DeepMind AI 智能体发现旧版 1024 位 RSA 加密系统的两处弱点

今天，我们分享来自 @GoogleDeepMind 的新研究，展示 AI agent 如何加速密码分析，也就是对加密进行压力测试的科学。我们的团队在人类监督下使用 AI agent，在遗留的 1024 位 RSA 加密系统上发现了两个重大弱点，表明这些系统可以在比此前认为可行的更低计算预算下被攻破。

在实际应用中，这些结果只影响已过时的 1024 位 RSA 系统，而几乎普遍使用 2048 位或更大密钥的现代加密协议仍然安全。不过，这些结果确实表明，AI agent 系统能够以多快的速度评估支撑数字安全的计算问题的数学“难度”。我们分享这项研究，是为了让安全社区能够利用这些洞见更好地衡量密码强度，并在潜在威胁到来之前很久就保持现代标准的韧性。

从加密通信到数字货币，现代加密系统都依赖于计算“难度”这一概念：即那些容易建立、但攻击者在计算上无法求解的数学问题。几十年来，RSA 等系统一直依赖这一事实——将两个大素数相乘很容易，但逆转这一过程（对其乘积进行因式分解）在计算上要困难得多。

与此同时，密码分析社区一直在持续对这些难度假设进行压力测试和质疑，以确保安全标准领先于潜在威胁，并把 RSA-1024 等已退役系统当作安全的试验场，正如我们在这里所做的那样。

从历史上看，这类工作中的重大进展往往需要数年或数十年，这意味着防御者可以假定难度余量只会缓慢变化。我们的结果由 Dj Dvijotham 和 Abhradeep Thakurta 领导，并与 Nadia Heninger（UC San Diego 和 Inria）、Emmanuel Thomé（Inria）合作，表明 AI 可以快得多地探查这些难度假设，使主动压力测试比以往任何时候都更加重要。

我们的第一个结果关于密码分析，并对数字签名的安全性产生影响。计算机正是通过这种方式验证某份数据——称为消息，例如软件更新、文档或网站——是真实的，并且确实来自其声称的来源。

在对消息签名之前，许多签名标准会添加预设数据，称为“填充”，将其填充为固定大小的块。密码学家知道填充有助于防止伪造，但并不知道如果攻击者能够向签名设备输入选定内容，它能提供多少保护。

我们找到了一个强有力的答案：关键在于攻击者控制已签名块的多少部分。一旦他们控制该块的大约一半或更多，填充就完全不能提供保护。伪造签名在数学捷径面前，与完全不使用填充一样脆弱。在沙箱模拟中测试这一结果——不接触任何真实系统——我们的 agent 在早期学术研究中一个已被解决的 1024 位基准密钥上设计出一种实现，以少 3.5 倍的 CPU 时间复现了结果，并且所需算力不到破解该密钥本身所需算力的千分之一。

当攻击者控制的块部分较少时，例如消息中带有短的 32 字节数字指纹，伪造签名会更困难。即便如此，我们发现了一种新算法，根据我们的理论估计，对于 1024 位密钥，它比此前最佳方法提升了约 1,600 倍。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）