AI智能体数周找出旧版RSA两处弱点

Google DeepMind 11 月 6 日宣布，在人类密码学家指导下，其 AI 智能体在几周内对早已退役的 1024 位 RSA 找到两条新的攻击路径。科学副总裁 Pushmeet Kohli 在 X 上以“推进密码分析前沿”为题发布了这一成果，并同步挂出两篇工作论文；合作者包括加州大学圣迭戈分校与法国 Inria 的密码学家 Nadia Heninger、Emmanuel Thomé 等人。

第一项成果针对数字签名。研究显示，当攻击者能控制签名数据块的一半以上时（1024 位密钥对应 64 字节摘要），PKCS#1 v1.5 填充几乎不再提供额外保护；在攻击者只能控制一小部分的更难情形（例如 32 字节摘要），新算法按理论估计可把伪造签名的成本降到此前最优方法的约 1600 分之一。需要强调，1600 倍是理论推算值，并非端到端实测。

实测部分同样亮眼。在沙盒环境中，智能体复现了学术界今年早些时候完成的一次 1024 位签名伪造基准：同样的算法、多项式与边界，首根计算从约 1380 个 CPU 核年降到 391 个，节省约 3.5 倍；从全规模筛分算起只用了 3.2 天，峰值动用约 30 万 CPU 核和 16 块 GPU。整个工程由两个协作的 AI 智能体完成——写下约 3.35 万行代码、运行 336 次分布式实验、修掉一个导致结果出错的 32 位溢出漏洞，而人类研究员只发了约 20 条短消息，大多是在做审批。

第二篇论文 Fan Factories 研究批量分解：在完成一次预计算之后，每再分解一个 1024 位整数的边际成本约为单次普通分解的 58 分之一，比以往方法改善约 30 倍；论文中的代数恒等式已用 Lean 4 完成机器验证。作者强调这是纯理论结果，未实际分解任何密钥。

边界必须说清：两篇论文的结论只适用于已被淘汰的 1024 位 RSA。DeepMind 明确表示，如今普遍使用 2048 位及以上密钥的部署不受影响，网银、通讯和软件更新并无现实威胁；美国 NIST 早在 2019 年就已禁止将低于 2048 位的 RSA 用于生成新签名。

真正值得记录的是速度：过去以年计的密码分析周期，正在被“人类定向、智能体执行”的工作流压缩到以周计。对仍在旧设备、固件签名或遗留证书链里使用 1024 位密钥的组织而言，这是一次明确的清点与迁移提醒。

编译自 Google DeepMind，原标题：“Advancing the frontier of cryptanalysis”