AI Agent 几周就撬动了密码学家的老难题：1024 位 RSA 的两处裂缝，轮到谁紧张

11 月 6 日，Google DeepMind 在 X 上发了一条不长的消息：

“We’re sharing new research demonstrating how AI agents can accelerate the science of stress-testing encryption. Guided by humans, our models uncovered two major weaknesses in legacy 1024-bit RSA cryptosystems.”

翻译过来：人类密码学家主导，AI Agent 干活，在 1024 位 RSA 这块啃了几十年的老骨头上，找到了两处以前没人发现的裂缝。副总裁 Pushmeet Kohli 在自己的帖子里补了一句关键信息：这两处结果，从立项到出成果，只花了几周时间。在密码分析这个动辄以年为单位的领域，几周是个很扎眼的速度。

我先把结论放在前面：你今天用的 2048 位及以上的 RSA 不受影响，DeepMind 和论文原文都把这句话写得很清楚。但如果你手里还有 1024 位的遗留系统——老硬件、长寿命证书、嵌入式设备、归档的旧签名——这篇研究就是冲着你来的。而且这件事真正的分量不在 RSA 本身，而在它证明了一件事：Agent 开始能啃数学证明这种硬骨头了。

先说清楚：找到了什么

两处弱点，性质完全不同，对应两篇工作论文：

第一处：签名更容易伪造了。 论文叫《Modular Roots from a Restricted Oracle》（受限预言机下的模根）。RSA 签名不是直接对原始消息算的，前面要包一层固定格式的填充（padding），这层结构一直被当作防伪造的一道防线。Agent 的发现是：一旦攻击者能控制被签名数据块的大约一半以上，这层填充基本不提供保护，伪造签名的难度退化到和没有填充的系统差不多。而在攻击者只能控制一小块（比如 32 字节摘要）的更难情形下，Agent 找到的新算法，按 DeepMind 的理论估计，比此前最好的方法快约 1600 倍。

注意，1600 倍是理论估计，不是实测跑出来的。但实测的部分也有：DeepMind 在沙箱里复现了一个今年 9 月发表的真实攻击——Shea 等人针对硬件安全模块（HSM）的签名伪造，原攻击花了 1380 个 CPU 核心年、5 个月时间和 2^32 次签名查询。Agent 生成的代码复现同一结果，CPU 时间少了 3.5 倍，而且只用了分解该密钥所需算力的千分之一不到。

第二处：批量分解更便宜了。 论文叫《Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS》，11 月 5 日挂出。这是 1993 年 Coppersmith 提出的”分解工厂”思想的新发展：要分解很多把同尺寸的钥匙时，先付一次大的预计算成本，之后每把钥匙都便宜。DeepMind 的”扇形工厂”给每个目标整数配一族共享预计算的数域，算下来：付一次相当于分解一把 1024 位密钥的预计算后，之后每多分解一把，只花大约 1/58 的成本，比此前最好的批量方法（MNFS）便宜约 30 倍。三把以上钥匙起，算上预计算也比老方法划算，批量越大优势越明显。

同样要打折：这是首阶理论估计，没有实现，论文自己写明了假设和局限，内存开销也是个实际障碍，在真实场景里超过精心调优的数域筛法要到多大密钥尺寸还是个开放问题。

Agent 到底干了什么：一个写证明，一个验算

这篇研究最值得程序员看的，其实是工作方式。按批量分解论文的描述，团队用了一个双 Agent 的 harness：一个模型负责生成证明，另一个模型负责验证证明。代数恒等式和关键的可行性证据用 Lean 4 证明助手做了机器验证，微积分部分的优化论证则是数值验证。

分工很明确：人类专家选问题、判断哪个结果有意义，Agent 负责以几周的速度生产和检验候选算法与证明。这不是”AI 自主破解加密”，是人类主导的研究加速。团队名单也说明了这一点：DeepMind 的 Dj Dvijotham 和 Abhradeep Thakurta 领衔，合作者是 UC San Diego 的 Nadia Heninger 和 Inria 的 Emmanuel Thomé——都是公开密钥密码分析领域最有分量的人名。没有他们把问题框对、把结果判准，Agent 的输出只是没人敢信的草稿。

Lean 4 这个细节很关键。数学证明最怕”看起来对”，而形式化验证给了外部密码学家一条独立核查的路：代数部分对不对，不用信 DeepMind 的说法，自己跑 Lean 就能验。这也是 AI 生成的研究成果能被严肃对待的前提——可验证的输出，才配叫成果。

三个判断

第一，别被”1024 位”这个词骗了，以为事不关己。 NIST 从 2013 年底起就不允许用短于 2048 位的 RSA 生成新签名，主流 Web PKI 也早就不发 1024 位证书了。但”不允许新签”不等于”旧的都换了”。长寿命代码签名根、老款智能卡、嵌入式设备、归档证书，这些东西的换代周期是以十年计的。1024 位 RSA 的威胁模型从来不是”某天突然被攻破”，而是”攻击成本一点点往下掉，直到某天批量收割变得划算”。这篇研究做的正是后一件事：它没让单把钥匙变脆弱，但让一整批老钥匙变便宜了。

第二，1600 倍和 30 倍这两个数字，要分开看。 1600 倍是理论估计，且只针对 32 字节可控区域这一种情形，签名那篇的完整论文当时还没公开，细节、威胁模型、覆盖哪些填充方案都还没法独立核查。30 倍那篇有完整工作论文，数字、假设、局限都摊在桌面上，反而更可信。看安全研究发布，我的习惯是：数字越惊人，越要看它附带的论文完整度。这篇的诚实之处在于，DeepMind 自己把”理论估计”“尚未实现”“2048 位不受影响”都写在了明处，没藏着。

第三，真正的分量在方法论，不在 RSA。 今年这已经是第二起 AI 参与密码分析的大新闻——早些时候 Claude 还协助创造了新的 RSA-896 分解纪录。再往前看三天，11 月 5 日 OpenAI 刚发布专门找漏洞、写 exploit 的 GPT-6 Cyber。趋势已经很清楚了：Agent 正在从”帮你写代码”走向”帮你做研究”，而密码学、安全评估这类”结论必须可验证”的领域，恰恰是 Agent 最先站得住脚的地方——因为证明对不对、漏洞能不能复现，都是能自动判定的。能自动判定的领域，Agent 的提速最没有水分。

如果你手里有系统，该做什么

按优先级，三件事：

先盘点，别猜。 把证书库存、代码签名根、HSM 和签名服务、嵌入式设备固件里的密钥长度拉一遍清单。重点找三类：对外暴露签名接口且攻击者能部分控制被签名内容的 1024 位签名服务（9 月那篇 HSM 攻击就是这个路子）、成批部署的同尺寸遗留密钥、长期有效的旧根证书。清单拉出来之前，一切讨论都是空谈。
1024 位的，能退就退。 暴露签名接口的先限流、限制原始签名和低填充操作，该轮换的轮换。这不是”明天就被攻破”的恐慌，是”攻击成本已被公开下调”的算账——拖下去只会更贵。
把这次当成后量子迁移的又一个论据。 NIST 10 月 27 日刚发布了后量子过渡报告的最终版，2048 位 RSA 的退役时间表已经在纸面上了。DeepMind 这篇研究的潜台词是：经典密码的强度假设需要持续重估，Agent 让这个重估周期从”年”缩到了”周”。迁移计划里，RSA-2048 的替换节奏值得往前提一提，而不是当成永久方案。

写在最后

这篇研究让我印象最深的不是 1600 倍，而是 Kohli 那句”几周”。密码分析是人类智力最硬核的竞技场之一，几十年的老问题，Agent 几周就推进了一步——还是在人类专家全程主导、Lean 形式化验证兜底的前提下。这说明 Agent 做研究的正确姿势已经浮现了：人定方向、Agent 冲量、形式化工具验真。

对我们写代码的人来说，启示也很直接：以后评估”AI 能不能干这活”，别只看它会不会写，要看这活的验证回路强不强。能自动验证的，Agent 会越来越快；验证靠人眼、靠经验、靠”感觉对不对”的，才是 Agent 一时半会啃不动的硬骨头。选赛道、选工具、选投入方向，都可以按这条线去划。

来源

Google DeepMind 官方 X 账号及 Pushmeet Kohli 的发布帖，2026 年 11 月 6 日
Dvijotham 等，《Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS》，工作论文，2026 年 11 月 5 日
Dvijotham 等，《Modular Roots from a Restricted Oracle》，工作论文，2026 年 11 月
Shea、Haller、Suhl、Heninger、Thomé，针对硬件安全模块的 1024 位签名伪造研究，2026 年 9 月（IACR ePrint）
Data Studios 深度解析：https://www.datastudios.org/post/google-deepmind-ai-agents-two-weaknesses-legacy-1024-bit-rsa
BYOBot 2026 年 11 月 8 日 AI 日报：https://byobot.ai/ai-news/ai-daily-newsstand-november-8-2026