Google DeepMind 於 11 月 6 日宣布，由人類密碼學家引導的 AI 智能體在數週內發現了舊版 1024 位元 RSA 的兩項新弱點，分別涉及數位簽章偽造與多金鑰批量分解。DeepMind 科學部門副總裁 Pushmeet Kohli 以長文在 X 上公布細節，並明確劃出界線：「在實務上，這些結果只影響已過時的 1024 位元 RSA 系統，現代加密協定——幾乎全部使用 2048 位元以上金鑰——仍然安全。」
研究發現了什麼
此研究由 DeepMind 的 Dj Dvijotham 與 Abhradeep Thakurta 主導，並與加州大學聖地牙哥分校及法國 Inria 的密碼學家 Nadia Heninger、Emmanuel Thomé 合作。兩篇技術論文分別探討以下攻擊面：
- 數位簽章填充（padding）失效：RSA 簽章在簽署前會對訊息加入預設的填充資料，向來被視為防偽機制之一。智能體發現，一旦攻擊者能控制簽章區塊（1024 位元共 128 個位元組）約一半以上（例如透過 PKCS#11 機制控制其中 65 個位元組），填充幾乎不再提供任何保護，偽造難度等同於無填充的裸 RSA。即便攻擊者只能控制少量資料（例如 32 位元組的 SHA-256 摘要），智能體提出的新演算法在理論上可將 1024 位元金鑰的最佳已知攻擊效率提升約 1,600 倍。
- 批量分解（batch factoring）成本大降：攻擊者對同一長度的多把 RSA 金鑰，可共享昂貴的前置計算。自 1993 年 Coppersmith 的多數體篩法（multiple number field sieve）以來，這是批量分解的標竿；DeepMind 的「fan factory」方法賦予每把目標金鑰各自的一組數體，使每分解一把額外的 1024 位元整數，成本降至標準數體篩法的約 1/58，比 Coppersmith 方法平均便宜約 30 倍。
可信度：有實測驗證，也有待複現
- 沙盒驗證：研究團隊以一份 2026 年 9 月學術論文中已破解的 1024 位元基準金鑰測試智能體的實作（該論文耗費 1,380 CPU 核心年、五個月的運算）；智能體以減少 3.5 倍 CPU 時間、不到前者千分之一的算力重現了結果。
- 成本結構：兩名智能體分工——一個負責設計與審核，一個負責寫程式與排錯——產出約 33,500 行程式碼、啟動 336 個分散式實驗，峰值動用約 30 萬顆 CPU 核心；人類只發送了約 20 則簡短指示，多數是「依你的建議執行」類的批准。
- 限制：1,600 倍與 30 倍均為理論/漸近估計，尚未在大規模實際金鑰上實測；DeepMind 未提及開源程式碼，目前也尚無第三方獨立複現。
為何重要
第一，AI 改變了密碼學研究的「節奏」。 過去需要頂尖團隊耗時數年、手動摸索的數學攻擊面探索，現在由人類提出方向、AI 執行大量探索性運算，數週內即可完成。結合上週 Anthropic 開源的 FlashProve 可驗證推理系統，可見 AI 正同時衝擊密碼學的「攻擊」與「驗證」兩端。
第二，合規與遷移壓力提前浮現。 1024 位元 RSA 在舊型裝置、韌體簽署與部分硬體安全模組（HSM）中仍然存在。此類「過時但未退役」的系統正式被點名，企業應將 1024 位元金鑰的完全移除列為優先事項——而非等待標準組織強制。
第三，對香港金融與科創界的啟示。 香港銀行、支付與電子簽章體系普遍使用 2048 位元以上金鑰，短期風險有限；但「AI 加速的密碼分析」將成為常態，任何長期依賴「夠難所以安全」假設的系統，都需要把「假設可被 AI 重新檢驗」納入風險模型。密碼學參數的選擇，未來必須假設對手的運算力會以 AI 倍率成長。
本文信息來源：Google DeepMind（Pushmeet Kohli 於 X 的公告）、兩篇技術論文。