DeepMind AI-agentek két új RSA-1024 gyengeséget találtak

Mit jelentett be a DeepMind?

Pushmeet Kohli, a Google DeepMind tudományos alelnöke 2026. november 6-án két kriptoanalitikai munkaanyagot jelentett be. A szerzők között ott van Nadia Heninger (UC San Diego, Inria) és Emmanuel Thomé (Inria, a CADO-NFS egyik fő fejlesztője). A DeepMind szerint emberi felügyelet mellett dolgozó AI-agentek hetek alatt jutottak el két új eredményig.

Mindkét anyag elején ugyanaz a figyelmeztetés áll: az eredmények nem fenyegetik a ma használt, 2048 bites vagy nagyobb RSA-ra épülő rendszereket. Az érintett terület a régi, 1024 bites RSA.

Első munkaanyag: aláírás-hamisítás signing oracle-lel

A forgatókönyv egy 2007-es Joux–Naccache–Thomé cikkből jön. A támadó ideiglenesen hozzáfér egy aláíró eszközhöz, például egy HSM-hez, amely aláírja a beküldött adatot. Később az eszköz eltűnik, a támadónak mégis új aláírást kell gyártania. Ehhez nem kell visszafejteni a privát kulcsot.

Az első eredmény a PKCS#1 v1.5 formátumról szól. Ha a hívó az aláírt blokk nagyjából felét vagy többet szabadon megadhat, a padding nem nehezíti a támadást a nyers RSA-hoz képest. 1024 biten ez kb. egy 64 bájtos digestnél van. Egy 32 bájtos digest, például SHA-256, a küszöb alatt marad. Az eszközön belül hashelő megoldások egyik modellbe sem esnek bele.

A második eredmény egy új algoritmus a nehezebb esetre, amikor a támadó csak rövid részt ad meg. A DeepMind elméleti becslése szerint ez 1024 biten nagyjából 1600-szor gyorsabb a korábbi legjobb módszernél. Ezt viszont senki nem futtatta le kriptográfiai méretben, így egyelőre becslés.

Ami ténylegesen lefutott: 391 core-év 1380 helyett

A mért rész egy reprodukció. Shea, Haller, Suhl, Heninger és Thomé 2026-ban ugyanezzel a módszerrel támadott meg egy HSM-et 1024 biten: 1380 CPU core-év, öt hónap és 2^32 lekérdezés kellett hozzá. Az agentek ugyanazzal az algoritmussal, polinomokkal és korlátokkal 391 core-év alatt jutottak el az első hamisított gyökig, ami kb. 3,5-szörös javulás.

A szerzők ezt az implementációnak és a futtatásnak tulajdonítják, nem új algoritmusnak. Az optimalizált siever ugyanazon a gépen 1,8–4,4-szer gyorsabb a gyári CADO-NFS-nél. Összehasonlításként: ugyanennek a modulusnak a teljes faktorizálását 500 000 és 1 000 000 core-év közöttire becsülik.

Hogyan dolgoztak az agentek?

Két modell dolgozott, a cikk csak „Model A” és „Model B” néven említi őket. A felügyelő agent írta a tervdokumentumot, szakaszonkénti CPU- és memóriakeretet szabott, ellenőrzéseket definiált, auditálta az eredményeket. A végrehajtó agent kódot írt és tesztelt, elosztott jobokat indított, illetve javította a hibákat.

Az emberi kutató célt adott és a visszafordíthatatlan lépéseket hagyta jóvá, nagyjából 20 rövid üzenetben. Az agentek kb. 33 500 sor új kódot írtak, 336 elosztott kísérletet futtattak, csúcson kb. 300 000 CPU-maggal és 16 GPU-val. Minden szakasz először próbán vagy 1%-os canary szeleten futott. Így fogtak meg egy 32 bites indextúlcsordulást is, amely miatt az első kiszámolt gyök hibás lett.

Második munkaanyag: olcsóbb batch faktorizálás

A november 5-i „Fan Factories” anyag arról szól, mi történik, ha valaki sok azonos méretű RSA-kulcsot akar faktorizálni. Egyetlen faktorizálásnyi előszámítás után minden további 1024 bites kulcs a normál number field sieve kb. 1/58-ába kerülne. Ez a szerzők szerint 30-szor olcsóbb Coppersmith 1993-as MNFS módszerénél.

Ez aszimptotikus becslés: fan factory-t még senki nem implementált. Az algebrai azonosságokat Lean 4-ben ellenőrizték. A bizonyításokat két modell készítette, az egyik generált, a másik ellenőrzött.

Mit jelent ez a gyakorlatban?

RSA-2048-at ez nem tör. Az 1024 bites kulcsok viszont még előfordulnak régi DKIM-rekordokban, HSM-konfigurációkban, firmware-aláírásban és legacy PKI-ban. Ha egy HSM nyers RSA-t vagy PKCS#1 v1.5 aláírást ad hívó által megadott adatra 1024 bites kulccsal, az pont ebbe a modellbe esik. A támadáshoz milliárdos nagyságrendű lekérdezés kell, ezt rate limit és naplózás jó eséllyel kiszúrja.

A nagyobb hír az AI-oldalon van: az agentek mérnöki munkát és bizonyításvázlatot is szállítottak szakértői felügyelet mellett. Az OpenAI a héten a GPT-6 Cyberrel mutatott hasonló irányt: GPT-6 Cyber: az OpenAI új kiberbiztonsági modellje. A munkaanyagokat még nem lektorálták, a modellek nevét pedig nem közölték.

Röviden

• RSA-2048 és afölött nem érintett, a régi 1024 bites RSA igen.
• A mért eredmény 391 core-év 1380 helyett, ez jobb implementáció, nem új matek.
• Az 1600x és a 30x elméleti becslés, élesben még nem futott.
• Ha még van 1024 bites kulcsod HSM-ben vagy DKIM-ben, most érdemes lecserélni.