Google DeepMind с помощью ИИ нашла способ ускорить взлом старой криптографии RSA в 1600 раз
Исследователи Google DeepMind с помощью искусственного интеллекта разработали новые методы криптоанализа, позволяющие значительно сократить вычислительные затраты на атаки против устаревших систем RSA с 1024-битными ключами. В одном из сценариев алгоритм теоретически ускоряет подделку цифровых подписей примерно в 1600 раз. Другая разработка позволяет уменьшить расчётную стоимость массового разложения ключей на простые множители приблизительно в 30 раз. Результаты представили 6 ноября 2026 года, подчеркнув, что современные системы с ключами RSA длиной 2048 бит и более этими методами не затрагиваются.
RSA — один из наиболее известных криптографических алгоритмов с открытым ключом. Его безопасность основана на сложности разложения очень большого числа на два простых множителя. Подобные математические операции используются при защите информации и создании цифровых подписей, подтверждающих подлинность программ, документов и электронных сообщений. Чем больше длина ключа, тем сложнее выполнить необходимые для атаки вычисления. Поэтому 1024-битные ключи давно считаются устаревшими и в большинстве современных систем заменены ключами длиной не менее 2048 бит.
Исследование проводилось под руководством специалистов Google DeepMind Диджея Двиджотама и Абхрадипа Тхакурты совместно с криптографами Надей Хенингер из Калифорнийского университета в Сан-Диего и Эмманюэлем Томе из французского исследовательского института Inria. Учёные использовали ИИ-агентов, способных самостоятельно разрабатывать математические подходы, писать программы, проводить вычислительные эксперименты и проверять полученные результаты под контролем человека.
Первое направление исследования касалось цифровых подписей RSA. Для защиты от подделки в некоторых старых системах к подписываемым данным добавляется специальная последовательность байтов — дополнение, или padding. Оно формирует блок установленного размера и ограничивает возможности злоумышленника выбирать данные, обрабатываемые криптографическим устройством. Однако исследователи установили, что при определённых условиях такая защита практически перестаёт повышать сложность атаки.
Выяснилось, что если атакующий может управлять примерно половиной подписываемого блока или большей его частью, ограничение на формат данных не обеспечивает существенного дополнительного препятствия для рассматриваемого метода криптоанализа. Для 1024-битного RSA это относится, в частности, к некоторым вариантам обработки 64-байтовых блоков данных. При меньшем объёме контролируемой информации задача становится сложнее, но ИИ помог найти более эффективный математический алгоритм. Для случая с 32-байтовым цифровым отпечатком разработчики оценили возможное ускорение приблизительно в 1600 раз по сравнению с прежним методом.
Эта оценка получена теоретически, а не в результате полноценного экспериментального взлома. Для практической проверки исследователи использовали ранее изученный 1024-битный ключ, на котором уже проводились аналогичные эксперименты. ИИ-агенты разработали и оптимизировали программную реализацию известного алгоритма, сократив затраты процессорного времени с 1380 до 391 процессоро-года. Таким образом, фактически измеренное улучшение составило около 3,5 раза.
Два взаимодействующих ИИ-агента самостоятельно подготовили программное обеспечение, организовали вычисления и исправили возникавшие ошибки менее чем за четыре дня. Они написали приблизительно 33 500 строк кода и выполнили 336 распределённых экспериментов. Для основной вычислительной работы использовалось до 300 тысяч процессорных ядер и 16 графических ускорителей. Благодаря масштабному параллельному выполнению вычислений эксперимент занял около 3,2 суток, хотя суммарные затраты процессорного времени были значительно больше.
Второе направление работы было посвящено массовому разложению RSA-ключей на простые множители. Учёные предложили алгоритм, позволяющий использовать результаты предварительных вычислений сразу для большого количества чисел одинаковой длины. По расчётам авторов, после подготовительного этапа стоимость обработки каждого дополнительного 1024-битного ключа может оказаться примерно в 30 раз ниже, чем при использовании прежнего сопоставимого метода. При этом сами предварительные вычисления требуют ресурсов, сравнимых с разложением одного большого числа.
Новый метод массового разложения пока существует в виде математической разработки. Полноценная система для его практического применения не создана, а заявленное ускорение основано на оценках вычислительной сложности. Часть математических выкладок прошла формальную проверку в системе Lean 4. Исследователи также подчёркивают, что их методы относятся к специфическим сценариям использования устаревшего RSA, а не к произвольному взлому современных защищённых соединений.