Em 6 de novembro de 2026, o Google DeepMind anunciou dois trabalhos sobre RSA de 1024 bits: um cálculo concluído de uma raiz RSA sob um modelo específico de oráculo e uma análise teórica de fatoração em lote. Os artigos não relatam a fatoração de um módulo individual e dizem que esses resultados não ameaçam módulos RSA de 2048 bits ou mais.
O cálculo concluiu uma raiz RSA, não a fatoração de uma chave
O cálculo concluído usou um oráculo irrestrito: um sistema que recebe entradas escolhidas pelo solicitante e executa uma operação RSA de assinatura ou decifragem. O artigo do Google DeepMind sobre o cálculo registra 4.055.916.065 consultas antes da escolha do alvo. Depois dessa escolha, não houve consultas ao oráculo durante a etapa de cálculo da raiz. O trabalho não relata a fatoração do módulo nem a extração da chave privada.
O modelo exige acesso direto à operação RSA sem processamento interno do hash. Sistemas de assinatura que calculam o hash dentro do dispositivo ficam fora dos modelos de oráculo analisados.
O que a diferença de CPU mede
Para calcular a primeira raiz na mesma instância de RSA-1024, com o mesmo algoritmo, polinômios e limites da base de fatores, o DeepMind informa 391 anos-núcleo de CPU. O estudo anterior registrou 1.380 anos-núcleo para essa tarefa. A comparação, de cerca de 3,5 vezes, reflete eficiência de implementação e execução, não um novo algoritmo de ataque. O total de CPU do DeepMind não inclui o trabalho feito em GPU; o preprint anterior da IACR detalha a medição precedente.
Há também um método teórico separado para oráculos de janela curta, como interfaces que aceitam entradas de formato restrito. O artigo estima expoentes assintóticos heurísticos de 1,5803 para o método proposto e 1,8171 para o anterior. Essa análise não foi executada em tamanho criptográfico, portanto os expoentes não são tempos medidos de ataque.
O cálculo de 1024 bits foi realizado sob um modelo de acesso ao oráculo; os resultados para outros modelos continuam sendo análises teóricas.
A análise de fatoração em lote depende de vários alvos
O segundo trabalho estuda a chamada fan factory, uma estrutura teórica que compartilha pré-computação ao fatorar vários inteiros do mesmo tamanho. Para alvos de 1024 bits, o artigo sobre fan factories estima que, após uma pré-computação equivalente a uma execução do GNFS, cada alvo adicional custaria cerca de 1/58,5 de uma execução do GNFS. No mesmo cenário, a estimativa é de um custo por alvo 30,2 vezes menor que o do MNFS. Contabilizada a pré-computação, o custo total estimado fica abaixo do MNFS a partir de três alvos.
GNFS e MNFS são métodos de fatoração; os números acima são estimativas heurísticas de ordem principal, não tempos de execução observados. O trabalho não relata uma implementação da fan factory, e a vantagem descrita se aplica a lotes, não à fatoração de um único inteiro.
Como os agentes e o pesquisador dividiram o trabalho
O artigo do DeepMind descreve um agente supervisor, responsável pelo desenho do trabalho, pelos orçamentos e pelas verificações de cada etapa, e um agente executor, que escreveu e testou código, gerenciou tarefas computacionais e diagnosticou falhas. Um pesquisador humano escolheu o objetivo e aprovou etapas-chave. Segundo o artigo, ele não escreveu código, não iniciou tarefas computacionais nem diagnosticou falhas; o trabalho envolveu cerca de 20 mensagens humanas e 336 experimentos distribuídos.
O alcance declarado para RSA-2048
Os dois artigos dizem que os resultados apresentados não ameaçam módulos RSA de 2048 bits ou mais. Essa conclusão se refere aos resultados e modelos analisados nesses trabalhos.
