Google DeepMind anunció el 6 de noviembre de 2026 dos líneas de investigación sobre RSA de 1024 bits: un cálculo completado de una raíz RSA mediante un oráculo de entradas elegidas y un análisis teórico sobre la factorización de lotes de números del mismo tamaño. El cálculo no factorizó el módulo ni extrajo su clave privada. Los artículos dicen que estos resultados no amenazan los módulos RSA de 2048 bits o más.
El cálculo dependía de un oráculo muy concreto
Un oráculo RSA es una interfaz que realiza la operación privada de RSA sobre entradas que el usuario elige. Para el cálculo completado, el equipo necesitó acceso directo a esa operación, sin que el dispositivo aplicara antes un hash al mensaje. El artículo de Google DeepMind sobre el cálculo de la raíz RSA explica que los firmantes que calculan el hash dentro del dispositivo quedan fuera de los modelos de oráculo estudiados.
DeepMind contabilizó 4.055.916.065 consultas antes de que se eligiera el objetivo; después retiró el oráculo. Durante la fase en línea no hubo consultas. El resultado fue una raíz RSA para un módulo de 1024 bits, no una factorización del módulo ni la extracción de una clave.
La diferencia de CPU mide la ejecución, no un algoritmo nuevo
Para la primera raíz de la misma instancia de 1024 bits, DeepMind contabilizó 391 años-núcleo de CPU, frente a los 1.380 del cálculo anterior. La comparación mantuvo el mismo algoritmo, los mismos polinomios y los mismos límites de la base de factores. DeepMind atribuye la diferencia a la implementación y la ejecución; su cifra de CPU no incluye el trabajo realizado con GPU. El cálculo anterior está descrito en el preprint de IACR.
La cifra compara cuánto trabajo de CPU exigió una implementación frente a otra; no convierte el cálculo en un ataque demostrado contra cualquier sistema de firma.
El artículo también analiza un método distinto para oráculos con una ventana corta de entradas afines. Estima, mediante heurísticas asintóticas, exponentes de complejidad de 1,5803 para el método estudiado y 1,8171 para el anterior. Esos exponentes describen un modelo teórico: el método de ventana corta no se ejecutó a tamaño criptográfico.
La fan factory estima ventajas para lotes, no para una sola clave
El segundo trabajo estudia cómo compartir la precomputación al factorizar muchos enteros del mismo tamaño. A 1024 bits, y suponiendo una precomputación equivalente a una ejecución del método GNFS, estima que cada objetivo adicional tendría un coste de alrededor de 1/58,5 de una ejecución GNFS. En ese escenario, el coste por objetivo sería unas 30,2 veces menor que con MNFS; al contar la precomputación, el coste total estimado pasa a ser menor que el de MNFS desde tres objetivos.
Son estimaciones de orden principal basadas en heurísticas, no tiempos medidos: el artículo de Google DeepMind sobre fan factories presenta un análisis teórico, no una implementación. La ventaja modelada depende de procesar varios objetivos del mismo tamaño y no reduce el coste de factorizar un único entero.
Los agentes trabajaron con controles humanos
El artículo del cálculo describe dos agentes: un supervisor que organizaba el diseño, el presupuesto y las comprobaciones de cada etapa, y un ejecutor que escribió y probó código, gestionó los trabajos y diagnosticó fallos. Un investigador humano eligió el objetivo y aprobó pasos clave, incluidos el lote de consultas al oráculo y la selección del objetivo.
Según el artículo, el investigador no escribió código, no lanzó trabajos ni diagnosticó fallos. DeepMind contabilizó unos 20 mensajes humanos y 336 experimentos distribuidos durante el proceso.
El alcance que los artículos atribuyen a RSA-2048
Ambos trabajos afirman que sus resultados no amenazan los sistemas RSA con módulos de 2048 bits o más. Esa conclusión se refiere a los métodos y modelos analizados en esos artículos.
