Google DeepMind kündigte am 6. November 2026 zwei Arbeiten zu RSA-1024 an: Eine berechnet eine RSA-Wurzel unter einem bestimmten Orakelmodell, die andere schätzt die Kosten der Faktorisierung mehrerer gleich großer Zahlen. Eine Faktorisierung eines einzelnen Moduls berichten die Arbeiten nicht. Für ihre Ergebnisse sehen sie keine Bedrohung von RSA-Modulen mit mindestens 2048 Bit. Die Arbeit zur RSA-Wurzel und die Analyse zur Faktorisierung in Stapeln behandeln unterschiedliche Verfahren.
Was die RSA-1024-Berechnung tatsächlich leistete
Die abgeschlossene Berechnung ermittelte eine RSA-Wurzel für einen 1024-Bit-Modulus. Dafür verwendete Google DeepMind ein uneingeschränktes Orakel: eine Schnittstelle für die rohe RSA-Signatur- oder Entschlüsselungsoperation, an die sich selbst gewählte Eingaben senden lassen. Das Verfahren berechnete die Wurzel; es faktorisierte den Modulus nicht und extrahierte keinen Schlüssel.
Die 4.055.916.065 Anfragen an das Orakel erfolgten, bevor das Ziel ausgewählt wurde. Während der anschließenden Berechnung der Wurzel gab es keine Orakelanfragen. Das Modell setzt direkten Zugriff auf diese rohe Schnittstelle voraus. Signiersysteme, die den Hash bereits im Gerät bilden, liegen außerhalb der beschriebenen Orakelmodelle.
Was der CPU-Vergleich aussagt
Für die erste Wurzel auf derselben RSA-1024-Instanz nennt DeepMind 391 CPU-Kernjahre; die frühere Berechnung benötigte laut ihrem Paper 1.380 CPU-Kernjahre. Der Vergleich bezieht sich auf denselben Algorithmus, dieselben Polynome und dieselben Grenzen für die Faktorbasis. DeepMind führt den Unterschied von etwa Faktor 3,5 auf Verbesserungen bei Implementierung und Ausführung zurück. Er ist kein Nachweis eines neuen Angriffsalgorithmus. GPU-Arbeit ist in DeepMinds CPU-Zahl nicht enthalten. Die Primärarbeit beschreibt den Vergleich; das frühere Paper liefert den Vergleichswert von 1.380 CPU-Kernjahren.
Davon getrennt ist ein theoretisches Verfahren für ein kürzeres Eingabefenster des Orakels. DeepMind gibt dafür heuristische asymptotische Kostenexponenten von 1,5803 statt 1,8171 für die frühere Methode an. Diese Kurzfenster-Methode wurde nicht bei kryptografischer Schlüsselgröße ausgeführt. Die gemessene RSA-1024-Berechnung verwendete das uneingeschränkte Orakel, nicht eine kurze Signaturschnittstelle.
Der Faktor 3,5 beschreibt die Ausführung desselben Verfahrens auf derselben Instanz. Er belegt keinen neuen RSA-Angriffsalgorithmus.
Was die Fan-Factory für mehrere Ziele schätzt
Die separate Fan-Factory-Analyse betrachtet die Faktorisierung vieler Zahlen gleicher Bitlänge. Dabei wird eine Vorberechnung über mehrere Ziele hinweg geteilt. Für 1024-Bit-Zahlen schätzt DeepMind bei einer Vorberechnung im Umfang eines GNFS-Laufs die Kosten für jedes weitere Ziel auf etwa 1/58,5 eines GNFS-Laufs. Pro Ziel lägen sie damit in der Modellrechnung etwa um den Faktor 30,2 unter denen von MNFS. Die geschätzten Gesamtkosten unterschreiten MNFS ab drei Zielen, wenn die Vorberechnung mitgezählt wird.
GNFS und MNFS sind unterschiedliche Varianten des Zahlkörpersiebs zur Faktorisierung großer Zahlen. Die Fan-Factory-Zahlen sind heuristische Abschätzungen der führenden Kostenordnung, keine gemessenen Laufzeiten. Die Arbeit berichtet keine Implementierung des Verfahrens. Das Paper zur Fan Factory behandelt somit einen Stapel gleich großer Ziele, nicht die Kosten für einen einzelnen Modulus.
Welche Aufgaben die Agenten und der Forscher übernahmen
Die Arbeit beschreibt einen Supervisor-Agenten, der Entwurf, Budgets und Prüfschritte koordinierte, sowie einen Executor-Agenten, der den Code schrieb und testete, Rechenjobs startete und überwachte und Fehler untersuchte. Ein menschlicher Forscher legte die Aufgabe fest und genehmigte wichtige Freigabeschritte. Dem Paper zufolge schrieb er keinen Code, startete keine Jobs und diagnostizierte keine Fehler. Es zählt rund 20 Nachrichten des Forschers und 336 verteilte Experimente. Google DeepMinds Bericht zum Ablauf beschreibt die Rollenverteilung.
Welche RSA-Schlüsselgrößen die Arbeiten betreffen
Beide Arbeiten sagen, dass ihre Ergebnisse RSA-Moduli mit 2048 Bit oder mehr nicht bedrohen. Diese Einordnung bezieht sich auf die untersuchten Verfahren und Modelle; die Fan-Factory-Abschätzungen für solche Schlüsselgrößen sind asymptotisch.
