AREX Feed Article
Google DeepMind 称 AI 智能体在人类引导下发现遗留 1024-bit RSA 两大弱点，2048-bit 不受这些攻击影响
11 月 6 日（北京时间 11 月 7 日凌晨），Google DeepMind 在官方 X 账号发布新研究，展示 AI 智能体（AI agents）如何加速「加密压力测试」（stress-testing）这门科学。据，其模型在人类引导下，在遗留（legacy）1024-bit RSA 密码系统中发现两处重大弱点；公司称，这类系统被攻破所需的计算预算，比此前认为的可能水平更低。
公司同时说明，这些结果只影响已过时的 1024-bit RSA：现代加密协议几乎普遍使用 2048-bit 或更长的密钥，不受这些特定攻击影响。DeepMind 在帖子中链接了公司科学副总裁（VP Science）Pushmeet Kohli 的——Kohli 随帖发布了一篇题为《Advancing the frontier of cryptanalysis》的，两项结果的细节都在其中。
弱点一：攻击者控制签名区块约一半，填充就失去保护
据长文介绍，数字签名让计算机验证一段数据——软件更新、文档或网站——确实来自其声称的来源。许多签名标准会在签名前给消息加入预设数据，即「填充」（padding），把消息补齐成固定大小的区块。密码学家早就知道填充有助于防伪造，但如果攻击者能向签名设备喂入自选输入，填充究竟能提供多少保护，此前并没有清楚的答案。
DeepMind 团队给出的答案是：关键在于攻击者控制了被签名区块的多大比例。一旦攻击者控制的区块达到约一半或更多，填充就不再提供任何保护——伪造签名对数学捷径的脆弱程度，与完全不加填充时相同。当攻击者控制的区块较小时，比如消息里只有 32 字节的数字指纹，伪造仍然更难；即便如此，团队称发现了一种新算法，据其理论估计，针对 1024-bit 密钥的表现较此前最佳方法提升约 1,600 倍。
弱点二：批量分解新算法，单把密钥成本约降为原来的 1/30
第二处弱点关乎「一次分解许多个同长度的大数」。长文解释，RSA 密钥通常采用标准位长，例如 1024 或 2048 bit；攻击者若要破解大量密钥，理论上可以把一次大型前置计算的成本摊到所有密钥上，压低单把密钥的破解成本。DeepMind 称，其 AI 智能体发现了一种渐近复杂度优于既有方法的新算法：在破解大量密钥的场景下，每额外分解一把 1024-bit 密钥的平均成本，较既有批量方法约降为原来的 1/30。
沙盒复现：CPU 时间约为先前实现的 1/3.5
按长文说法，这项签名攻击的测试在沙盒化模拟中完成，没有接触任何在用系统。AI 智能体在一把来自更早学术研究、已被解出的 1024-bit 基准密钥上构建了实现，复现了先前结果，所用 CPU 时间约为先前实现的 1/3.5，所需算力不到直接破解该密钥本身的千分之一。
公司口径：不能把密码学困难度当成固定假设
在宣布这项研究的帖子中，DeepMind 写道，随着进入「AI 赋能的数学与计算新时代」，不能再依赖历史上的困难性（hardness）假设，必须持续对密码学标准做压力测试；长文补充，这些结果同时显示了 AI 智能体系统评估这类计算问题困难度的速度可以有多快。
长文给出的背景是：RSA 的安全性建立在「计算困难度」上——把两个大素数相乘很容易，反过来分解乘积在计算上极其困难；密码分析社区几十年来持续检验这类假设，并把 RSA-1024 这类退役系统当作安全的试验场，本研究正是如此。历史上，这类工作的重大进展往往以年甚至十年计，防御方因此可以假定安全余量变化缓慢；长文称，AI 让探测这些假设的速度大幅加快，主动做压力测试比以往任何时候都重要，并希望安全社区能利用这些发现更好地测量密码强度，让现代标准在潜在威胁到来之前保持韧性。
Anthropic 也在今年 7 月 28 日发布研究，称其研究人员借助 Claude 发现了密码算法的弱点，其中首个攻击显著削弱 HAWK 数字签名方案。
9 月论文先行：无需分解密钥即可伪造 1024-bit 签名
今年 9 月 20 日，Laura Shea、Miro Haller、Adam Suhl、Nadia Heninger 与 Emmanuel Thomé 在发表论文《Forging 1024-bit RSA signatures in nearly SNFS time》：借助一个未受足够重视的 2007 年算法（Joux、Naccache 与 Thomé 提出），攻击者在临时取得原始 RSA 签名/解密预言机（signing oracle）的访问权后，能在接近「特殊数域筛」（SNFS）的时间内伪造签名，而无需分解密钥。论文报告，其对 1024-bit RSA 的实现总共耗用 1,380 个 CPU 核心年、跨越五个日历月，发出 2^32 次预言机查询；前置计算完成后，攻击者可离线伪造任意选定签名，再花 180 核心年即可。攻击使用硬件安全模块（HSM）充当签名预言机，表明可以通过黑盒 API 交互冒充 HSM，而无需导出密钥。
DeepMind 的新研究由 Dj Dvijotham 与 Abhradeep Thakurta 领导，并与 Heninger（加州大学圣迭戈分校与 Inria）、Thomé（Inria）合作——后两人正是上述 9 月论文的作者。长文指引读者分别阅读关于数字签名与密钥分解的两篇完整技术论文。
那篇 9 月论文据此推断：在签名预言机这一攻击模型下，实践中常见的 1024-bit 至 4096-bit RSA 参数，其具体安全强度比基于分解难度的估计低 15～30 bit；即使 4096-bit RSA，在该模型下也达不到 128-bit 安全水平。