Два ИИ-агента Google DeepMind за неполные четверо суток повторили лабораторную атаку на цифровые подписи RSA-1024 и сократили вычислительные затраты в 3,5 раза. Для получения одной поддельной подписи понадобился эквивалент 391 года работы одного процессорного ядра вместо 1380. Речь идёт о старой 1024-битной схеме, а не о взломе современного RSA-2048.
Новый эксперимент описали криптографы Google DeepMind, Калифорнийского университета в Сан-Диего и Inria. Для сравнения взяли тот же ключ и алгоритм, который в сентябре 2026 года испытала другая группа. Ускорение обеспечили прежде всего оптимизация кода и организация расчётов, а не новый способ взлома RSA. Прежний эксперимент продолжался пять календарных месяцев.
Два агента написали около 33 500 строк кода, провели 336 распределённых экспериментов и устранили ошибки без ручной отладки. Вычисления заняли 3,2 суток на инфраструктуре с числом ядер до 300 тысяч и 16 GPU. В отличие от предыдущего опыта с аппаратным криптомодулем HSM, новая проверка использовала программный имитатор подписывающего устройства и заранее известную тестовую задачу.
Механизм опирается на доступ к интерфейсу подписи, принимающему выбранные атакующим данные. Для RSA-1024 требуется около 4 млрд запросов ещё до выбора будущей подделки, причём запросы должен принимать сам подписывающий сервис. Закрытый ключ при этом не извлекают. По расчётам авторов, прямое разложение того же RSA-модуля на множители потребовало бы от 500 тысяч до миллиона ядро-лет.
Работа затрагивает не только «сырой» RSA без дополнения. Для формата PKCS#1 v1.5 через интерфейс PKCS#11 защитное дополнение перестаёт усложнять атаку, если вызывающая сторона контролирует не менее 65 из 128 байтов блока. Для 64-байтного хеша проверили лишь математическое преобразование, а не полную подделку. Если устройство само вычисляет хеш сообщения, описанная модель атаки не подходит.
Для короткого 32-байтного хеша, например SHA-256, DeepMind оценила улучшение нового метода примерно в 1600 раз относительно прежнего алгоритма. Но метод для такого случая пока не запускали на криптографически значимых размерах. Следовательно, 1600-кратное ускорение нельзя приравнивать к измеренной стоимости реальной подделки подписи или готовому инструменту для атаки.
Отдельная работа предложила сократить теоретическую стоимость факторизации каждого следующего RSA-1024 примерно в 30 раз за счёт общей предварительной обработки. Подготовка сама стоит примерно столько же, сколько взлом одного ключа. Алгоритм пока не реализован, а величина выигрыша основана на математической модели, не на испытаниях с реальными ключами.
В сентябре Claude уже помог провести факторизацию RSA-896 на GPU-кластере, но новые эксперименты DeepMind не означают раскрытия RSA-1024. Рекомендации NIST давно не допускают генерацию подписей с 1024-битными ключами, хотя разрешают проверку старых. Для RSA-2048 и более длинных ключей работы не показали практического нарушения защиты; атак на действующие системы авторы не приводят.