Google DeepMind 的 AI 代理找到了更便宜的方法来攻击传统 RSA-1024 加密

DeepMind 代理将 RSA-1024 伪造成本降低了 3.5 倍，并找到了批量分解捷径，同时 2048 位现代加密仍然安全。

谷歌 DeepMind 表示，在人类监督下工作的人工智能代理已经找到了两种方法来降低攻击 1024 位 RSA 加密系统的成本，这一结果重塑了有关传统加密的假设，尽管该公司强调现代 2048 位和更大的密钥仍然是安全的。

根据 SecurityWeek 的调查结果报告，这项由加州大学圣地亚哥分校和 Inria 的密码学家共同进行的研究表明，对传统 RSA-1024 的攻击所需的计算量比之前假设的要少。 Google DeepMind 副总裁兼 Google Cloud 首席科学家 Pushmeet Kohli 表示：“实际上，这些结果只会影响过时的 1024 位 RSA 系统，而几乎普遍使用 2048 位或更大密钥的现代加密协议仍然安全。” 更多相关背景，请参阅我们的AI行业报道。

找到一个：衬垫的保护效果比我们想象的要少

第一个发现涉及数字签名和填充——许多签名标准添加到消息中以使其达到固定块大小的预设数据。长期以来，人们一直认为填充会增加伪造的难度，但对于可以选择签名内容的攻击者来说，填充的价值尚不清楚。

DeepMind 确定答案取决于攻击者控制了多少签名块。 “一旦他们控制了大约一半或更多的区块，填充就根本不会增加任何保护，”科利解释道。根据随附的论文，这适用于硬件安全模块等加密设备的 PKCS#11 签名接口所使用的 PKCS#1 v1.5 格式——企业依赖这些设备来保持签名密钥遥不可及。

该团队并没有停留在理论上。在沙盒测试中，DeepMind 的代理对同一个 1024 位密钥重新运行了早期的学术伪造攻击，并将所需的 CPU 时间减少了 3.5 倍：第一次伪造花费了 391 个 CPU 核心年，而原始研究中为 1,380 个。也许最值得注意的是这项工作是如何完成的——两个人工智能代理在不到四天内设计、运行和调试了伪造计算，并收到了来自人类研究人员的大约 20 条消息，其中大部分得到了批准。

即使在攻击者控制较少块的保守情况下（例如 32 字节哈希），DeepMind 也发现了一种算法，根据其理论估计，该算法比之前针对 1024 位密钥的最佳方法要好大约 1,600 倍。

发现二：批量保理成本降低 30 倍

第二个发现涉及分解许多相同大小的 RSA 密钥。当攻击者同时针对多个密钥时，一项大型前期计算的成本可以由所有密钥分摊。 DeepMind 的代理提出了一种算法，使分解每个额外的 1024 位密钥的成本平均比之前最好的方法便宜大约 30 倍。

谷歌对这里的限制很谨慎：估计是理论上的，该方法尚未实现，并且它假设初始计算的成本与分解单个密钥一样昂贵。

为什么这不是直接威胁

这些警告与标题数字一样重要。签名攻击无法恢复私钥。它需要提前进行大约 40 亿次签名查询，并且不适用于内部散列消息的设备，这排除了许多现代部署。单个 1024 位密钥的完全分解仍然是一项艰巨的任务，估计需要 500,000 到 100 万个 CPU 内核年。

因此，实际风险集中在密码学中通常存在的地方：本应退役的旧系统。 RSA-1024 一直存在于遗留硬件安全模块、老化的 PKI 基础设施以及没有人预算进行迁移的嵌入式系统中。这项研究并不会让这些系统明天就被攻破，但对于资源充足的对手来说，它缩小了“攻击不可行”和“攻击成本高昂但合理”之间的界限。

对于仍在堆栈中任何位置运行 1024 位 RSA 的组织来说，这些发现强化了加速迁移到 2048 位或更大密钥的理由，并在假设签名伪造攻击不适用之前检查其签名设备是否在内部对消息进行哈希处理。

人工智能代理作为密码学的对抗测试者

这项工作更深层的意义可能是方法论上的。 DeepMind 的代理不是由人类团队花费数年时间来完善攻击技术，而是在研究人员提供指导和批准的情况下，探索攻击空间、实施计算并在很大程度上自主地调试它们。

Kohli 说：“这些结果表明，在人工智能数学和计算的新时代，我们不能将加密硬度视为固定假设。” “使用人工智能严格测试我们之前的假设将确保现代加密保持安全。”

这一框架表明了安全研究中即将出现的一种模式：人工智能系统对支撑关键基础设施的假设进行压力测试，在对手之前发现弱点。原则上，降低攻击遗留系统成本的相同代理功能可以用于强化替代系统。密码学家花了几十年的时间假设这堵墙会一直坚守到量子计算到来为止。 DeepMind 的结果提醒我们，经典攻击也可以变得更便宜，而且“不可行”的下限比以前更高。