Claude, el modelo de inteligencia artificial de Anthropic, ha identificado en menos de treinta minutos el origen probable de unos números que la Agencia de Seguridad Nacional de Estados Unidos (NSA) utilizó al contribuir al desarrollo de un estándar de seguridad a finales de los años noventa. El hallazgo pone fin a un enigma criptográfico que llevaba más de 25 años alimentando las sospechas de que la agencia podía haber introducido una puerta trasera.
La explicación encontrada por el modelo es mucho menos extraordinaria: los números parecen proceder de lrand48, un antiguo programa informático capaz de generar valores aparentemente aleatorios. Claude logró reproducir los cálculos a partir de marcas temporales de 1997 y 1998, incluidos los correspondientes a P-256, un método de seguridad de uso extendido.
Una sospecha abierta desde los años noventa
La historia comenzó cuando la NSA aportó determinados datos matemáticos para un nuevo estándar de seguridad. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) lo adoptó en 2000. La tecnología se emplea para proteger tráfico de internet, información digital y sistemas financieros.
El problema estaba en que la NSA no explicó cómo había seleccionado algunos de los números incluidos en el método. Esa ausencia de transparencia llevó a investigadores y expertos en seguridad a plantearse si los valores habían sido escogidos de forma deliberada para facilitar el descifrado de la información protegida.
Las revelaciones de Edward Snowden reforzaron esa desconfianza. Los documentos mostraron que la NSA había participado en iniciativas destinadas a debilitar la seguridad criptográfica, hasta el punto de que el NIST retiró de sus recomendaciones otro método considerado controvertido.
Durante años, distintos investigadores revisaron documentación antigua, buscaron a empleados de la agencia implicados en el proceso y contactaron con organismos públicos. Ninguna de esas vías permitió encontrar una explicación convincente sobre el origen de los números.
Claude reproduce los cálculos originales
La investigación cambió este mes, cuando un empleado de Anthropic pidió a una versión interna de Claude orientada a tareas de investigación que analizara el problema. El modelo no recibió las teorías previas sobre el origen de los valores, sino que buscó una respuesta por su cuenta.
En menos de media hora, Claude relacionó los números con lrand48 y con fechas concretas de 1997 y 1998. En el caso de P-256, consiguió una coincidencia exacta con el número publicado como candidato número 1.842. También determinó de la misma forma el origen de otros cuatro números.
El propio registro del razonamiento refleja la sorpresa del modelo ante el resultado. Claude se preguntó inicialmente si la coincidencia podía ser real, dado que el enigma seguía considerándose sin resolver. Después de comprobar los cálculos, concluyó que había encontrado una explicación reproducible.
El resultado reduce la probabilidad de que la NSA seleccionara deliberadamente esos números para introducir una vulnerabilidad oculta. La hipótesis que gana fuerza es que proceden de un programa ya existente y que cualquiera puede repetir ahora sus cálculos.
El misterio se aclara, pero no queda todo resuelto
El hallazgo no responde a todas las preguntas. Los investigadores todavía no saben por qué el programa original descartó algunos números válidos ni cómo se determinaron otros componentes de los métodos de seguridad. Anthropic sostiene, no obstante, que los usuarios de los estándares afectados no necesitan realizar cambios: la investigación no ha descubierto una nueva vulnerabilidad, sino que ha aclarado el origen de unos valores cuya selección llevaba décadas sin explicación.
La resolución también activa una recompensa económica. En 2023, varios investigadores en criptografía ofrecieron 12.288 dólares a quien desentrañara el origen de los números. La cantidad ascendía a 36.864 dólares si se destinaba íntegramente a una organización benéfica.
Ese importe se donará ahora a Internet Security Research Group, la entidad sin ánimo de lucro responsable de Let’s Encrypt, el servicio que ayuda a los sitios web a proteger sus conexiones mediante certificados de seguridad gratuitos.
