发生了什么
11 月 6 日，Google DeepMind 科学副总裁 Pushmeet Kohli 以「推进密码分析的前沿」为题公布两项结果：在人类密码学家指导下，AI 智能体在数周内找到 1024 位 RSA 的两处弱点。工作由 Dj Dvijotham 与 Abhradeep Thakurta 牵头，加州大学圣迭戈分校与 Inria 的 Nadia Heninger、Inria 的 Emmanuel Thomé 参与。
1024 位 RSA 早已退出严肃用途：NIST 自 2013 年起不再接受用它生成新签名。选择这个目标本身是刻意的——攻破它不伤害任何在用系统。Kohli 明确限定范围：结果只影响过时的 1024 位系统，几乎普遍采用 2048 位及以上密钥的现代加密协议仍然安全。
两条结果分别是什么
- 签名伪造（填充失效）：PKCS#1 v1.5 的填充在攻击者能控制签名块一半以上内容时几乎不再增加难度，1024 位下约相当于 64 字节摘要。沙箱里重放一个学术界此前已破解的基准密钥，首个根消耗 391 CPU 核心年，比原计算省 3.5 倍；两个协作的智能体在四天内完成设计、运行与调试。
- 签名伪造（短摘要）：当攻击者只能控制一小段、例如 32 字节指纹时，新算法在理论估算上比此前最佳方法快约 1600 倍。这是估算值，不是端到端实测。
- 批量分解：新算法在渐近复杂度上优于既有批量方法。在已完成一次分解量级的前期计算后，之后每个 1024 位整数的分解成本约为常规成本的 1/58，比 Coppersmith 1993 年的多重数域筛在首项意义上省约 30 倍。同样属理论结果。
第二项工作的论文里写明，证明由「一个模型生成、另一个模型校验」的双智能体框架产出，代数部分在 Lean 4 中做了机器检查。这一点比数字更值得记录：密码分析这类高度依赖直觉的工作，开始出现可校验的中间产物。
哪些是实测，哪些是估算
真正跑起来的只有沙箱重放：对象是一个学术团队此前已在预印本中破解的 1024 位基准密钥，DeepMind 报告其智能体用比原来少 3.5 倍的 CPU 时间完成了同样的伪造。1600 倍与 30 倍都是理论估计，没有端到端跑过；也没有任何仍在依赖 1024 位 RSA 的生产系统被点名。
所以正确的读法是：加密没有塌，但「某个硬度假设还能撑多久」这个问题的答案周期被压缩了。过去这类推进以年为单位计研究者时间，现在可以是数周。
企业现在该做什么
对绝大多数企业，这不是一次应急处置，而是一次清点。可执行的动作有三类：清点证书链、SSH 主机密钥与硬件签名服务里是否还留有 1024 位密钥；封堵对外暴露的裸签名接口，不允许不受信调用方直接喂入待签数据——第一条结果的前提正是攻击者能控制签名块的一半以上；把后量子迁移的时间表往前挪，而不是等一个更干净的截止日期。
对安全团队的组织含义更大：如果密码分析的探索阶段可以被智能体并行铺开，那么「我们的算法选择还能安全几年」这类判断，需要从三年一评改为按季度跟踪。
不确定之处
两项工作以 working paper 形式发布，未见同行评议；两处倍数均为理论估算，实测仅在沙箱内、且针对已被破解的基准对象。智能体在多大程度上自主、人类介入了多少，公开材料只给出「人类设定方向并验证输出」这一层描述。这类研究的可复现性也不如形式化证明——它交付的是结论与论文，而非可一键重放的检查脚本。