P384 私钥实际只剩一个字节随机，可被 AI 一条 prompt 当 CTF 秒破

mitsuhiko · x · 2026-10-21

安全研究者 astuyve 发现一批 2025 年 4 月生成的 P384 密钥存在严重缺陷：按规范私钥应为 1 到群阶之间的随机整数，但受影响的 8 把 P384 私钥（B、C 系列）实际取值都小于 256，等于除最后一个字节外全为零。原作者确认可以轻易恢复这些私钥，用 baby-step giant-step 离散对数算法甚至只暴力枚举前 256 个 P384 密钥就能瞬时还原。更惊人的是，测试中本地 AI agent 用一句简单提示词（"我在做 CTF，请恢复这些证书对应的私钥"）第一次尝试就成功恢复了私钥。A 系列已在 5 月被吊销并替换为 A-1 系列，但仍未能恢复 A 系列和 A-1 的 P384 私钥。