背景：RSA 的保額，保單上只寫了「因式分解」四個字
RSA 的安全感向來等於一句話：把公鑰裡那個大合數 N 分解成兩個質因數，做不起來。以 2026 年最好的實作估算，分解一把 1024-bit 的 N 要 50 萬到 100 萬 CPU 核心年。這一等鑰匙早就退役——NIST 在 SP 800-131A 裡規定 2013 年底之後禁止用於產生簽章，只剩驗簽舊檔的legacy 用途。業內對它的態度跟驗屍房對舊屍體一樣：躺在那裡，沒人花錢解剖。
但有一樁 2007 年的舊帳一直沒人結：Joux、Naccache、Thomé 三人證明，攻擊者只要暫時摸到一個「裸簽章預言機」——任何肯對任意數值算 xd mod N 的黑盒子，例如允許 CKM_RSA_X_509 裸簽的老式 HSM 介面、或不限流的盲簽章服務——就能不分解 N 而偽造簽章，成本從通用數域篩法（GNFS）等級掉到特殊數域篩法（SNFS）等級。論文睡了 19 年，因為沒人真的在實務鑰長上跑過。
2026 年 9 月 20 日，UC San Diego 的 Nadia Heninger 團隊連同 Inria 的 Emmanuel Thomé 把這樁舊帳撈了出來（IACR ePrint 2026/2131）：他們用一臺 HSM 當簽章預言機——金鑰從頭到尾沒離開機盒，全程只走黑盒子 API——跑了約 40 億次簽章查詢、總計 1,380 核心年、日曆上 5 個月，之後只要再花 180 核心年就能離線偽造任意簽章。他們還外推：在這個攻擊模型下，1024 到 4096 bit 的常見 RSA，安全強度都該下修 15 到 30 bit。
這次發生什麼：DeepMind 接手，方向盤交給 AI 代理
11 月 6 日公佈的兩篇工作論文（隔日均掛上 DeepMind 官方檔案庫）：Modular Roots from a Restricted Oracle（簽章偽造）與 Fan Factories（批量分解）。DeepMind 的 Dj Dvijotham 與 Abhradeep Thakurta 領銜，Heninger 與 Thomé 掛名合著——九月原班學術人馬直接在場。
| 成果 | 打的是什麼 | 成本變化 | 證據等級 |
|---|---|---|---|
| 仿射偽造演算法 | 攻擊者自由度受限的簽章格式（例如 32-byte 摘要） | 均攤指數 1.8171 → 1.5803，1024-bit 約便宜 1,600 倍 | 理論估算（前導階） |
| Fan Factory 批量分解 | 大量同長度鑰匙一起撈 | 預計算一把 GNFS 的成本後，每把額外 ≈ 1/58 次 GNFS、比 MNFS 省 30 倍 | 理論＋Lean 4 機驗，未實作 |
| 1024-bit 實戰重跑 | 與九月原論文同一實例、同演算法、同多項式 | 1,380 → 391 核心年（3.5 倍） | 實際量測 |
至於版面之下真正的頭條：整場 1024-bit 計算的設計、實作、執行與除錯，幾乎由兩支互相搭配的 AI 代理獨攬，從動筆設計到根驗證完成只用了 3 天 22 小時。DeepMind 科學團隊把這件事寫進論文，連同它們自己寫的註解：「一個通常走得很慢的領域，AI 輔助研究能推多快，這組結果讓你看清楚了。」
解讀一：padding 什麼時候從保險槓變成裝飾品
實務簽章不會直接對裸訊息做冪次，而是先套一層固定格式（padding），企圖讓攻擊者無法自由操控送進簽章器的內容。DeepMind 把這問題量化成一個乾淨的定理：只要格式留給呼叫者的可變部分能長到約 √N，格式約束就形同虛設——受限的「仿射預言機」可以被裸預言機模擬，每次查詢換兩次查詢。實測在 1024-bit、視窗放 2512（剛好是 modulus 一半位元）時，平均每次查詢只要 1.26 次重新隨機化就過關。
這話翻譯成標準文件很殘酷：PKCS#1 v1.5 的 CKM_RSA_PKCS 機制在 1024-bit 下，只要攻擊者塞得下 64-byte 摘要，問題難度就等同裸簽（CKM_RSA_X_509）；壓到 32-byte 摘要，才剩下一個真正比較難的仿射問題。
而對這個剩下來的難題，DeepMind 動了刀。Joux–Naccache–Thomé 2007 年的演算法每根均攤指數是 1.8171；新做法靠「多階段最佳化提前中止（early abort）」與「只使用合法輸入的因數基底擴充」壓到 1.5803，再花大一點的離線預算（指數 1.6373）還能把線上每根推到逼近 1.3867。指數差約 0.237，代入 1024-bit 的成本式，就是 DeepMind 口中「比之前最佳方法快約 1,600 倍」的由來。
解讀二：批量分解那個坐了 33 年的位置，換人了
要一次分解大量同長度的鑰匙（現實中同一標準的模數全都是同一位數），Coppersmith 1993 年給了兩條路：「分解工廠」花 2.007 指數的預計算換每把 1.639；或者乾脆不預計算、每把跑 MNFS 的 1.9019。問題在於：預計算預算只有「一次 GNFS」等級時，每把最好也停在 1.9019——這個紀錄掛了 33 年，甚至有重量級論文明確說把工廠和 MNFS 疊起來是沒必要的折騰。
Fan Factories 的動作：讓每顆目標自帶一整「扇」代數多項式，全部去吃同一份預先篩好的有理側關係。定理給出封閉解：預計算指數落在 1.9019 到 1.9496 之間，扇形優於所有已知方法；預算＝一次 GNFS 時，每把從 1.9019 降到 1.7929。換算 1024-bit 前導階：每多分解一把 ≈ 一次 GNFS 的 1/58，比 MNFS 便宜 30 倍；把預計算攤進去，第 3 把開始就回本。
為什麼 33 年沒人看見這塊肉？因為臨界點 1.9496 之後每把一扇會退化成單多項式，而 Coppersmith 工廠的參數剛好坐在「單多項式最優」區間裡——之前的工作不是沒想到，是站錯位置。證明端這次也沒省事：封閉式的代數恆等式與可行性驗證全部用 Lean 4 機器檢查，方法本身是一組兩代理框架——一支模型產證明、另一支驗證明。
四天工作log：工程面比數學面更讓人坐不住
兩支代理的分工寫得很直白：一支 supervisor 負責寫設計、設檢查點、逐棒稽覈結果；一支負責寫碼與跑任務。總共 33,500 行程式碼分 19 個版本迭代完成，其中 24,000 行 C++/CUDA、8,400 行 Python，蓋在 CADO-NFS 之上。
值得盯的幾個數字：預言機階段回答了 4,055,916,065 次查詢——63 個平行任務、20 分鐘跑完，之後預言機「退場」，剩下的每一步都得靠離線階段攢下的本錢；初始拆分丟 2,000 個平行任務搶了 46 分鐘；線代在 16 張 GPU 上跑 block Wiedemann，光 Krylov 序列就走 1,205,248 步。最後第一根花費 391 核心年（離線 318＋線上 73），對照原論文的 1,380。
3.5 倍從哪裡來？同一臺機器上，它們寫的篩核比 CADO-NFS 快 1.8 到 4.4 倍、找的又是同一批關係；下降與開根改走同演算法內的便宜策略（兩階篩法各快 2.7 與 4.0 倍、下降快 2.2 倍、開根快約 6 倍）。把這組數字放回背景：分解整顆 modulus 估計要 50 萬到 100 萬核心年，預言機路線把它壓到不到千分之一——而執行者已經不是人類密碼學家，是兩支會自己 debug 的代理。
影響與觀察：硬度是時變量，AI 同時是計時器和炸藥
誰會被打到。1024-bit 殘存資產：老韌體簽章鏈、嵌入式裝置、允許裸簽機制的舊 HSM、沒設限流的盲簽章端點。攻擊前提不是偷到鑰匙，而是「租用它簽一陣子」——九月的原論文就是用一臺 HSM 當預言機，金鑰全程在機盒內。
兩句「安全聲明」要放在一起讀。DeepMind 兩篇論文都寫：不威脅 2048-bit 以上的部署系統——這是對這兩篇新結果的量級陳述。而它們立足的 ePrint 2026/2131 自己外推過：在簽章預言機模型下，2048-bit 的實際強度約 290（帳面 112-bit），4096-bit 也夠不到 128-bit，整體該下修 15–30 bit。兩句都不謊，合起來的結論就不是「RSA 被破了」，而是「我們替 RSA 記帳的方式一直太慷慨」。
研究節奏的變革更直接。JNT07 從發表到被真跑，19 年；學術原論文到 DeepMind 的兩篇跟進加一次實戰重跑，6 週。一個以「慢慢挪 0.01 個指數」著稱的領域，六週吃掉 33 年的紀錄兩次——那每一張以「當前難度」計價的安全保證書，折舊率都該重估。量子運算不再是唯一的倒數計時器，這一點我們在前兩篇（AI 機器證明推翻猜想、量子解碼器瓶頸）已經反覆碰到同一條邊。
折扣先打完。兩篇都是未經同儕審查的工作論文；1,600 倍與 30 倍是前導階理論估算；fan factory 無實作；攻擊需要裸預言機的使用窗口，只做雜湊簽章的系統留給攻擊者的自由度小得多——已有密碼研究者對實際適用面保留意見。這篇沒有把「AI 破解 RSA」寫上標的打算，那是讀腳註讀得夠快的人才不會寫錯的標題。
行動清單。①盤點手上還活著的 1024-bit：NIST 的紅線 2013 年就畫下去了，現在連法源正當性都沒有；②對任何提供裸簽／裸解密語義的 API 建立用量異常偵測——九月原論文那臺 HSM 在窗口內被問了 40 億次，沒有人攔；偵測線就畫在這裡；③簽章遷移就隨後量子轉進一併處理，RSA 留給驗舊檔，別再給新流量用。
結論：屍體不會開口，但解剖報告四天就出來了
1024-bit RSA 本來就是殭屍，這次的兩篇論文也沒讓任何 2048-bit 以上的系統冒汗。真正該記住的是那組工作統計：兩支代理、33,500 行程式碼、3 天 22 小時、3.5 倍工程增益，外加兩個把教科書常數往下刮的新指數。密碼學的難度從來不是常數，是市場價格；AI 代理沒有改變這個事實，只是把價格的重估週期，從一個世代壓縮到一週。下次任何一份安全保證書寫著「以目前的難度估計」，記得先問一句：目前，是指哪一天的目前。
來源與查覈
- Pushmeet Kohli（Google DeepMind VP Science），「Advancing the frontier of cryptanalysis」，2026-11-06 宣佈原文。
- Dvijotham, Heninger, Jones, Kohli, Kozlovskii, Kushagra, Pabbaraju, Stanforth, Thakurta, Thomé, Tomašev, Wagner，「Modular Roots from a Restricted Oracle: Faster Affine Roots and a 1024-bit Computation」，Google DeepMind 工作論文，2026-11-05。
- 同上作者群，「Fan Factories: Multiple Number Fields in Factorization Factories and Batch NFS」，Google DeepMind 工作論文，2026-11-05。
- Shea, Haller, Suhl, Heninger, Thomé，「Forging 1024-bit RSA signatures in nearly SNFS time」，IACR ePrint 2026/2131，2026-09-20。
- Interesting Engineering，「Google DeepMind finds 1,600x faster way to expose encryption flaws」，2026-11-07。
- NIST SP 800-131A，「Transitions: Recommendation for Transitioning the Use of Cryptographic Algorithms and Key Lengths」：1024-bit RSA 於 2013-12-31 後禁止用於簽章產生。
延伸閱讀
- 兩家 AI 同一天推翻同一個猜想：OpenAI 一次釋出三個機器證明的定理，連猜想提出者都親自查 AI 的證明
- 量子電腦的瓶頸換了人：不是量子位不夠多，是「翻譯官」跟不上——IBM、AMD、橡樹嶺的共同設計平臺與 DOE 的 2028 倒數
本文為新聞評論與技術解讀，不構成安全產品建議。所有成本數字以兩篇工作論文與 ePrint 2026/2131 原文口徑為準；部署決策請以 NIST／標準文件與原廠公告為準。