Google DeepMind oznámil 6. listopadu, že jeho AI agenti pod vedením lidských kryptoanalytiků našli dvě slabiny v 1024bitovém RSA. Práce podle laboratoře zabrala týdny a vznikly z ní dva pracovní články, ani jeden zatím neprošel recenzí. Oznámení nevyšlo jako běžný blogpost. DeepMind ho pustil na svém účtu na síti X spolu s příspěvkem Pushmeeta Kohliho, který v laboratoři vede vědeckou sekci, a k tomu zveřejnil PDF na Google Storage. Článek Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS je datovaný 5. listopadu a podepsalo ho dvanáct autorů. Mezi nimi Nadia Heninger z UC San Diego a Emmanuel Thomé z francouzského Inria, tedy dvě jména, která ve faktorizaci celých čísel nikdo nepřeskočí. Nikdo nic nelámal. Oba nálezy míří na klíče dlouhé 1024 bitů, které NIST zakázal pro vydávání nových podpisů na konci roku 2013 a které z veřejné webové PKI zmizely ještě dřív. Kohli to v oznámení řekl bez obalu: výsledky se netýkají moderních schémat typu RSA 2048. Zajímavé je něco jiného než samotná čísla, a k tomu se dostanu.
Jediné měřené číslo z celého oznámení
Z obou nálezů existuje přesně jeden výsledek, který někdo dopočítal do konce. Agenti zopakovali akademický výpočet ze září 2026 a spotřebovali na něj 3,5krát méně procesorového času. První modulární odmocnina stála 391 procesorových jádro-roků a hotová byla za 3,2 dne na až 300 tisících jader a šestnácti GPU. Originál běžel asi pět měsíců a sežral kolem 1 380 jádro-roků. Ten originál je mimochodem sám o sobě silnější příběh, než si tehdy kdo všiml. Laura Shea, Miro Haller, Adam Suhl, Nadia Heninger a Emmanuel Thomé v článku Forging 1024-bit RSA signatures in nearly SNFS time popsali, jak podvrhnout RSA podpis, aniž by člověk klíč faktorizoval. Stačí jim krátký přístup k podepisovacímu orákulu, v jejich případě k hardwarovému bezpečnostnímu modulu, a 2³² dotazů na jeho API. Klíč z HSM nikdy neopustí, útočník si ho prostě naklonuje navenek. Po dokončení předpočtu stojí každý další podvržený podpis odhadem 180 jádro-roků offline. A autoři z extrapolace vyvozují, že RSA s podepisovacím orákulem je o 15 až 30 bitů slabší, než odpovídá odhadům z faktorizace, u klíčů od 1024 do 4096 bitů. Ani 4096bitový klíč v tomhle modelu nedrží 128bitovou bezpečnost. DeepMind tedy nezlomil nic nového. Zefektivnil existující útok, a to je v kryptoanalýze poctivá, byť nikoliv fotogenická práce. Tím důležitější je rozumět tomu, co je u druhého nálezu spočítané a co jen odhadnuté.
Fan factories: faktorizace ve velkém
Druhý nález stojí na idei, kterou Don Coppersmith publikoval v roce 1993. Jeho „factorization factory“ zaplatí jednorázový drahý předpočet a pak faktorizuje každé další číslo stejné velikosti mnohem levněji. Nová práce ten nápad rozšiřuje: každému cílovému číslu dá vlastní vějíř číselných polí, které všechny sdílejí jednu předpočítanou racionální stranu sítě. Čísla z článku se udávají v notaci L[c], kde vyšší exponent znamená dražší výpočet. Obyčejné GNFS má c ≈ 1,9230, dosavadní nejlepší dávková metoda MNFS 1,9019. Fan factory se při předpočtu v rozsahu jednoho běhu GNFS dostane na 1,7929 na jedno číslo. V řeči peněz: každý další 1024bitový klíč vyjde na přibližně 1/58 jednoho běhu GNFS, tedy asi třicetkrát méně než u MNFS. Už od tří klíčů se metoda vyplatí i se započítaným předpočtem. Háček je v tabulce. Při zvoleném rozpočtu si uložíte řádově 2⁷⁵ párů, a to je množství dat, které zatím nikdo nikde nedrží. Fan factory navíc nikdo neimplementoval, všechna čísla jsou heuristické odhady vedoucího řádu bez o(1) členů a autoři sami píšou, že jde o hrubé odhady, nikoliv o predikci skutečné doby běhu. Samotný předpočet stojí asi tolik jako faktorizace jednoho 2048bitového čísla, což je přesně ten důvod, proč větší klíče ohrožené nejsou.
Padding, který při troše smůly nechrání vůbec
Druhá slabina se týká výplně podpisů, konkrétně schématu PKCS#1 v1.5. Padding má podpis chránit před podvržením, jenže jeho ochrana slábne s tím, jak velkou část podepisovaného bloku útočník ovládá. Když kontroluje přibližně polovinu nebo víc, nepřidává podle DeepMindu žádnou smysluplnou ochranu. Tahle varianta je v praxi spíš okrajová. Mnohem zajímavější je druhý případ, protože odpovídá reálnému provozu: útočník ovládá jen malý úsek, například 32bajtový SHA-256 hash. Tam DeepMind odhaduje, že nový algoritmus je asi 1 600krát lepší než dosavadní nejlepší postup. Zdůrazňuji: odhaduje. Na 1024 bitech ten výpočet nikdo nespustil a pracovní článek k téhle části nebyl v době psaní dohledatelný, i když ho část zahraničních médií uvádí pod názvem Modular Roots from a Restricted Oracle. Která všechna výplňová schémata jsou zasažená, laboratoř neřekla.
Co na tom dělaly modely a co lidé
Technicky nejpozoruhodnější je způsob práce. DeepMind postavil dvojici agentů, kde jeden model generoval důkazy a druhý je kontroloval. Algebraické identity a svědky přípustnosti pak nechali strojově ověřit v Lean 4, tedy v nástroji, který důkaz buď přijme, nebo zamítne a nemá jak se nechat přesvědčit hezkou formulací. Kroky z matematické analýzy se kontrolovaly jen numericky, formálně nikoliv. Agenti během práce našli a opravili čtyři problémy, které měly vliv na korektnost algoritmu nebo výsledku, a žádný z nich nevyžadoval nový průchod orákulem. Přiznám se, že tahle část mi zprvu přišla jako nejslabší bod oznámení. Automatické hledání důkazů v kryptoanalýze zní jako věc, kterou si firma napíše do prezentace a nikdo to pak nedohledá. Lean 4 ten dojem ovšem obrací: formálně zkontrolovaná identita je ověřitelná nezávisle na tom, kdo nebo co ji vymyslel. Zbývající otázka tedy není, jestli modely dokážou dojít k platnému tvrzení, ale jestli dokážou samy vybrat tvrzení, které stojí za dokazování. V obou článcích směr zadávali lidé.
Co s tím dělat v praxi
Žádná akce na dnešní odpoledne z toho neplyne. Kdo má 2048bitové a delší klíče, nedělá nic. Smysl má inventura. 1024bitové klíče se drží v embedded zařízeních, starých čipových kartách, archivovaných certifikátech, podpisových klíčích k dávno vydanému softwaru, hostitelských klíčích SSH i v legacy VPN. Riziková je zvlášť kombinace starého klíče a rozhraní, které cizímu volajícímu dovolí ovlivnit podstatnou část podepisovaných dat, protože přesně na tu míří oba nálezy. Pokud někde takové API běží, je to lepší zjistit teď než z cizího reportu. A pak je tu důvod, proč tahle zpráva nepatří jen do rubriky kryptografie. DeepMind v oznámení napsal, že se už nemůžeme spoléhat na historické předpoklady o výpočetní obtížnosti a že kryptografické standardy je potřeba průběžně zatěžkávat. Zní to jako firemní deklarace, jenže tady má oporu v číslech: 3,5krát rychlejší opakování pětiměsíčního akademického výpočtu, v řádu týdnů, s modely v roli dělníka na důkazech. Postkvantová migrace se plánuje na roky dopředu, proti časovým osám odvozeným z toho, jak rychle umí pracovat lidská výzkumná komunita. Tahle rychlost přestává být limitem.
Zdroje
- Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS – pracovní článek Google DeepMind, 5. 11. 2026
- Google DeepMind na X – oznámení ze 6. 11. 2026
- Forging 1024-bit RSA signatures in nearly SNFS time – Shea, Haller, Suhl, Heninger, Thomé; oznámení IACR z 22. 9. 2026
- Google DeepMind AI agents find two weaknesses in legacy 1024-bit RSA – Data Studios, shrnutí s rozborem čísel
