6 ноября Пушмит Кохли из DeepMind опубликовал эссе «Advancing the frontier of cryptanalysis» и две рабочие статьи. Заголовки ухватились за множители 1 600 и 30, но это теоретические оценки. Измеренное число скромнее и интереснее: 3,5 — во столько раз меньше процессорного времени понадобилось агентам, чтобы повторить атаку, которую криптографы опубликовали месяцем раньше.
Что именно повторили
Базовая работа — статья Ши и коллег о подделке подписей 1024-битного RSA почти за время SNFS. Модель атаки: у злоумышленника есть временный доступ к «сырому» интерфейсу подписи, куда можно подавать произвольные данные. Он делает около четырёх миллиардов запросов до того, как выбрана цель, а потом подделывает подписи на нужные сообщения, не восстанавливая закрытый ключ.
У людей ушло 1 380 ядро-лет и примерно пять месяцев календарного времени. У агентов — 391 ядро-год: 318 на офлайн-фазу и 73 на первый корень, ещё по 73 на каждый следующий. Календарно — 3,2 дня от первого полномасштабного просеивания, 3 дня 22 часа от начала проектирования до проверенной подписи.
Кто это сделал
Два агента, которых в статье называют Model A и Model B, писали код и запускали задачи; человек-супервайзер задавал рамки, бюджеты и проверял результат. Агенты написали около 33 500 строк нового кода, провели 336 распределённых экспериментов и сделали 16 292 вызова инструментов. Человек отправил примерно 20 сообщений, в основном «продолжай» и «следуй своей рекомендации».
Экономия — инженерная, а не математическая: более быстрый просеиватель (в 1,8–4,4 раза быстрее CADO-NFS на той же машине) и перенос линейной алгебры на GPU. 1 600× — это следствие теоретического снижения показателя стоимости для 32-байтового дайджеста; 30× — теоретический выигрыш при пакетном факторинге многих ключей. Ни то, ни другое не запускали.
Что это значит
2048-битный RSA и более длинные ключи эта работа не ломает, и 1024 бита давно не одобряются для новых подписей. Но если у вас остался HSM или API с прямым доступом к подписи без внутреннего хеширования, окно сократилось сильнее, чем считалось.
On 6 November DeepMind’s Pushmeet Kohli published an essay, “Advancing the frontier of cryptanalysis”, with two working papers. Headlines seized on the multipliers 1,600 and 30, but those are theoretical estimates. The measured number is smaller and more interesting: 3.5 is how much less CPU time the agents needed to repeat an attack human cryptographers published a month earlier.
What was repeated
The baseline is a paper by Shea and colleagues on forging 1024-bit RSA signatures in nearly SNFS time. The attack model: an adversary gets temporary access to a raw signing interface that accepts chosen inputs. They make about four billion queries before the target is chosen, then forge signatures on chosen messages without recovering the private key.
The humans spent 1,380 core-years and about five calendar months. The agents spent 391 core-years: 318 for the offline phase and 73 for the first root, then 73 for each further root. Calendar time was 3.2 days from the first full-scale sieving job, 3 days 22 hours from design to verified root.
Who did it
Two agents, called Model A and Model B in the paper, wrote code and ran jobs; a human supervisor set budgets, guardrails and audited results. The agents wrote about 33,500 lines of new code, ran 336 distributed experiments and made 16,292 tool calls. The human sent about 20 messages, mostly “continue” and “follow your recommendation”.
The saving is engineering, not mathematics: a faster siever (1.8–4.4 times faster than CADO-NFS on the same machine) and linear algebra moved to GPUs. The 1,600x is a theoretical drop in the cost exponent for a 32-byte digest; the 30x is a theoretical gain for batch factoring of many keys. Neither was run.
What it means
The work does not break 2048-bit RSA or longer keys, and 1024 bits has long been deprecated for new signatures. But if you still have an HSM or API that exposes raw signing without internal hashing, the window has shrunk more than assumed.