RSA-1024 : DeepMind refait une attaque de signature 3,5 fois moins chère, son autre gain reste théorique

En une phrase : Google DeepMind a mesuré une contrefaçon de signature RSA-1024 bien moins coûteuse que le calcul publié en septembre 2026, à algorithme égal, et estimé sans l’implémenter un gain sur la factorisation de clés en série ; aucun des deux résultats ne touche RSA-2048.

Le 5 novembre 2026, une équipe de Google DeepMind, associée à deux cryptologues de référence, Nadia Heninger (université de Californie à San Diego et Inria) et Emmanuel Thomé (Inria), a mis en ligne deux documents de travail sur RSA-1024. Ils ne sont pas relus par des pairs. Le premier, « Modular Roots from a Restricted Oracle », rapporte un calcul complet mené par deux agents d’IA. Le second, « Fan Factories », est un résultat mathématique sur le coût de factorisation de nombreuses clés de même taille.

Les reprises les résument souvent en « l’IA casse RSA-1024 ». Ce n’est pas ce que disent les papiers. Le Latent n’a refait aucun calcul : cet article sépare ce qui a été exécuté et mesuré de ce qui reste une estimation, à partir des deux PDF, de l’article de Shea et al. qui sert de point de comparaison et du guide cryptographique de l’ANSSI, tous lus le 8 novembre 2026.

Ce qui a été mesuré : une signature calculée sans la clé

Le calcul ne factorise pas la clé. Il reproduit une attaque décrite en 2007 par Joux, Naccache et Thomé : pendant une phase préalable, l’attaquant obtient de l’interface de signature (typiquement un module matériel de sécurité, ou HSM) les signatures de valeurs qu’il choisit ; une fois cet accès retiré, il calcule seul la signature d’une valeur nouvelle, tirée au hasard. Dans un article déposé en septembre 2026, Shea, Haller, Suhl, Heninger et Thomé ont exécuté cette attaque contre une clé RSA-1024, avec un HSM comme interface de signature : 1 380 cœur-années de calcul sur cinq mois, et 2³² requêtes à l’interface, soit environ 4 milliards.

Les agents de DeepMind ont repris la même instance : même module, mêmes polynômes, mêmes bornes (section 5, tableau 2 du papier). Le résultat :

Source : DeepMind, « Modular Roots… », tableau 2 et section 5.3, et Shea et al., ePrint 2026/2131, relevés le 8 novembre 2026. L’algèbre linéaire de DeepMind a tourné sur GPU et n’est pas comptée ; en lui attribuant les 17 cœur-années de Shea et al., le facteur tombe à 3,4, précise le papier.

Le point clé est écrit par les auteurs eux-mêmes : les deux calculs exécutent le même algorithme, donc le facteur 3,5 mesure l’implémentation, pas une avancée mathématique. D’après la section 5.3, 90 % de l’économie vient du crible : la version optimisée par l’IA du logiciel libre CADO-NFS (développé à l’Inria) est de 1,8 à 4,4 fois plus rapide que l’original sur la même machine, et trouve les mêmes relations. Les gains ne changent pas le coût asymptotique. Quant aux 3,2 jours contre cinq mois, ils tiennent surtout au parallélisme (environ 45 000 cœurs occupés en moyenne contre 3 300), et DeepMind refuse de les compter comme un gain d’efficacité.

Ce que l’IA a fait est décrit en détail dans la section 6 : un agent superviseur (« Model A ») et un agent exécutant (« Model B »), dont les modèles ne sont pas nommés, ont écrit 33 500 lignes de code et lancé 336 expériences distribuées en 3 jours et 22 heures. Le chercheur humain a choisi le problème, validé les étapes irréversibles et envoyé une vingtaine de messages, surtout des approbations ; il n’a écrit aucun code. Les agents ont aussi corrigé un dépassement d’entier sur 32 bits qui avait rendu la première signature calculée fausse ; la signature finale a été vérifiée, puis revérifiée de façon indépendante à partir des données publiques.

Ce qui reste théorique : le précalcul « fan factory »

Le second papier traite d’un autre scénario : un attaquant qui veut factoriser beaucoup de clés de même taille, donc retrouver les clés privées. Depuis Coppersmith (1993), on sait mutualiser une partie du travail, mais seulement avec un précalcul énorme. Le papier « Fan Factories » donne à chaque clé visée sa propre famille (« fan ») de corps de nombres, alimentée par un précalcul commun.

Avec un précalcul qui coûte autant qu’une factorisation classique, chaque clé suivante coûterait environ 1/58 d’une factorisation, soit 30 fois moins qu’avec la meilleure méthode connue à ce budget (le crible MNFS). Mais ces chiffres sont obtenus en mettant à zéro les termes d’ordre inférieur de la formule de coût : selon les auteurs (section 4.1), ils « indiquent la taille d’une amélioration mais ne prédisent pas les durées de calcul » (traduction Le Latent). La section 4.2 ajoute qu’aucune « fan factory » n’a été implémentée, et que la table à stocker compterait environ 2⁷⁵ paires à 1 024 bits.

Le gain dépend aussi du scénario, comme le résume le tableau 3 du papier :

Source : DeepMind, « Fan Factories », tableau 3, relevé le 8 novembre 2026.

Les identités algébriques derrière ces formules sont vérifiées par ordinateur dans l’assistant de preuve Lean 4, ce qui ne lève pas les hypothèses heuristiques habituelles du crible sur lesquelles reposent les résultats ; les arguments d’analyse (stationnarité, monotonie) sont démontrés dans le texte et vérifiés numériquement, selon le papier. C’est la même prudence que pour les réfutations de l’hypothèse du temps exponentiel vérifiées en Lean : une preuve formelle garantit ce qu’elle énonce, pas les hypothèses qu’on lui donne.

Mesuré contre théorique : la comparaison qui compte

La confusion vient de ce que deux chiffres très différents circulent côte à côte. Le facteur 3,5 est une mesure, mais sur une attaque qui ne retrouve pas la clé et exige environ 4 milliards de requêtes à l’interface de signature. Le facteur 30 porte sur la factorisation, donc la vraie récupération de clés, mais c’est une estimation sur papier, pour un attaquant qui a déjà payé l’équivalent d’une factorisation complète.

Pour situer l’ordre de grandeur, factoriser un module de 1 024 bits est estimé entre 500 000 et 1 000 000 de cœur-années, chiffre repris par DeepMind d’après Shea et al. La signature calculée par les agents en représente 0,04 % à 0,08 %. Le record public de factorisation, rappelé par l’ANSSI, reste de 829 bits, en 2020.

Sur RSA-2048, la phrase figure en encadré dans les deux résumés : les résultats « ne menacent pas les systèmes déployés aujourd’hui fondés sur RSA de 2 048 bits et plus » (traduction Le Latent). Dans « Fan Factories », le précalcul seul coûterait environ 2¹¹⁷ opérations à 2 048 bits. Dans « Modular Roots », tous les coûts à 2 048 bits sont asymptotiques : rien n’a été exécuté au-delà de 1 024 bits.

Une nuance vient de l’article de référence. Shea et al. concluent qu’avec accès à l’interface de signature, la sécurité concrète de RSA est inférieure de 15 à 30 bits aux estimations fondées sur la factorisation, pour des clés de 1 024 à 4 096 bits, et que même RSA-4096 ne semble pas atteindre 128 bits de sécurité dans ce modèle d’attaque. Ce n’est pas une attaque pratique contre RSA-2048 ; c’est un argument de plus pour la sortie de RSA que préparait déjà la transition post-quantique, écrivent-ils.

Ce que ça change si tu es RSSI

Ne pas paniquer, mais finir le ménage de RSA-1024. Le guide de l’ANSSI (ANSSI-PG-083, version 3.00 du 20 mars 2026, pages 27 et 28) fixe un module d’au moins 2 048 bits pour un usage qui ne dépasse pas fin 2030, 3 072 bits à partir de 2031, et recommande 3 072 bits dès maintenant. Il juge déjà l’emploi de modules de 1 024 bits « incompatible avec des critères de sécurité raisonnables ». Les papiers de DeepMind ne changent pas ce calendrier ; ils rendent moins défendable une clé RSA-1024 encore en service.

Où chercher. Les inventaires portent en général sur les certificats TLS internes, les concentrateurs VPN, les autorités de certification internes, les signatures de code ou de micrologiciel et les équipements anciens (lecture du Latent, ces catégories ne sont pas citées par les papiers). La question à poser pour chaque clé RSA-1024 : qui peut lui faire signer quoi ?

Le point le plus concret : l’interface du HSM. Le premier papier classe les mécanismes PKCS#11, l’interface standard des HSM, selon l’attaque qui s’applique (section 4.2 et figure 5) :

• CKM_RSA_X_509 (opération RSA brute, sans formatage) : exposé à l’attaque mesurée.
• CKM_RSA_PKCS (format PKCS#1 v1.5) : le format ne protège plus dès que l’appelant fournit plus de la moitié du bloc, soit 65 octets sur 128 à 1 024 bits ; c’est aussi le cas d’une empreinte de 64 octets (SHA-512), selon les mesures du papier.
• Empreinte de 32 octets (SHA-256) fournie par l’appelant : seule l’analyse asymptotique s’applique ; DeepMind ne l’a pas exécutée à cette taille.
• Empreinte calculée dans le HSM (comme CKM_SHA256_RSA_PKCS) : hors des deux modèles d’attaque.

Lecture du Latent : une clé RSA-1024 qu’une application ou un compte de service peut solliciter en masse via CKM_RSA_X_509 ou CKM_RSA_PKCS avec des données longues est le cas à traiter en premier. Les schémas de signature aveugle (« blind RSA ») fournissent eux aussi ce type d’accès, relèvent Shea et al.. L’ANSSI tient par ailleurs RSA-SSA-PSS pour conforme, sous réserve des tailles ci-dessus, et PKCS#1 v1.5 pour non conforme dans certaines conditions (page 36).

Ce qui ne bouge pas. RSA-2048 et RSA-3072 gardent le même statut réglementaire. Les deux papiers ne portent que sur RSA : ils ne disent rien des signatures à courbes elliptiques. Et la vraie échéance reste la menace quantique : l’ANSSI recommande de viser une sécurité post-quantique pour tout usage prévu au-delà du 1^er janvier 2030, et rappelle que la factorisation « ne fournit aucune sécurité post-quantique », à cause de l’algorithme de Shor (guide de l’ANSSI, pages 8 et 28).

Ce qu’il faut retenir sur l’IA. Comme les 948 failles du noyau Linux trouvées par OpenAI, le résultat mesure surtout une capacité d’ingénierie : des agents qui écrivent, lancent et déboguent un calcul distribué à grande échelle avec peu d’intervention humaine. Ils accélèrent le travail des cryptologues, et donc le jour où une marge de sécurité théorique se vérifie en pratique. Pour une autre lecture de ce qu’une preuve cryptographique garantit vraiment, voir FlashProve d’Anthropic. Côté défense, des agents de DeepMind ont aussi prouvé en Lean des propriétés de sécurité du code de Signal : voir ce que couvre la vérification d’AlphaProof Code. D’autres analyses de résultats publiés sont rassemblées dans les comparatifs du Labo, et le fonctionnement des agents est expliqué dans ce qu’est un agent d’IA et ses risques.