Google DeepMind: agenti IA individuano due debolezze nell'RSA a 1024 bit, nessuna minaccia per l'RSA 2048
Due working paper di Google DeepMind, con Inria e UC San Diego, descrivono agenti IA che hanno migliorato gli attacchi all'RSA a 1024 bit, un formato obsoleto: firme con padding e fattorizzazione in batch. Gli autori specificano che le chiavi a 2048 bit e superiori non sono minacciate.
Google DeepMind ha presentato il 6 novembre 2026 due working paper di crittanalisi in cui agenti IA, supervisionati da ricercatori, hanno migliorato attacchi noti contro l’RSA a 1024 bit. Questo formato è obsoleto: entrambi i testi precisano che i sistemi distribuiti a 2048 bit o superiore non sono minacciati. Tra gli autori figurano Nadia Heninger (UC San Diego e Inria) ed Emmanuel Thomé (Inria), due specialisti riconosciuti del settore.
Primo risultato: quando il padding non protegge più
Una firma RSA aggiunge spesso al messaggio un padding di formato fisso prima della firma. Il primo documento studia il caso di un attaccante che può far firmare dati a sua scelta per un certo periodo, per poi dover produrre da solo nuove firme. Conclusione: con il formato PKCS#1 v1.5, non appena l’attaccante controlla più della metà del blocco (o un digest di 64 byte a 1024 bit), questo padding non aggiunge più alcuna difficoltà. Con un digest di 32 byte, il problema rimane più arduo, ma gli autori ne riducono il costo teorico; DeepMind traduce questo guadagno in un fattore di circa 1.600 a 1024 bit, una stima e non un calcolo effettuato.
L’aspetto pratico è una riproduzione: su un’istanza a 1024 bit già risolta in uno studio precedente, con lo stesso algoritmo e gli stessi parametri, il calcolo ha richiesto 391 anni-core CPU, 3,5 volte meno rispetto all’originale. Secondo il documento, due agenti IA cooperanti hanno progettato, avviato e corretto questo calcolo in meno di quattro giorni, in un ambiente isolato e senza interagire con sistemi reali.
Secondo risultato: fattorizzare molte chiavi contemporaneamente
Le chiavi RSA hanno dimensioni standard. Un attaccante che prende di mira molte chiavi della stessa dimensione può mettere in comune una parte del lavoro. Il secondo documento propone le «fan factories»: dopo un precalcolo dal costo equivalente a circa una fattorizzazione, ogni chiave a 1024 bit supplementare costerebbe circa 1/58 di una fattorizzazione classica, ossia 30 volte meno rispetto al miglior metodo comparabile noto dal 1993. Si tratta di una stima all’ordine dominante, sotto le consuete ipotesi di queste analisi; le identità algebriche sono verificate in Lean 4, ma non è stata realizzata alcuna implementazione. Senza precalcolo, il guadagno dichiarato rimane marginale.
La nostra lettura
Non bisogna interpretare la notizia come «RSA violato»: nulla qui intacca le chiavi a 2048 bit utilizzate oggi, e i guadagni più spettacolari sono teorici. Il segnale rilevante è un altro. Da un lato, agenti IA hanno condotto dall’inizio alla fine un grande calcolo di ricerca, dal codice al debugging, in pochi giorni. Dall’altro, risultati matematici vengono prodotti e poi verificati dalle macchine. Per i team di sicurezza, la conseguenza pratica è semplice: le ultime chiavi RSA a 1024 bit ancora in uso, e le firme in cui l’attaccante controlla un’ampia porzione dei dati firmati, meritano di essere dismesse più rapidamente. Più in generale, i margini di sicurezza stimati dieci anni fa potrebbero ridursi più velocemente rispetto al passato.
Fonti
- Google DeepMind — Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation (working paper, PDF) Fonte primaria
- Google DeepMind — Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS (working paper, PDF) Fonte primaria
- Google DeepMind su X — annuncio (6 novembre 2026) Fonte primaria
Una fonte primaria proviene direttamente dall'azienda, dal laboratorio o dall'ente interessato. Una fonte secondaria riporta l'informazione senza esserne l'autrice: la segnaliamo come tale. Un errore? Consulta la nostra politica di rettifica.
