Agentes de IA do Google DeepMind reduzem o custo de atacar chaves RSA de 1024 bits

O Google DeepMind, com criptógrafos da UC San Diego e do Inria, diz que agentes de IA sob supervisão humana acharam duas formas de baratear ataques a chaves RSA de 1024-bit. O alvo é o RSA legado. Pushmeet Kohli, VP do DeepMind e cientista-chefe do Google Cloud, afirmou que sistemas modernos, que quase sempre usam chaves de 2048 bits ou maiores, seguem seguros.

A primeira descoberta é sobre assinaturas e padding. Segundo o estudo, o padding deixa de proteger quando o atacante controla cerca de metade do bloco assinado ou mais. Isso vale para o formato PKCS#1 v1.5 usado na interface de assinatura PKCS#11 de dispositivos como HSMs. Num teste em sandbox, os agentes refizeram um ataque acadêmico de falsificação sobre a mesma chave de 1024 bits e cortaram o tempo de CPU de 1.380 para 391 core-years. Dois agentes projetaram, rodaram e depuraram a computação em menos de quatro dias, com cerca de 20 mensagens do pesquisador humano. A chave não foi fatorada (isso custaria de 500 mil a 1 milhão de core-years). Com menos controle do bloco, como um hash de 32 bytes, o algoritmo teria estimativa teórica cerca de 1.600 vezes melhor que o melhor método anterior.

A segunda descoberta é um método de batch factoring: cada chave adicional de 1024 bits ficaria cerca de 30 vezes mais barata de fatorar, em média. É estimativa teórica, supõe uma computação inicial do custo de fatorar uma chave e não foi implementado. Limitações do ataque às assinaturas: exige cerca de 4 bilhões de consultas de assinatura feitas antes, não recupera a chave privada e não funciona contra dispositivos que fazem o hash da mensagem internamente. Detalhes na fonte primária.

O tema RSA já vinha no radar. Em 25 de setembro de 2026, o CEVIU noticiou "Nova Falha no RSA Diminui Segurança, Mas Uso Geral Continua Protegido", sobre um método clássico inédito contra o algoritmo. Em 28 de setembro de 2026, veio "Novo Ataque ao RSA: Falsificação de Assinaturas Cegas Reduz Esforço Criptográfico", sobre falsificação de assinaturas sem fatorar a chave privada. O novo trabalho segue essa linha de falsificação sem fatoração, mas aqui o ganho vem de agentes de IA e o número é concreto: de 1.380 para 391 core-years.

Para quem opera HSMs e infraestrutura legada, a leitura é prática: se ainda existe RSA-1024 com PKCS#1 v1.5 em algum fluxo de assinatura, vale inventariar e planejar a migração para 2048 bits ou mais. Para quem já está em 2048, não há ação urgente indicada pela fonte. O recado de fundo é que premissas de dureza criptográfica precisam ser retestadas, agora também com IA.