DeepMind 智能体找出 1024 位 RSA 两处弱点，实测加速 3.5 倍

2026 年 11 月 6 日，Google DeepMind 公布了两项密码分析结果：在人类密码学家指导下，AI 智能体针对已退役的 1024 位 RSA 找到了两处弱点。DeepMind 同时划了边界，2048 位及以上密钥不受影响，实验全部在沙箱里运行，没有碰生产系统。值得记下的不是“RSA 被攻破”，而是两篇论文里那几个性质完全不同的加速数字。

11 月 6 日发布了什么

公告由 DeepMind 科学副总裁 Pushmeet Kohli 发出，标题为“Advancing the frontier of cryptanalysis”。随附两篇工作论文：签名伪造一篇标注 11 月 5 日，批量分解一篇标注 11 月 6 日，目前都没有经过同行评审。

研究由 Dj Dvijotham 与 Abhradeep Thakurta 牵头，合作者是加州大学圣迭戈分校与 Inria 的 Nadia Heninger，以及 Inria 的 Emmanuel Thomé。合作方不是挂名，签名伪造那条线的基准工作正出自 Heninger 团队。

两篇论文各管一件事，彼此独立。一篇讨论 RSA 签名填充在特定攻击模型下的失效，另一篇讨论批量分解同类密钥时的成本摊薄。共同前提是 1024 位，这个位数早在 2013 年就被 NIST 停止用于生成新签名。

签名填充：1024 位 RSA 的弱点之一

数字签名前会先填入一段固定结构的数据，业内称为填充。PKCS#1 v1.5 这类格式长期被认为能抬高伪造门槛，但业界没有精确算过它到底挡住多少。

论文把答案拆成了条件：关键不在填充，而在攻击者能控制多少被签名的数据块。一旦控制量达到约一半或更多，1024 位下相当于 64 字节摘要，填充几乎不再提供额外保护，伪造难度回落到接近无填充的水平。

这个结论有前提。攻击者需要短暂接触一个原始签名接口，硬件安全模块或盲签名服务都可能提供这种接口。现实中的系统通常不允许外部直接调用这类接口，所以它更像一条设计约束，而不是现成的攻击路径。

复现实验的数据更能说明代价。基准来自 Heninger 团队 9 月那篇论文，原计算用 1380 个 CPU 核年、五个月完成，其中大部分是预计算，此后每伪造一个签名约 180 核年。

DeepMind 的智能体用同一算法、同一模数、同一多项式重跑，首轮求根耗 391 核年，后续每根 73 核年。整个工程从设计到验证用掉三天多，硬件峰值约 30 万 CPU 核与 16 张 GPU，这些数字来自对论文的逐条核对。

人的参与被压得很薄。人类研究员只发了约 20 条消息，多为“按你的建议继续”这类批准；智能体写了约 3.35 万行新代码，跑了 336 组分布式实验，中途还修掉一个 32 位索引溢出导致的错误根。

有个细节值得单独拎出来：3.5 倍来自工程实现，不是新算法。论文自己写明，节省主要来自更快的筛法，同机对比比 CADO-NFS 快 1.8 到 4.4 倍，线性代数部分搬到了 GPU。

另一个弱点：批量分解把预计算摊薄

第二篇论文叫《Fan Factories》，处理的是“一次攻破一批同长度密钥”。RSA 密钥位数固定且数量庞大，攻击者可以先付一次约等于一次分解的预计算，再把成本摊到后续每把密钥上。

论文给的数量级是：每多分解一把 1024 位密钥，平均成本约为单独分解的 1/58，比 1993 年 Coppersmith 的多重数域筛便宜约 30 倍。结论停在渐近复杂度上，论文没有真的建出一座“工厂”。

论文还提到，相关代数恒等式的证明由双智能体框架产出，一个模型生成、一个模型验证，再由 Lean 4 做机器检查。数学部分可机检，工程部分仍要等独立复现，这两件事的可信度并不相同。

1600 倍、30 倍、3.5 倍要分开放

传播中最常出现的错误，是把 1600 倍当成已经跑出来的成绩。四个数字的性质完全不同，混在一起读就会把“算法估算”读成“实测破解”。

1600 倍对应的场景更苛刻：攻击者只控制被签名数据的一小片，例如 32 字节指纹。新算法在这个条件下的复杂度优于已知方法约三个数量级，数值来自推导，不是计时。中文报道里也已经有人把这条边界单独写出来。

30 倍同理。它描述的是批量攻击的边际成本，前提是攻击者手里已经攒了一批同位数密钥。单独一把 1024 位密钥的破解速度，没有因为这两篇论文变快。

谁需要动手，动哪三件事

对普通用户，这次发布不改变任何待办。网银、即时通讯、系统更新用的是 2048 位及以上密钥，DeepMind 明确说明不在影响范围内。要动的是还留着 1024 位资产的机构。

• 盘点：把证书链、SSH 主机密钥、代码签名、HSM、老 VPN 与防火墙、IoT 固件逐项核对位数，先处理签名用途的。
• 封接口：不让不受信任的调用方接触原始签名或解密接口，盲签名服务单独评估，日志里保留异常签名模式。
• 迁移：新密钥直接用 2048 位以上或换到椭圆曲线；后量子迁移按自己的排期走，不必等一个更干净的截止日期。

这三件事在论文发表前就该做。1024 位退役十几年，剩下的多是没人负责的设备和没人记得是谁建的内部 CA。证书续期可以交给自动化，具体验证方式可参考 ACME 证书自动化 的三种验证流程；身份侧若已切到 Passkey 通行密钥，迁移时能省掉一部分口令改造。

另一条线是工具本身。同一周 OpenAI 的 GPT-6 Cyber 也在做漏洞发现，方向偏软件层；DeepMind 这两篇则退到数学层。两边都在压缩“找弱点”的时间，防守方能否跟上，取决于资产清单是否可信。

三个仍需观察的点

一是评审与复现。两篇都是工作论文，没有第三方复现，论文里只以 Model A、Model B 代称所用模型，外界无法重跑同一套智能体流程。

二是 2048 位会不会出现同类结构性问题。本次打的是填充假设，同类假设在更长密钥上是否同样脆弱，论文没有给结论，也不宜外推。

三是老设备的处置责任。工业控制、网关、打印机的固件几年才更新一次，有些永远不会更新，这批密钥何时消失取决于厂商而非用户。

如果你是安全或运维岗位，先花半天做资产盘点，比读完全文更有用：查位数、封接口、排迁移，三步都能当天开工。如果你只是普通读者，记住一句话就够——这次没有真实密钥被攻破，变的是研究节奏，以及“硬度”可以按月重新估算这件事。想跟这条线，先读 3.5 倍那一段的工程细节，再看《Fan Factories》的复杂度推导，顺序反了容易被大数字带偏。

相关地址

以下为文中两份工作论文与前置基准论文的官方入口，版本、作者与数字以这些页面为准。

• DeepMind 工作论文《Faster Affine Root and a 1024-bit Computation》：https://storage.googleapis.com/deepmind-media/papers/Faster_Affine_Root_and_a_1024bit%20Computation.pdf
• DeepMind 工作论文《Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS》：https://storage.googleapis.com/deepmind-media/papers/Fan_Factories_Multiple_Number_Fields_in_Factorization_Factories_and_Batch_NFS.pdf
• IACR ePrint 2026/2131《Forging 1024-bit RSA signatures in nearly SNFS time》：https://eprint.iacr.org/2026/2131