Google DeepMind: KI-Agenten finden zwei Schwachstellen bei 1024-Bit-RSA, keine Bedrohung für RSA-2048
Zwei Arbeitspapiere von Google DeepMind, Inria und der UC San Diego beschreiben KI-Agenten, die Angriffe auf das veraltete 1024-Bit-RSA-Format verbessert haben: Padding-Signaturen und Batch-Faktorisierung. Die Autoren betonen, dass Schlüssel mit 2048 Bit und mehr nicht gefährdet sind.
Google DeepMind hat am 6. November 2026 zwei Arbeitspapiere zur Kryptanalyse vorgelegt, in denen KI-Agenten unter Anleitung von Forschern bekannte Angriffe auf 1024-Bit-RSA verbessert haben. Dieses Format gilt als veraltet: Beide Texte stellen klar, dass im Einsatz befindliche Systeme mit 2048 Bit oder mehr nicht bedroht sind. Zu den Autoren gehören Nadia Heninger (UC San Diego und Inria) sowie Emmanuel Thomé (Inria), zwei anerkannte Experten auf diesem Gebiet.
Erstes Ergebnis: Wenn das Padding nicht mehr schützt
Eine RSA-Signatur fügt der Nachricht vor dem Signieren häufig ein Padding mit festem Format hinzu. Das erste Papier untersucht den Fall eines Angreifers, der für eine gewisse Zeit beliebige Daten signieren lassen kann und anschließend eigenständig neue Signaturen erzeugen muss. Das Fazit: Beim Format PKCS#1 v1.5 bietet dieses Padding keinerlei zusätzliche Sicherheit mehr, sobald der Angreifer mehr als die Hälfte des Blocks (oder einen 64-Byte-Digest bei 1024 Bit) kontrolliert. Bei einem Digest von 32 Byte bleibt das Problem schwieriger, doch die Autoren senken die theoretischen Kosten; DeepMind beziffert diesen Gewinn auf einen Faktor von etwa 1.600 bei 1024 Bit – eine Schätzung, keine tatsächlich durchgeführte Berechnung.
Der praktische Teil bestand in einer Reproduktion: Bei einer bereits in einer früheren Studie gelösten 1024-Bit-Instanz dauerte die Berechnung mit demselben Algorithmus und denselben Parametern 391 CPU-Kern-Jahre, 3,5-mal weniger als beim Original. Dem Papier zufolge haben zwei kooperierende KI-Agenten diese Berechnung in weniger als vier Tagen entworfen, gestartet und debuggt – in einer isolierten Umgebung und ohne Zugriff auf reale Systeme.
Zweites Ergebnis: Viele Schlüssel gleichzeitig faktorisieren
RSA-Schlüssel besitzen Standardgrößen. Ein Angreifer, der viele Schlüssel derselben Größe ins Visier nimmt, kann einen Teil der Arbeit zusammenlegen. Das zweite Papier schlägt sogenannte „Fan Factories“ vor: Nach einer Vorberechnung, die ungefähr so viel kostet wie eine einzelne Faktorisierung, würde jeder zusätzliche 1024-Bit-Schlüssel nur noch etwa 1/58 einer klassischen Faktorisierung erfordern – also 30-mal weniger als die beste vergleichbare Methode, die seit 1993 bekannt ist. Dies ist eine Schätzung in führender Ordnung unter den bei diesen Analysen üblichen Annahmen; die algebraischen Identitäten wurden in Lean 4 verifiziert, eine Implementierung fand jedoch nicht statt. Ohne Vorberechnung bleibt der angekündigte Gewinn geringfügig.
Unsere Einschätzung
Man sollte dies nicht als „RSA geknackt“ interpretieren: Nichts hiervon betrifft die heute genutzten 2048-Bit-Schlüssel, und die spektakulärsten Einsparungen sind rein theoretischer Natur. Das Signal liegt woanders. Einerseits haben KI-Agenten eine umfangreiche Forschungsberechnung vom Code bis zum Debugging innerhalb weniger Tage eigenständig bewältigt. Andererseits werden mathematische Resultate zunehmend maschinell erzeugt und anschließend verifiziert. Für Sicherheitsteams ist die praktische Konsequenz eindeutig: Die letzten noch aktiven 1024-Bit-RSA-Schlüssel sowie Signaturen, bei denen der Angreifer einen Großteil der signierten Daten kontrolliert, sollten beschleunigt außer Dienst gestellt werden. Grundsätzlicher betrachtet könnten sich die vor zehn Jahren veranschlagten Sicherheitsmargen schneller verschieben als bisher angenommen.
Quellen
- Google DeepMind — Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation (Arbeitspapier, PDF) Primärquelle
- Google DeepMind — Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS (Arbeitspapier, PDF) Primärquelle
- Google DeepMind auf X — Ankündigung (6. November 2026) Primärquelle
Eine Primärquelle stammt direkt von dem betreffenden Unternehmen, Labor oder der Organisation. Eine Sekundärquelle gibt die Information wieder, ohne ihr Urheber zu sein: Wir kennzeichnen sie als solche. Einen Fehler entdeckt? Lesen Sie unsere Korrekturrichtlinie.
