Google DeepMind の AI エージェントが従来の RSA-1024 暗号化を攻撃する安価な方法を発見

DeepMind エージェントは、2048 ビットの最新暗号化の安全性を維持しながら、RSA-1024 偽造コストを 3.5 分の 1 に削減し、バッチファクタリングのショートカットを発見しました。

Google DeepMind によると、人間の監督下で作業する AI エージェントは、1024 ビット RSA 暗号システムへの攻撃コストを削減する 2 つの方法を発見したという。この結果は、最新の 2048 ビット以上の鍵は安全であると同社が強調しているにもかかわらず、従来の暗号化に関する前提を再構築する結果となった。

調査結果に関するSecurityWeekのレポートによると、カリフォルニア大学サンディエゴ校とインリア校の暗号学者と協力して実施されたこの研究は、従来のRSA-1024に対する攻撃に必要な計算量がこれまで想定されていたよりも少ないことを示しているという。「実際には、これらの結果は時代遅れの 1024 ビット RSA システムにのみ影響し、ほぼ普遍的に 2048 ビット以上の鍵を使用する最新の暗号化プロトコルは安全なままです」と Google DeepMind 副社長兼 Google Cloud のチーフサイエンティストである Pushmeet Kohli 氏は述べています。この件の詳細は、人工知能の最新情報をご覧ください。

1 つを見つける: パディングによる保護は思ったよりも不十分

最初の発見は、デジタル署名とパディングに関するものです。パディングは、多くの署名規格がメッセージを固定ブロックサイズにするためにメッセージに追加するプリセットデータです。パディングは偽造を困難にするものだと長い間理解されてきましたが、署名内容を選択できる攻撃者に対するパディングの価値は不明瞭でした。

DeepMind は、その答えは、攻撃者が制御する署名付きブロックの量に依存すると判断しました。「彼らがブロックのおよそ半分以上をコントロールすると、パディングはまったく保護を追加しません」とコーリ氏は説明した。付属の文書によると、これはハードウェアセキュリティモジュールなどの暗号化デバイスの PKCS#11 署名インターフェイスで使用される PKCS#1 v1.5 形式に適用されます。このデバイスは、企業が署名キーを手の届かない場所に置くために依存しているデバイスです。

チームは理論にとどまりませんでした。サンドボックステストで、DeepMind のエージェントは同じ 1024 ビットキーに対して以前の学術偽造攻撃を再実行し、必要な CPU 時間を 3.5 倍に削減しました。最初の偽造には 391 CPU コア年かかりましたが、元の調査では 1,380 CPU コア年かかりました。おそらく最も注目に値するのは、その作業がどのように行われたかです。2 人の AI エージェントが 4 日以内に偽造計算を設計、実行、デバッグしました。人間の研究者からの約 20 件のメッセージ (そのほとんどが承認) でした。

32 バイトのハッシュなど、攻撃者が制御するブロックの範囲が狭いという保守的なケースでも、DeepMind は、理論的推定によれば、1024 ビットキーに対するこれまでの最良の方法よりもおよそ 1,600 倍優れたアルゴリズムを発見しました。

発見 2: バッチファクタリングが 30 倍安くなる

2 番目の発見は、同じサイズの多数の RSA キーの因数分解に関するものです。攻撃者が一度に多くのキーをターゲットにすると、1 回の大規模な事前計算のコストがすべてのキーで共有される可能性があります。 DeepMind のエージェントは、追加の 1024 ビットキーをそれぞれ因数分解することで、これまでの最良のアプローチよりも平均で約 30 倍安くなるアルゴリズムを考案しました。

Google はここでの制限に注意しています。推定は理論上のものであり、この方法は実装されておらず、初期計算には単一のキーを因数分解するのと同じくらいコストがかかると想定されています。

これが差し迫った脅威ではない理由

注意事項は、見出しの番号と同じくらい重要です。署名攻撃では秘密鍵は回復されません。これには、事前に作成された約 40 億件の署名クエリが必要であり、メッセージを内部的にハッシュするデバイスに対しては機能せず、多くの最新の導入が除外されます。単一の 1024 ビットキーの完全な因数分解は依然として膨大な作業であり、50 万から 100 万 CPU コア年と推定されています。

したがって、実際的なリスクは、暗号化において通常発生する場所、つまり廃止されるべき古いシステムに集中します。 RSA-1024 は、従来のハードウェアセキュリティモジュール、老朽化した PKI インフラストラクチャ、および誰も移行の予算を立てていない組み込みシステムに残留しています。この研究によって、これらのシステムが明日壊れるようになるわけではありません。しかし、十分なリソースを持つ敵にとって、「攻撃は実行不可能」と「攻撃は高価だが妥当である」との間の幅は狭まります。

スタック内の任意の場所で 1024 ビット RSA を実行している組織にとって、今回の調査結果は、2048 ビット以上のキーへの移行を加速する必要があること、および署名偽造攻撃が適用されないと仮定する前に、署名デバイスが内部でメッセージをハッシュしているかどうかを検討する必要があることを裏付けるものです。

暗号化の敵対的テスターとしての AI エージェント

この作品のより深い意味は方法論的なものかもしれません。人間のチームが何年もかけて攻撃技術を洗練させるのではなく、DeepMind のエージェントは攻撃空間を調査し、計算を実装し、研究者の指導と承認を得ながらほぼ自律的にデバッグしました。

「これらの結果を総合すると、AI を活用した数学と計算の新時代では、暗号の強度を固定された仮定として扱うことはできないことがわかります」とコーリ氏は述べています。「AI を使用してこれまでの前提を厳密にテストすることで、最新の暗号化の安全性が確保されます。」

この枠組みは、セキュリティ研究における今後のパターンを示唆しています。それは、AI システムが重要なインフラストラクチャを支える前提条件をストレステストし、敵が発見する前に弱点を発見するというものです。レガシーシステムへの攻撃コストを削減するエージェントの機能は、原則として、代替システムの強化に向けることができます。暗号学者は、量子コンピューティングが登場するまでその壁が続くだろうと何十年も費やしてきました。 DeepMind の結果は、古典的な攻撃も安くなる可能性があり、「実行不可能」の下限が以前よりも高くなっているということを思い出させます。