beaucoup moins plausible.

Cette découverte implique que la méfiance envers les graines ne justifie plus une migration de P-256 vers Curve25519. Un changement de perspective majeur pour l’industrie.

Aucune mesure d’urgence requise

Anthropic indique qu’il n’y a « aucune mesure à prendre ni rien à faire différemment ». Au 19 octobre 2026, ni le NIST ni l’ANSSI n’avaient commenté ce résultat sur leurs pages d’actualités.

Les nouvelles recommandations des experts

À titre personnel, Valsorda recommanderait désormais les courbes du NIST avec signatures ECDSA déterministes ou hedged. Il préconise également l’arithmétique des corps vérifiée et les formules d’addition complètes de Renes, Costello et Batina de 2015.

Cette préférence s’affirme même face à Curve25519, Ed25519 et X25519, longtemps privilégiées par prudence.

La position de l’ANSSI

L’ANSSI-PG-083, version 3.00 du 20 mars 2026, classe P-256, P-384 et P-521 parmi les courbes conformes. Elle les place aux côtés de trois courbes Brainpool et de la courbe française FRP256v1.

Le document ne pose aucune règle sur la génération des paramètres. Il recommande toutefois de « viser une sécurité post-quantique » pour tout mécanisme prévu au-delà du 1er janvier 2030.

L’agence admet l’hybridation des signatures : signer avec ML-DSA, puis signer le couple message et signature avec ECDSA. Cette approche transitoire facilite la migration.

La transition vers le post-quantique

Valsorda, le 12 octobre 2026, fait état d’un « consensus » pour achever la transition d’ici à 2029. Il conseille ML-DSA-44 seul pour signer, sauf pour les clés SSH.

Le guide de l’ANSSI ne tient toutefois pas ML-DSA seul pour conforme. Cette divergence illustre les débats encore vifs sur les standards post-quantiques.

Une prime généreuse pour l’Internet Security Research Group

Valsorda a reçu la réclamation le 15 octobre 2026. Il a réimplémenté l’algorithme en Go « pour vérifier la réclamation ». L’attribution de la prime de 36 864 dollars a été annoncée le lendemain.

Les fonds iront à l’Internet Security Research Group, l’association qui gère Let’s Encrypt. Un choix symbolique qui bénéficie à toute la communauté.

Des critères de sélection révélés

Le programme de Valsorda a révélé deux critères de sélection des graines absents de la norme. L’un écarte les candidats dont l’ordre compte plus de bits que le nombre premier du corps.

Les zones d’ombre persistantes

Valsorda écrit que le second critère de sélection « nous échappe encore ». Il existe environ deux fois plus de graines valides que de graines publiées.

Pour P-256, le 876e candidat du même tirage donnait aussi une courbe d’ordre premier. Anthropic ignore si ces sauts relèvent d’un critère délibéré ou d’un artefact involontaire.

Les points de base non élucidés

Ceux de P-192 et des cinq courbes ANSI viennent du générateur de FreeLIP. En revanche, ceux de P-224, P-256, P-384 et P-521 restent sans explication.

La courbe française FRP256v1 demeure encore moins documentée. L’avis publié au Journal officiel donne ses paramètres, validés par l’ANSSI, sans graine ni méthode de génération. SafeCurves la classe « trivialement manipulable », avec pour commentaire « aucune explication fournie ».