Il 6 novembre 2026 Google DeepMind ha annunciato il calcolo completato di una radice RSA per un modulo da 1024 bit, eseguito con un oracolo che accettava input scelti. Il lavoro non ha fattorizzato il modulo né estratto la chiave. Un secondo studio analizza teoricamente la fattorizzazione in batch; gli articoli affermano che questi risultati non minacciano moduli RSA da 2048 bit in su. Il lavoro sul calcolo della radice
Il calcolo riguardava una radice, non la fattorizzazione
Il risultato completato riguardava il calcolo di una radice RSA, con esponente 65.537, sul modulo da 1024 bit. Il metodo usava un oracolo RSA non limitato: un’interfaccia che esegue la trasformazione RSA su input scelti da chi la interroga. È un modello diverso dal fattorizzare il modulo per ricavare la chiave privata.
Google DeepMind riferisce che gli agenti hanno effettuato 4.055.916.065 interrogazioni prima che fosse scelto il bersaglio. Nella fase online, cioè dopo la scelta, non hanno interrogato l’oracolo. Il modello richiede accesso diretto e temporaneo all’interfaccia RSA grezza; i sistemi che calcolano l’hash all’interno del dispositivo non rientrano nei modelli di oracolo descritti nello studio.
Che cosa misura il confronto dei tempi CPU
Per il primo calcolo della radice, Google DeepMind riporta 391 CPU core-year, contro i 1.380 del lavoro precedente. Il confronto riguarda la stessa istanza RSA-1024, lo stesso algoritmo, gli stessi polinomi e gli stessi limiti per la base di fattori. Un CPU core-year equivale al lavoro di un singolo core per un anno; il totale di DeepMind non include il lavoro delle GPU. Il gruppo descrive il divario di circa 3,5 volte come un miglioramento nell’implementazione e nell’esecuzione, non come un nuovo algoritmo. Il preprint IACR del calcolo precedente riporta il valore di 1.380 CPU core-year.
Un metodo distinto, pensato per un oracolo con input a finestra breve, resta teorico. Google DeepMind indica gli esponenti euristici asintotici 1,5803 e 1,8171 per il metodo proposto e quello precedente, rispettivamente; non lo ha eseguito a dimensione crittografica. Questi esponenti descrivono la crescita teorica del costo e non sono tempi di attacco misurati.
Per valutare una cifra sulla crittografia, controlla se viene da un calcolo eseguito o da una stima teorica: in questi lavori le due categorie restano separate.
La stima sulla fattorizzazione in batch
Il secondo studio esamina come condividere una parte della precomputazione quando si fattorizzano molti interi della stessa dimensione. Per bersagli da 1024 bit, lo scenario analizzato prevede una precomputazione equivalente a un’esecuzione GNFS, cioè del setaccio generale del campo numerico.
In queste condizioni, Google DeepMind stima che ogni bersaglio aggiuntivo costerebbe circa 1/58,5 di un’esecuzione GNFS, in termini asintotici di ordine principale, e circa 30,2 volte meno per bersaglio rispetto a MNFS. Lo studio stima che il costo totale diventi inferiore a MNFS a partire da tre bersagli, contando anche la precomputazione. Sono stime euristiche, non tempi operativi misurati; il lavoro non riferisce un’implementazione della fan factory. L’analisi della fattorizzazione in batch
Il lavoro degli agenti e la supervisione umana
Nel resoconto di Google DeepMind, un agente supervisore gestiva il progetto, i budget e i controlli tra le fasi; un agente esecutore scriveva e provava il codice, avviava i calcoli e diagnosticava gli errori. Un ricercatore umano scelse il compito e approvò i passaggi chiave, compreso l’accesso all’oracolo e la scelta del bersaglio. Il documento afferma che il ricercatore non scrisse codice, non avviò calcoli e non diagnosticò guasti. Riporta inoltre circa 20 messaggi umani e 336 esperimenti distribuiti.
Il limite dichiarato per RSA-2048
Entrambi gli articoli di Google DeepMind affermano che i risultati descritti non minacciano i moduli RSA da 2048 bit o più. Questa valutazione riguarda i metodi e i risultati trattati nei due lavori.
