L'any 2000, l'institut nord-americà d'estàndards (NIST) va fixar unes corbes el·líptiques per a la signatura digital ECDSA, que avui es fa servir per protegir transaccions i connexions. Cada corba parteix d'un nombre inicial, una «llavor», que l'NSA va donar sense explicar-ne l'origen. Aquell silenci va alimentar durant dècades la sospita que les corbes podien amagar una porta del darrere.
Anthropic explica, en un text de recerca, que un dels seus models Claude, en una versió interna, ha trobat d'on surten les llavors de les corbes P-192, P-224, P-256, P-384 i P-521. No són el resultat d'una funció de resum aplicada a una frase, com s'havia suposat, sinó la sortida del generador de nombres aleatoris lrand48 de la llibreria C, inicialitzat amb una marca horària d'entre el maig del 1997 i l'abril del 1998. L'empresa diu que el model ho va aconseguir en menys de mitja hora: va notar que lrand48 només dona 31 bits i que els bits més alts d'algunes llavors eren sempre zero, i va recuperar l'estat del generador amb una tècnica de reducció de reticles (LLL).
La troballa respon el repte que va obrir el criptògraf Filippo Valsorda amb una recompensa de 36.864 dòlars, que Anthropic diu que donarà a l'Internet Security Research Group. L'empresa també explica els punts de partida de la corba P-192 i de cinc corbes més de l'estàndard ANSI X9.62, i publica el codi per regenerar-ho, amb llicència CC0.
Els límits són clars. Anthropic diu que això no és cap trencament criptogràfic ni revela cap debilitat, i que només fa menys plausible una porta del darrere perquè les llavors surten d'un procés senzill i reproduïble: no demostra que no n'hi hagi. Els punts de partida de P-224, P-256, P-384 i P-521 continuen sense explicació, igual que la llavor B-163. El text el signen investigadors de l'empresa i no diu que experts externs hagin verificat el resultat.