Claude, 25 Yıllık NSA Şifreleme Bilmecesini 30 Dakikada Çözdü

Bazen bir bilmece o kadar uzun süre çözülmeden kalır ki, insanlar onun çözülemez olduğuna inanmaya başlar. İşte tam da böyle bir bilmece, 25 yıl boyunca kriptografi dünyasının gündeminden düşmedi. Şimdi bu bilmeceyi çözen şey bir matematikçi ya da bir şifre uzmanı değil, Anthropic'in yapay zeka modeli Claude oldu. Üstelik işi 30 dakikadan kısa sürede bitirdi.

Hikâyeyi anlamak için biraz geriye, 2000 yılına gidelim. ABD'nin standart kurumu NIST, dijital imzalar için kullanılan ECDSA adlı bir sistemde belirli 'eğriler' (elliptic curve, yani eliptik eğri) standardize etti. Bunu şöyle düşünün: dijital imza, bir belgenin gerçekten sizin tarafınızdan onaylandığını kanıtlayan matematiksel bir kilit-anahtar mekanizması. Bu kilidi üretmek için önce bir 'tohum' (seed) sayı gerekiyor; tıpkı bir rastgele sayı üretecine başlangıç değeri vermek gibi. İşte bu tohumları NIST'e NSA (Amerika'nın ulusal güvenlik ajansı) sağlamıştı — ama nasıl üretildiklerini hiç açıklamamıştı.

Açıklama olmayınca şüphe doğdu. Eğer NSA bu sayıları özel bir yöntemle, kasıtlı olarak seçtiyse, teoride sistemde kendisinin bildiği ama başkalarının bilmediği bir zayıflık (arka kapı, backdoor) gizlemiş olabilirdi. Bu şüphe o kadar ciddiye alındı ki, konuyla ilgili bir ödül bile kondu ve amatör kod kırıcılar yıllarca bu tohumların kökenini bulmaya çalıştı. NSA'de çalışmış, artık hayatta olmayan Jerry Solinas bir dönem bu sayıların esprili bir cümlenin özet (hash) değeri olduğunu öne sürmüştü, ama bu açıklama yanlış çıktı.

Claude Neyi Buldu?

Claude, bu tohumların aslında "lrand48" adında, C programlama dilinde yer alan oldukça sıradan bir rastgele sayı üreticisinden geldiğini tespit etti. Bu üreteç, 1997 Mayıs ile 1998 Nisan arasındaki bir Unix zaman damgasıyla (bilgisayarların tarihi saniye cinsinden saydığı bir sayı) başlatılmıştı. Yani kasıtlı bir gizli formül değil, o dönemde programcıların elinin altındaki basit bir araçtı kullanılan.

Claude'un bu deseni fark etmesinin yolu da öğretici: "lrand48" yalnızca 31 bit (yani 31 haneli ikili sayı) üretebiliyor. Bazı tohumlardaki en üst bitlerin sistematik olarak sıfır çıkması, Claude'a bu sayıların belirli bir matematiksel sınırlamadan geçtiğini gösterdi — tıpkı bir kilidin dişlerindeki tekrar eden bir aşınma izinin, o kilidin hangi makineden çıktığını ele vermesi gibi. Anthropic'e göre bu bulgu, kasıtlı bir arka kapı ihtimalini önemli ölçüde zayıflatıyor; çünkü sıradan bir rastgele sayı üretecinden çıkan değerlerin özel olarak manipüle edilmiş olması çok daha zor.

Anthropic, bu çözüm karşılığında kazandığı 36.864 dolarlık ödülü kendi hesabına almak yerine, internet güvenliği alanında çalışan kâr amacı gütmeyen bir kuruluş olan Internet Security Research Group'a bağışladı.

Bu Ne Anlama Geliyor?

Burada asıl ilginç olan şey, bulunan cevabın kendisi kadar, bu cevabı kimin bulduğu. 25 yıl boyunca dünyanın dört bir yanından meraklı kod kırıcılar bu bilmeceyle uğraştı ve sonuç alamadı. Claude ise elindeki veriyi sistematik biçimde tarayarak, insan gözünün kolayca kaçırabileceği bir biti deseni yakaladı. Bu, yapay zekanın yalnızca metin yazmakta değil, sabır ve dikkat isteyen analitik keşif görevlerinde de giderek daha güçlü bir araç haline geldiğinin somut bir göstergesi. Daha önce Anthropic'in güvenlik denetçisi METR'e şirket içi erişim açmasını ele aldığımız yazıda da değindiğimiz gibi, şirket yapay zeka güvenliği konusunda şeffaflığı bir pazarlama aracına dönüştürmeye çalışıyor; bu kriptografi bulgusu da o stratejinin bir parçası sayılabilir.

Teknik meraklıları için not: NIST'in bu eğrileri hâlâ ABD hükümetinin resmi dijital imza standardı FIPS 186 kapsamında yer alıyor; standardın güncel haline NIST'in resmi sayfasından ulaşılabilir.

Türkiye'ye Etkisi

ECDSA, yalnızca ABD hükümetinin değil, bankacılık sistemlerinden TLS/SSL bağlantılarına, yani internet tarayıcınızın güvenli bir siteye bağlanırken kullandığı mekanizmaya kadar dünya genelinde yaygın olarak kullanılıyor. Türkiye'deki bankalar, e-devlet sistemleri ve e-imza altyapıları da dolaylı olarak bu standartlara dayanıyor. Dolayısıyla bu tür bir şüphenin zayıflaması, sadece akademik bir merak konusu değil, günlük hayatta güvendiğimiz dijital imza sistemlerinin güvenilirliğine dair somut bir rahatlama anlamına geliyor.