Cuatro mil millones de consultas por una sola falsificación: la IA pone a prueba los límites de RSA

Dos agentes de IA de Google DeepMind, en menos de cuatro días, repitieron un ataque de laboratorio contra firmas digitales RSA-1024 y redujeron el coste computacional 3,5 veces. Para obtener una firma falsificada se necesitó el equivalente a 391 años de trabajo de un núcleo de procesador en lugar de 1380. Se trata del esquema antiguo de 1024 bits, no del compromiso de la versión moderna RSA-2048.

El nuevo experimento fue descrito por criptógrafos de Google DeepMind, la Universidad de California en San Diego y Inria. Para la comparación usaron la misma clave y algoritmo que otro grupo probó en septiembre de 2026. La aceleración se debe principalmente a la optimización del código y a la organización de los cálculos, no a un nuevo método para romper RSA. El experimento anterior duró cinco meses calendario.

Los dos agentes escribieron alrededor de 33 500 líneas de código, realizaron 336 experimentos distribuidos y corrigieron errores sin depuración manual. Los cálculos ocuparon 3,2 días en una infraestructura con hasta 300 000 núcleos y 16 GPU. A diferencia de la experiencia anterior con un módulo criptográfico de hardware (HSM), la nueva prueba usó un emulador de software del dispositivo firmante y una tarea de prueba conocida de antemano.

El mecanismo se basa en el acceso a la interfaz de firma, que acepta datos elegidos por el atacante. Para RSA-1024 se requieren alrededor de 4 000 millones de solicitudes incluso antes de elegir la futura falsificación, y dichas solicitudes deben ser aceptadas por el propio servicio firmante. La clave privada no se extrae en ese proceso. Según los cálculos de los autores, la factorización directa de ese mismo módulo RSA requeriría entre 500 000 y un millón de núcleo-años.

El trabajo afecta no solo al RSA «puro» sin relleno. Para el formato PKCS#1 v1.5, a través de la interfaz PKCS#11, el relleno de protección deja de complicar el ataque si la parte que invoca controla al menos 65 de los 128 bytes del bloque. Para un hash de 64 bytes solo verificaron la transformación matemática, no la falsificación completa. Si el dispositivo calcula el hash del mensaje por sí mismo, el modelo de ataque descrito no se aplica.

Para un hash corto de 32 bytes, por ejemplo SHA-256, DeepMind estimó que la mejora del nuevo método es aproximadamente de 1600 veces respecto al algoritmo anterior. Pero ese método aún no se ha ejecutado para tamaños con importancia criptográfica. Por lo tanto, la aceleración por 1600 no se puede equiparar al coste medido de una falsificación real de firma ni a una herramienta lista para atacar.

Un trabajo aparte propuso reducir el coste teórico de la factorización de cada RSA-1024 subsiguiente en aproximadamente 30 veces mediante un preprocesamiento común. La preparación en sí cuesta aproximadamente lo mismo que romper una clave. El algoritmo aún no está implementado, y la magnitud de la ganancia se basa en un modelo matemático, no en pruebas con claves reales.

En septiembre, Claude ya ayudó a realizar la factorización de RSA-896 en un clúster de GPU, pero los nuevos experimentos de DeepMind no implican la ruptura de RSA-1024. Las recomendaciones del NIST llevan tiempo prohibiendo la generación de firmas con claves de 1024 bits, aunque permiten la verificación de claves antiguas. Para RSA-2048 y claves más largas, los trabajos no han mostrado una violación práctica de la protección; los autores no presentan ataques contra sistemas en funcionamiento.