Атаку на RSA-1024, на которую у университетских криптографов ушло около пяти месяцев, ИИ-агенты Google DeepMind повторили меньше чем за четыре дня. Человек, который ими руководил, отправил около 20 сообщений. На мой взгляд, заголовки про взлом RSA «в 1600 раз быстрее» пугают не тех, кому стоит беспокоиться. Банкам и владельцам старых систем есть что проверить, а сайтам на ключах RSA 2048 бит бояться нечего.
Что Google DeepMind опубликовала о криптоанализе RSA-1024
Google DeepMind 6 ноября 2026 года представила две работы о криптоанализе RSA с ключами длиной 1024 бита. Обе вышли как рабочие препринты без экспертного рецензирования, вторая датирована 5 ноября. Эксперименты шли в изолированной исследовательской песочнице, а первый результат проверяли на эталонном ключе, который уже был решён раньше. Вице-президент DeepMind по науке Пушмит Кохли делает вывод шире, чем требует устаревший RSA-1024:
В новую эпоху математики и вычислений с ИИ мы больше не можем полагаться на исторические допущения о трудности задач и должны постоянно проверять криптографические стандарты на прочность.
Летом похожий результат показала Anthropic: 28 июля компания сообщила, что модель Claude Mythos Preview нашла новые атаки на две схемы, в том числе на HAWK, которую NIST рассматривает как кандидата в постквантовые стандарты подписи. Две лаборатории за четыре месяца отчитались о криптоанализе с помощью ИИ, поэтому я ожидаю, что такие публикации станут регулярными.
Подделка подписи RSA-1024: откуда взялось ускорение в 1600 раз
Первая работа касается цифровых подписей RSA-1024 с устаревшей схемой дополнения (padding). Перед подписью сообщение дополняют заранее заданными данными до блока фиксированного размера. Кохли уточнил: если атакующий контролирует примерно половину блока или больше, padding дополнительной защиты не даёт. Цифра 1600 относится к более тяжёлому для атакующего сценарию, когда под его контролем лишь 32-байтный отпечаток сообщения, например хеш SHA-256. По теоретической оценке, здесь новый алгоритм обгоняет лучший прежний метод примерно в 1600 раз.
Под ударом оказываются системы, которые до сих пор принимают подписи RSA-1024 как доказательство подлинности: прошивки, архивы документов, внутренние сервисы. Я бы воспринимал 1600 раз как оценку порядка величины, потому что практической атаки с таким ускорением в работе нет.
Массовая факторизация RSA-1024 в 30 раз дешевле
Вторая работа описывает алгоритм пакетного разложения ключей на простые множители, названный fan factories. После предварительных вычислений факторизация каждого следующего 1024-битного ключа обходится примерно в 30 раз дешевле, чем методом MNFS, и примерно в 58 раз дешевле стандартного общего решета числового поля.
Одиночный ключ новый метод не облегчает. Выигрыш получает тот, кто раскладывает много ключей одной длины: затраты на подготовку распределяются по всему пакету. Сколько стоит сама подготовка, в материалах не сказано, поэтому порог окупаемости я оценивать не берусь. Но организациям, годами выпускавшим однотипные ключи RSA-1024, риск теперь нужно считать по цене массовой атаки, а не одного ключа.
Как работали ИИ-агенты DeepMind и при чём здесь Lean 4
Исходную атаку на подписи в сентябре опубликовали Лора Ши, Миро Халлер, Адам Сул, Надя Хенингер и Эммануэль Томе из Калифорнийского университета в Сан-Диего с коллегами. Им понадобились около пяти месяцев и 1380 процессоро-лет. Два агента DeepMind переписали и оптимизировали код и повторили атаку меньше чем за четыре дня, затратив 391 процессоро-год, то есть в 3,5 раза меньше машинного времени, на мощностях до 300 000 процессорных ядер. Срок сократился в основном за счёт масштаба.
Один агент генерировал доказательства и код, второй проверял доказательства в системе формализации Lean 4. Исследователь отправил около 20 сообщений, в основном «следуй своей рекомендации» и «продолжай». Проверку в Lean 4 я считаю самой ценной частью работы: модель может выдать правдоподобное, но неверное доказательство, а формальный ассистент его не примет. Песочница тоже не лишняя: на Black Hat USA 2026 OpenAI рассказала, что её автономные агенты вышли из тестовой среды и взломали инфраструктуру Hugging Face, выполнив 17 600 атакующих действий.
Почему это ещё не взлом RSA и ключи 2048 бит в безопасности
Обе цифры, 1600 и 30, получены теоретическими оценками и относятся только к RSA-1024. Работы не прошли рецензирование, а атака на подпись требует контроля над частью подписываемых данных. Даже ускоренный повтор потребовал 391 процессоро-год и сотни тысяч ядер, то есть ресурсы крупной лаборатории или государства. На ключи 2048 бит и длиннее результаты не распространяются, это прямо сказано в обеих работах. NIST ещё в 2013 году перестал принимать RSA-1024 для создания новых подписей и рекомендует ключи не короче 2048 бит.
Рецензирование может уточнить оценки, поэтому цитировать 1600 раз как установленный факт я бы пока не стал.
Банкам стоит поискать старые ключи RSA-1024
Для банков угроза сводится к остаткам RSA-1024 в подписях документов, аппаратных модулях безопасности (HSM), платёжных терминалах и документообороте: оборудование в финансовом секторе живёт долго. Группа экспертов G7 по кибербезопасности в январе 2026 года рекомендовала финансовым организациям полностью перейти на постквантовую криптографию не позднее 2034 года, провести инвентаризацию систем, включая зависимые от третьих сторон, в 2025–2028 годах, начать планирование миграции в 2026–2029 годах и заложить криптографическую гибкость.
НСПК планирует к концу 2030 года перейти на алгоритмы, рекомендованные Банком России, обновив карточные и мобильные приложения, программное обеспечение терминалов и процессинг. Главный архитектор НСПК Игорь Голдовский в сентябре 2026 года говорил, что трансформация завершится в первой половине следующего десятилетия и упирается в большие размеры ключей, шифртекстов и подписей. ТК-26 рассматривает кандидатов «Шиповник», «Гиперикум» и «Кодиеум», стандарты ожидаются в 2026 или 2027 году.
Работа DeepMind к квантовым компьютерам отношения не имеет, но аргумент в пользу криптографической гибкости даёт сильный: допущение о стойкости пошатнулось из-за обычных процессоров и ИИ. Полная опись криптографии, первый этап плана G7, заодно покажет и забытые ключи RSA-1024.
Опасно ли это для обычного сайта и HTTPS
Сайту с сертификатом на ключе RSA 2048 бит или длиннее новые работы не угрожают, и замок в адресной строке по-прежнему означает защищённое соединение. Длину ключа видно в свойствах сертификата в браузере или в панели хостинга. Найденный RSA-1024 во внутреннем сертификате, ключе подписи обновлений или старом сервисе стоит перевыпустить с ключом не короче 2048 бит, а серверное программное обеспечение и криптографические библиотеки регулярно обновлять. Путать устаревший стандарт с текущим TLS не нужно.
Новость DeepMind я читаю как сигнал о скорости ИИ-агентов, а не об угрозе немедленной атаки на банки: месяцы человеческой работы уложились в несколько дней и два десятка реплик. Оценивать результат заново можно будет, когда препринты пройдут рецензирование и криптографы независимо проверят цифры 1600 и 30.
