Anthropic informó el 16 de octubre que el modelo de investigación interno de Claude ayudó a investigar cómo se generaban los parámetros de las curvas utilizadas en el estándar de firma digital ECDSA. Según la compañía, el hallazgo explica parte del proceso de creación de parámetros que no ha sido claro durante años. La empresa recalca que no se ha roto el cifrado, no se ha descubierto un ataque nuevo ni una debilidad en las curvas, y que este resultado no exige cambiar el uso de los sistemas.
La empresa afirma que el modelo identificó en menos de media hora el origen de las semillas de 5 curvas NIST sobre cuerpos primos. Entre las curvas se encuentra la P-256, junto a las P-192, P-224, P-384 y P-521. La explicación se refiere a cómo crear parámetros públicos. No proporciona una forma de extraer una clave privada de una clave pública, y no hace que la firma de otra persona sea algo que pueda ser falsificado a través del chat.
La pregunta histórica detrás de los parámetros
ECDSA es un mecanismo de firma digital basado en las matemáticas de las curvas elípticas. Para usarlo, hay que ponerse de acuerdo sobre los parámetros que definen la curva. Algunos de estos valores se publicaron previamente con valores de inicialización, llamados semillas, sin una explicación completa de sus orígenes. Debido a que la selección se hizo a través de la NSA, la falta de explicación planteó preguntas en la comunidad criptográfica sobre el proceso de selección y su fiabilidad.
Tal semilla no es ni una contraseña de usuario ni una clave privada. Es parte de la información utilizada para definir parámetros compartidos y públicos. Esta distinción es importante para entender el hallazgo: una explicación de cómo se crea un número estándar puede arrojar luz sobre la historia del diseño, sin comprometer el secreto en el que se basa una firma en particular. La revelación de la fuente de un parámetro público no es equivalente a la revelación de una clave secreta.
Según Anthropic, experimentos anteriores con sus empleados se centraron en la posibilidad de que los valores se crearan a partir de la expresión textual. El modelo examinó otra dirección relacionada con el software desde el momento de la estandarización. La empresa publicó la explicación y los medios para reproducir la correspondencia entre los valores. Lo importante es que la afirmación va más allá de una respuesta verbal del modelo: identifica una relación matemática que puede ser probada contra valores publicados previamente.
Lo que se encuentra, lo que aún no se explica.
Según la compañía, las semillas estudiadas están vinculadas a un antiguo generador pseudoaleatorio llamado lrand48, inicializado mediante marcas de tiempo. La explicación proporciona una manera de recuperar los parámetros relevantes. Los detalles del mecanismo no lo convierten en una recomendación para crear secretos hoy en día: su función aquí es explicar una elección histórica de valores públicos. Esto no implica que generar claves privadas usando un reloj sea un método seguro.
El estudio también deja preguntas abiertas. Anthropic identifica 1 semilla de curva binaria inexplicada y puntos base de varias curvas cuyos orígenes aún no se han reconstruido. Además, algunas pruebas omitieron posibles candidatos por razones que siguen siendo desconocidas. Por lo tanto, es correcto hablar de una explicación significativa de algunos de los parámetros, no de una reproducción completa de todas las decisiones tomadas al crear los estándares.
La compañía estima que los hallazgos refuerzan la seguridad de que las curvas no fueron seleccionadas para incluir debilidad deliberada. Esta es la conclusión de los investigadores basada en la explicación que proporcionaron, y no una prueba de que cualquier sistema que use ECDSA esté protegido de cualquier problema. La seguridad de una aplicación también depende de cómo se almacenan las claves, se construyen las firmas y se manejan los permisos. El estudio de la fuente de los parámetros no es un control de seguridad para cualquier software que implemente el estándar.
Cómo entender el papel de Claude
Anthropic describe el uso de un modelo de investigación interno. No hay ningún aviso de que esta habilidad en particular está igualmente disponible para todos los suscriptores de Claude, o que todos los usuarios obtendrán el mismo resultado en una pregunta corta. Lo que se describe es un proceso de investigación en torno a un problema definido, con valores públicos con los que se puede comparar. El nombre del producto por sí solo no es suficiente para determinar cuál será el resultado en cualquier otro entorno de uso.
El ejemplo es interesante porque conecta proponer hipótesis con probarlas. Un modelo puede sugerir una relación entre detalles que son difíciles de identificar a primera vista, pero el valor científico se crea cuando se puede probar para ver si la relación realmente explica los datos. Aquí hay valores objetivo precisos. Hacerlos coincidir es una cuestión diferente de si la explicación suena convincente para el lector. Incluso un texto muy elocuente puede presentar una suposición falsa.
Para los investigadores y desarrolladores, esto es un recordatorio para planificar un método de verificación con anticipación. Antes de asignar una pregunta técnica a un modelo, es bueno saber qué resultados apoyarían la proposición y cuáles la desacreditarían. Si la respuesta requiere una prueba o experimento matemático, una descripción verbal del modelo no los reemplazará. El uso de la IA puede ayudar en la búsqueda, sin transferirle la autoridad para determinar que la búsqueda fue exitosa.
Qué deben hacer los administradores de seguridad y los usuarios
La respuesta inmediata al anuncio debería ser mantenerlo en perspectiva. La propia Anthropic dice que no hay necesidad de cambiar debido al hallazgo. No hay razón para restablecer contraseñas, reemplazar certificados o dejar de usar firmas simplemente porque un titular menciona la IA y la criptografía. Tales decisiones deben basarse en las advertencias pertinentes, la orientación del proveedor y el estado del sistema en particular, no en una mezcla de los dos tipos de investigación.
Los equipos profesionales deben distinguir entre la fuente de los parámetros estándar, su fuerza matemática y su precisión de implementación. Al evaluar un sistema organizacional, los equipos deben continuar las actualizaciones, los controles de acceso y la protección de claves que requiere. Estas son recomendaciones operativas generales, no una solución a una nueva vulnerabilidad descubierta en la versión actual. El hallazgo no proporciona una base para cambiar la urgencia del tratamiento para otro problema.
Un resultado calmante, con límites claros.
La pregunta que se está investigando no es si Claude puede romper cualquier sistema de firma. La pregunta es si es posible explicar cómo se eligieron los números públicos cuando partes de su historia no estaban claramente documentadas. Según Anthropic, la respuesta para un número significativo de ellos es sí. La explicación reduce la incertidumbre histórica, mientras que al mismo tiempo detalla dónde quedan lagunas. Ambas partes son necesarias para entender el resultado.
Para los lectores en Israel y en otros lugares, la importancia práctica es un hallazgo de investigación y un ejemplo de uso de la IA junto con una verificación precisa. No hay advertencia sobre la pérdida de protección en un servicio en particular o el compromiso de cuentas. Cuando la proposición se mantiene dentro de sus límites, se puede ver la contribución sin exagerarla: entender el origen de los parámetros, con hallazgos que se pueden probar, y con preguntas que quedan abiertas para un trabajo posterior.