Google DeepMind ogłosiło 6 listopada 2026 r. badania obejmujące ukończone obliczenie pierwiastka RSA dla modułu 1024-bitowego w konkretnym modelu dostępu do oracle oraz osobną, teoretyczną analizę faktoryzacji wielu liczb tej samej długości. Artykuły nie opisują faktoryzacji pojedynczego modułu, a ich autorzy oceniają, że przedstawione wyniki nie zagrażają modułom RSA o długości 2048 bitów lub większej.
Ukończono obliczenie pierwiastka, nie faktoryzację modułu
W ukończonym obliczeniu agenci Google DeepMind wyznaczyli pierwiastek RSA dla 1024-bitowego modułu, korzystając z wcześniej znanego algorytmu i nieograniczonego oracle. Oracle to interfejs, który wykonuje operację podpisywania lub deszyfrowania dla podanych przez użytkownika danych. Zespół wykonał 4 055 916 065 zapytań, zanim wybrał cel; w późniejszej fazie online nie wysyłał już zapytań do oracle. Artykuł Google DeepMind o obliczeniu
To obliczenie nie oznaczało rozłożenia modułu na czynniki ani wydobycia klucza prywatnego. Opisany model wymagał tymczasowego, bezpośredniego dostępu do surowego oracle przyjmującego dowolne wejścia. Systemy, które obliczają skrót wewnątrz urządzenia podpisującego, nie należą do modeli oracle analizowanych w artykule.
Co oznacza różnica między 391 a 1 380 latami pracy rdzenia CPU
Dla pierwszego pierwiastka Google DeepMind podało 391 lat pracy rdzenia CPU, a wcześniejsza praca nad tą samą 1024-bitową instancją odnotowała 1 380. Porównanie dotyczyło tego samego algorytmu, wielomianów i granic bazy czynników. DeepMind przypisało około 3,5-krotną różnicę usprawnieniom implementacji i wykonania, a nie nowemu algorytmowi; podany przez zespół wynik CPU nie obejmuje obliczeń GPU. Artykuł Google DeepMind i wcześniejszy preprint w archiwum IACR
Porównanie 391 z 1 380 latami pracy rdzenia CPU opisuje sprawność wykonania tej samej metody, nie nowy algorytm ataku.
Inna część pracy analizuje metodę dla krótkiego okna danych wejściowych. Jej szacowane wykładniki asymptotyczne wynoszą 1,5803 wobec 1,8171 dla wcześniejszej metody. Są to heurystyczne oszacowania złożoności, a metoda nie została uruchomiona dla rozmiaru kryptograficznego. Nie jest to zmierzony czas ataku na interfejs podpisywania.
Co analiza „fan factory” szacuje dla wielu celów
Drugi artykuł bada teoretyczny sposób współdzielenia obliczeń wstępnych przy faktoryzacji wielu liczb o tej samej długości. Dla liczb 1024-bitowych, przy obliczeniach wstępnych odpowiadających jednemu przebiegowi GNFS, autorzy szacują koszt każdego kolejnego celu na około 1/58,5 przebiegu GNFS. W tym samym scenariuszu szacowany koszt na cel jest około 30,2 razy niższy niż w MNFS. Łączny koszt metody miałby być niższy od MNFS od trzech celów, po uwzględnieniu obliczeń wstępnych. Artykuł Google DeepMind o fan factories
To szacunki wiodącego rzędu oparte na heurystykach, a nie zmierzone czasy pracy programu. Metoda nie została zaimplementowana, a jej przewaga dotyczy partii podobnych celów, nie faktoryzacji pojedynczej liczby.
Jak agenci i badacz podzielili się pracą
Według artykułu Google DeepMind dwa współpracujące agenty zaprojektowały, zakodowały, uruchomiły i diagnozowały obliczenie. Agent nadzorujący prowadził projekt i kontrolował etapy, a wykonawczy pisał i testował kod oraz obsługiwał zadania obliczeniowe. Badacz wybrał cel i zatwierdzał kluczowe etapy, w tym zapytania do oracle i losowanie celu. Artykuł podaje, że badacz nie napisał kodu, nie uruchamiał zadań ani nie diagnozował usterek; odnotowuje też około 20 wiadomości od człowieka i 336 rozproszonych eksperymentów. Opis przebiegu obliczenia
Co prace mówią o modułach RSA 2048-bitowych i większych
Oba artykuły Google DeepMind stwierdzają, że ich wyniki nie zagrażają wdrożonym modułom RSA o długości 2048 bitów lub większej. Ta granica dotyczy rezultatów i modeli analizowanych w tych pracach.
