DeepMind 用AI 找出1024位元RSA 两个弱点
2026-11-07分类：人工智能 阅读（）
Google DeepMind 11 月6 日公布两项密码分析研究，用AI 代理在人类监督下，找出旧版1024 位元RSA 加密的两个弱点。 DeepMind 科学副总裁Pushmeet Kohli 在X 上发表长文说明，这代表这类系统能用比过去以为更少的运算量破解。
Kohli 强调，结果只影响已经淘汰的1024 位元RSA，现在几乎都用2048 位元以上金钥的加密协定仍然安全。
DeepMind：过去要花数年到数十年的进展，AI 几周做到
RSA 的安全性建立在一个数学上的「难题」：把两个大质数相乘很容易，反过来把乘积分解回质数却非常难。密码学界会拿已经退役的RSA-1024 当试验场，持续检验这类假设。
Kohli 说，这类突破过去往往要花上数年甚至数十年，防守方因此可以假设安全边际变化得很慢；但AI 代理在几周内就做出两项重要进展。
研究由DeepMind 的Dj Dvijotham 与Abhradeep Thakurta 主导，合作者包括加州大学圣地牙哥分校与法国国家资讯与自动化研究所（Inria）的Nadia Heninger，以及Inria 的Emmanuel Thomé。
弱点一：攻击者控制一半内容，数位签章的填充就没用
第一项结果和数位签章有关，也就是电脑验证软件更新、文件或网站确实来自宣称来源的机制。许多签章标准在签署前会加入预设资料「填充」（padding），用来防止伪造。
DeepMind 发现，关键在攻击者能控制多少被签署的区块。一旦控制大约一半以上，填充就完全没有保护作用，伪造签章跟没有填充一样容易。
团队在隔离的模拟环境中测试，没有碰任何实际运作的系统。 AI 代理拿先前学术研究已破解过的一把1024 位元金钥重做实验，CPU 时间少了3.5 倍，用的运算量不到破解金钥本身的千分之一。
如果攻击者能控制的内容较少，例如只是一段32 位元组的数位指纹，伪造就比较难。即使如此，团队仍找到一套新演算法，依理论估算，对1024 位元金钥比先前最好的方法快约1,600 倍。
弱点二：一次破解大量金钥，每把成本降约30 倍
第二项结果是同时分解许多同样长度的数字。 RSA 金钥通常采用标准长度，例如1024 或2048 位元，攻击者若要破解大量金钥，可以把一次大型前置运算的成本分摊到每一把上。
AI 代理找到一套新算法，和过去的批次方法相比，在一大批1024 位元金钥中每多分解一把，平均成本降低约30 倍。两项结果的技术论文已公开在DeepMind 网站（数字签章、金钥分解）。
「不能再把密码学难度当成固定假设」
Kohli 写道，从加密通讯到数位货币，现代加密系统都仰赖这类计算难度。 「在AI 驱动数学与运算的新时代，我们不能再把密码学难度当成固定不变的假设。」DeepMind 说，公开研究是为了让资安社群更准确衡量加密强度，在威胁出现前先强化标准。
Tags：
