两个 AI Agent、4 天、33,500 行代码：DeepMind 把旧式 1024 位 RSA 的硬度评估从年压到周

3分钟看懂

这次公布的是两条彼此独立的结果，都写在可下载的技术论文里，都属于 working paper（工作论文），尚未经过同行评审。

第一条：签名里的 padding，保护力度比想象中小得多。

很多签名标准在签名前会往消息里补一段固定格式的数据，也就是 padding，用来防止伪造。问题在于：padding 到底能挡多少？DeepMind 的答案是——取决于攻击者能控制签名数据块的多少。

一旦攻击者能控制大约半块或更多的数据，padding 就完全不再提供保护，伪造签名和完全不用 padding 一样容易。在 1024 位密钥上，如果攻击者能控制 64 字节的摘要，就已经落在这个"没有保护"的区间；如果只有 32 字节摘要（比如短指纹场景），仍然更难一些，属于需要另一套算法的情形。

对后者，他们给出了一个新算法。按论文里的理论估计，在 1024 位密钥、32 字节摘要的条件下，比此前最好的方法快约 1,600 倍。这个数字是理论估计，不是实测跑出来的倍数，论文对此写得很明确。

第二条：批量分解很多把同样长度的密钥，单把成本可以压得更低。

RSA 的安全性建立在"大数分解很难"上。而当攻击者想一次打很多把同长度的密钥时，可以把一部分开销摊薄。DeepMind 的 Agent 找到的新方法叫 Fan Factories——给每个整数配一族自己的数域，共享同一侧的计算。

效果是：在"预计算约等于一次分解"的预算下，此后每多分解一个 1024 位整数，成本约为直接用通用数域筛法（NFS）的 1/58，比 1993 年以来的批量方法（MNFS，多重数域筛法）便宜约 30 倍。论文里的代数恒等式与可行性证明用 Lean 4 做了机器校验。

数字对照表：

两个 Agent 是怎么把活干完的

这部分比结论更有意思，因为它展示的是"Agent 能不能自己做完一件长周期、多阶段、会出错的研究工程"。

论文第 6 节把分工写得很清楚：

• 一个 supervisor（监督者）：写设计方案、设检查点、审每一份结果、决定要不要往下投算力。
• 一个 executor（执行者）：写代码、提交分布式作业、修失败。
• 中途还临时拉起过一个专项 sub-agent，专门去把某个线性代数步骤提速 5 倍。

规模上的数字：为这次 1024 位计算新写 33,500 行代码（19 次代码变更，其中 24,000 行 C++/CUDA、8,400 行 Python），叠加原有管线后总量 66,400 行、48 次变更；发起并监控 336 个分布式实验；峰值用到约 30 万个 CPU 核心和 16 块 GPU；16,292 次工具调用（执行者 15,140 次、监督者 959 次、专项 193 次）；Agent 之间往返 218 条消息。

而人类研究者在整个过程里只发了大约 20 条消息，多数是"按你的建议继续""批准"这类放行指令。

更能说明问题的是错误处理：全规模运行时暴露了 4 个在 498 位预演里根本测不出来的问题，包括两处下降策略的缺口，以及一个 32 位索引溢出导致第一次算出的根是错的。这些问题都是 Agent 在计算继续跑的同时定位并修掉的，没有返工重跑 oracle 批次。

为什么这件事值得单独写一篇

密码学的进展节奏一向很慢。一个重要的密码分析结果，从提出到被社区消化，往往以年为单位；也正因为慢，"硬度假设"才可以被当成一个稳定的常量写进安全规划里。

这次的结果把这个前提撬动了：不是"RSA 被攻破了"，而是评估一种密码方案有多硬，这件事本身的速度变了。当 Agent 能在几天里跑完过去几个月的研究流程，防守方按年做的密钥淘汰计划，就需要按季度重新审视。

对普通读者，可以只记住三件事：

1. 你日常用的银行、支付、聊天，走的是 2048 位及以上，不在这两篇论文的射程内。
2. 但工业设备、老证书链、十年前部署后没人再管的嵌入式系统里，1024 位密钥仍然存在。
3. "以前没人攻破"不再等于"以后也攻不破"，它现在只是一个需要定期复查的假设。

怎么用

如果你不是密码学研究者，这篇论文的直接价值不在公式，而在两件事：

• 做一次清点：把资产里还在用 1024 位 RSA 的地方列出来——老设备的管理界面、内网自签证书、固件签名、老旧 VPN、遗留的代码签名证书。这类清单通常没人维护，正好借这条消息推动一次。
• 把"硬度假设"写进评审清单：以后做安全评审时，除了问"有没有漏洞"，加一句"我们依赖的密码学假设，最近有没有被重新评估过"。

对做 Agent 系统的人，第 6 节是现成的工程案例：分层（监督者 / 执行者 / 专项）、检查点门控、共享状态（设计文档 + 代码仓库 + 运行日志）、失败即修而不返工。这套结构在长周期任务里比"让它一次写完"稳得多。

适用场景

• 安全团队做遗留系统盘点、密钥长度合规检查。
• 需要在内部推动"淘汰 1024 位 RSA"的工程师，需要一份可引用的外部依据。
• 研究或工程团队在设计长周期 Agent 工作流，想找一个真实的、有量化数据的分工范本。
• 写技术评论或做科普，需要区分"研究结论"与"媒体标题"时。

不适用场景

• 不能用来判断"我的网站现在安全吗"。论文明确说明现代 2048 位及以上密钥不受这两项结果影响，实际风险取决于你自己的配置，而不是这两篇论文。
• 不适合当作"RSA 已破"的证据。两条结果一条是理论估计（1,600 倍），一条是成本优化（批量分解），都不是对生产系统的实际攻击记录。
• 不适合引用为"同行评审结论"。两篇都是工作论文。
• 不要拿"1,600 倍"去推 2048 位需要多久——密钥长度每增加一倍，分解难度不是线性增长。

避坑

• 别把理论估计说成实测。1,600 倍来自理论估计；真正跑出来的是 391 CPU core-years、3.5 倍、3 天 22 小时这一组。
• 别忽略"半块数据"这个前提。padding 失效是有条件的：攻击者要能控制大约半块或更多签名数据。断章取义成"签名全废"是错的。
• 别把"3 天 vs 5 个月"全算成算法进步。论文自己说明，这个差距主要来自并行度（峰值 30 万核），算法本身节省的是 3.5 倍 CPU 时间。
• 别把 Agent 说成完全自主。人类设了目标、设了门控、批准了每一步放行，只是消息数量少（约 20 条）。
• 别引用未校对的二手数字。这篇以官方论文为准，媒体转述里出现过的口径差异（比如把 30 倍说成单把加速）要回原文核对。

成本/时间

• 阅读成本：官方署名文章约 6 分钟可读完；两篇论文分别 24 页和 15 页，只看摘要 + 第 5、6 节约 40 分钟。
• 复现成本：不可行。单次 1024 位计算峰值用到约 30 万 CPU 核心、16 块 GPU，个人或小团队不具备条件。
• 你自己的盘点成本：一个中等规模资产清单，通常 1 到 3 人日可以扫完一轮（取决于资产数量和是否有 CMDB）。
• 时间窗口提醒：这类研究的热度周期通常一周左右，内部推动时不要等"官方中文稿"。

行动建议

1. 今天就能做：让负责证书与密钥的同事导出一份"仍在使用 1024 位 RSA"的清单，范围包括对外证书、内网自签证书、固件与代码签名、老 VPN 与设备管理口。
2. 本周内：把这份清单按"能否下线 / 能否换 2048 位以上 / 只能隔离"分成三类，先处理对外暴露的那一批。
3. 本月内：在安全评审模板里加一条"依赖的密码学假设是否需要重新评估"，并指定复查频率。
4. 如果你在做 Agent 系统：把论文第 6 节的分层结构（监督者 / 执行者 / 专项 + 门控检查点）拆成自己项目的最小版本，先用一个中等规模任务验证失败恢复能力。
5. 如果你要对外引用：优先引用两份 PDF 原文的具体段落，注明"工作论文、未经同行评审"，并始终带上"2048 位及以上不受影响"这句限定。

参考来源

• DeepMind 官方署名文章（Pushmeet Kohli，VP Science，2026-11-06）： https://www.linkedin.com/pulse/advancing-frontier-cryptanalysis-pushmeet-kohli-5itie
• 技术论文《Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation》（24 页，2026-11-06 发布）： https://storage.googleapis.com/deepmind-media/papers/Faster_Affine_Root_and_a_1024bit%20Computation.pdf
• 技术论文《Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS》（15 页，标注 2026-11-05）： https://storage.googleapis.com/deepmind-media/papers/Fan_Factories_Multiple_Number_Fields_in_Factorization_Factories_and_Batch_NFS.pdf
• 交叉核对（媒体转述，仅用于确认时间与口径）： https://www.interestingengineering.com/ai-robotics/google-deepmind-agents-expose-older-encryption-flaws 、 https://cryptobriefing.com/google-deepmind-ai-rsa-1024-bit-weaknesses/

说明：本文以 DeepMind 官方署名文章与两份技术论文原文为准，媒体转述仅用于交叉核对发布时间与关键数字口径；两篇论文均为工作论文，尚未经过同行评审。