DeepMind 智能体找出 1024 位 RSA 两处弱点：签名伪造理论上快 1600 倍

发生了什么

公布由 DeepMind 科学副总裁 Pushmeet Kohli 11 月 6 日在 X 与领英发文《Advancing the frontier of cryptanalysis》作出：研究团队在人类专家监督下，用智能体完成两项密码分析进展，配套两篇技术论文已公开。研究由 Dj Dvijotham 与 Abhradeep Thakurta 牵头，加州大学圣迭戈分校与 Inria 的 Nadia Heninger、Inria 的 Emmanuel Thomé 参与。

第一项针对数字签名伪造。攻击者控制已签名数据块一半以上时，填充不再提供保护，伪造签名与无填充时几乎同样容易；智能体在沙箱中复现了此前学术研究已解出的 1024 位基准密钥伪造，CPU 用时减少 3.5 倍，耗时不到分解该密钥所需算力的千分之一。攻击者控制 32 字节数字指纹等小部分数据时，新算法理论上比此前最优方法快约 1600 倍，该数字为理论估计，非实测结果。

第二项针对批量分解同一尺寸的大量密钥。新算法的渐近复杂度优于此前批量方法，分解每增加一个 1024 位密钥的平均成本降低约 30 倍，密钥越多，均摊成本越低。两项实验均在沙箱中进行，未破解任何在用密钥；DeepMind 称结果仅适用于已退役的 1024 位 RSA，2048 位及以上现代密钥不受这些发现影响。

关键事实

1. 公布方与时间：谷歌 DeepMind 科学副总裁 Pushmeet Kohli，2026 年 11 月 6 日，X 与领英发文《Advancing the frontier of cryptanalysis》
2. 方式：人在回路的 AI 智能体，数周内完成两项进展；配套两篇技术论文已公开
3. 团队：Dj Dvijotham 与 Abhradeep Thakurta 牵头；Nadia Heninger（加州大学圣迭戈分校与 Inria）、Emmanuel Thomé（Inria）参与
4. 签名伪造（大控制量）：攻击者控制已签名数据块一半以上时，填充不再提供保护
5. 签名伪造（实测）：沙箱复现已解出的 1024 位基准密钥伪造，CPU 用时减少 3.5 倍，耗时不到分解该密钥所需算力的千分之一
6. 签名伪造（理论）：攻击者控制 32 字节数字指纹等小部分数据时，新算法理论上比此前最优方法快约 1600 倍
7. 批量分解：新算法渐近复杂度优于此前批量方法，每增加一个 1024 位密钥的平均成本降低约 30 倍
8. 范围：仅适用于已退役的 1024 位 RSA；2048 位及以上现代密钥不受影响
9. 实验条件：沙箱中进行，未破解任何在用密钥；网银、即时通讯、软件更新与数字货币不受威胁
10. 背景：美国国家标准与技术研究院（NIST）2013 年起不再接受 1024 位 RSA 生成新签名