2026 年 11 月 6 日，谷歌 DeepMind 的科学副总裁普什米特·科利在社交平台上宣布，DeepMind 的人工智能助手在人类密码学家的指导下，发现了针对老式 1024 位 RSA 加密的两种新攻击方法。其中一种方法在理论上把特定条件下的签名伪造效率提升了约 1600 倍。消息一出，社交媒体上立刻出现了两种声音：一种说 RSA 已被攻破，密码全完了；另一种说这不过是学术圈的老游戏，跟普通人毫无关系。两种说法都不对。这篇文章把 1600 倍到底是什么意思、你的网银和密码为什么不受影响、以及真正需要行动的是谁，一次讲清楚。
先说结论：这次的成果只针对已经退役的 1024 位 RSA，现代系统普遍使用的 2048 位及更长的密钥不受这次发现的影响。DeepMind 自己在公告里明确说了这一点。1600 倍是一个理论估算，不是实测结果，而且只适用于攻击者只能控制一小部分签名数据的特定场景。真正值得关注的不是某个数字，而是人工智能第一次在密码分析这个最硬核的数学领域里，帮人类找到了新的攻击路径。这件事对普通人没有紧急威胁，对整个行业却是一个明确的提醒：该淘汰的老系统，要加快淘汰了。
11 月 6 日到底发生了什么
这次发布包含两篇技术论文。第一篇的标题是《受限预言机下的模根》，11 月 5 日发表；第二篇叫《扇形工厂》，11 月 6 日发表。研究由 DeepMind 的研究员克里希那穆提·德维约瑟姆和阿布拉迪普·塔库尔塔主导，合作者包括加州大学圣迭戈分校和法国国家信息与自动化研究所的密码学家纳迪亚·亨宁格和埃马纽埃尔·托梅。两篇论文都还没有经过同行评审，这一点很重要，因为这意味着论文里的数字和方法还没有被学术界独立验证过。
研究的背景是 RSA 加密。RSA 是互联网最基础的加密算法之一，从网上银行到浏览器地址栏里的小锁，从软件更新的数字签名到电子邮件的身份验证，背后都有它的影子。RSA 的安全性建立在一个数学难题上：把两个很大的质数相乘很容易，但反过来、只给乘积求出原来的两个质数却非常难。密钥越长，这个难题就越难。1024 位 RSA 曾经是行业标准，但随着计算能力提升，它在十多年前就已经被认为不够安全，美国国家标准与技术研究院（NIST）早在 2013 年就停止接受用 1024 位 RSA 生成新的数字签名。
DeepMind 的人工智能助手做的，是在人类专家的指导下研究 1024 位 RSA 的两个薄弱点。实验全部在隔离的沙箱环境里进行，没有触碰任何真实系统和真实密钥。研究团队用的是学术界此前已经解决过的一个 1024 位基准密钥，人工智能助手重新实现了一遍攻击，用的 CPU 时间比原来的方法少了 3.5 倍。第一个根的求解用了 391 个 CPU 核心年，而原来团队的方法用了 1380 个 CPU 核心年。这个 3.5 倍是实测结果，是这次发布里最扎实的一个数字。
1600 倍到底是什么意思
真正登上头条的 1600 倍，讲的是另一回事。签名伪造攻击里有一个关键变量：攻击者能控制多少被签名的数据。如果攻击者能控制整块数据，伪造相对容易；如果只能控制一小部分，比如一段 32 字节的数字指纹，伪造就难得多。DeepMind 的新算法针对的正是这种困难情况：当攻击者只能控制一小部分签名数据时，新算法在理论上比此前最好的方法快约 1600 倍。
这里有三个限定词，一个都不能丢。第一，这是理论估算，不是实测。3.5 倍是跑出来的，1600 倍是算出来的，两者不能混为一谈。第二，它只适用于 1024 位 RSA，而且只适用于攻击者控制数据很少的特定场景，换一个场景数字就完全不同。第三，即使按这个估算，伪造一次签名仍然需要巨大的计算量，论文里提到的第一个根就用了 391 个 CPU 核心年，这不是一台笔记本电脑能干的活，更不是随手就能复制的攻击。
打个比方更直观：这就好比有人发现了一种新方法，能把撬开一把老式挂锁的时间从一万小时缩短到六小时。六小时听起来已经很快，但前提是你面前摆的是那把早就被淘汰的挂锁，而且你还得先花大力气准备工具。更重要的是，银行金库用的根本不是这种锁。1600 倍描述的是对一把旧锁的攻击效率提升，不是所有锁都被打开了。
第二个成果：批量分解便宜约 30 倍
第二篇论文《扇形工厂》讲的是批量分解。现实中攻击者往往不是只盯着一把密钥，而是手里有一大批密钥要分解。DeepMind 的新算法改进了批量分解的渐近效率，平均下来，每多分解一个 1024 位密钥的成本比以前的方法低约 30 倍。这个数字同样是理论估算，而且这个方法目前还没有真正搭建起来，是数学上的改进，不是已经能拿来用的工具。
批量分解的意义在于规模效应。过去分解 100 个密钥的成本接近 100 次单独分解的成本之和，新方法让后面的密钥一个比一个便宜。但这个成果的适用范围同样只限于 1024 位 RSA。现代系统使用的 2048 位密钥，分解难度比 1024 位高出不止一个数量级，根本不在这次研究的讨论范围内。用行业里的话说，这次的研究是在给一座已经废弃的矿井找更快的挖掘方法，而不是在威胁正在开采的矿脉。
你的网银、密码和聊天记录为什么不受影响
先看你每天都在用的东西。网上银行、支付应用、浏览器里的加密连接、手机上的端到端加密聊天，使用的都是 2048 位或更长的 RSA 密钥，或者根本用的是另一类算法，比如椭圆曲线加密。DeepMind 明确表示，这次的发现不影响使用 2048 位及以上密钥的现代系统。网上银行、即时通讯、软件更新和数字货币都不在这次发现的威胁范围内。
再看你的密码。密码本身并不直接由 RSA 保护，网站存储密码用的是哈希算法，登录过程用的是传输层加密。1600 倍这个数字跟你的密码强度没有直接关系。一个八位纯数字密码本来就弱，不需要人工智能也能很快猜出来；一个长而随机的密码加双重验证，仍然是目前最有效的自我保护方式。这次的研究没有改变任何一条关于密码安全的建议。
还有一点容易被忽略：这次研究的两个方法都需要非常特定的前提条件。签名伪造要求攻击者能控制一部分被签名的数据，还要拿到足够多的签名样本；批量分解要求手里已经有一大批 1024 位密钥。这两个条件在现实攻击里都不容易满足。学术界对这次成果的评价也比较克制：这是一次有意义的密码分析进展，证明了人工智能可以加速密码学研究，但不是一次针对现实系统的攻击演示。
哪些地方还用着 1024 位 RSA，真的需要担心吗
既然 1024 位 RSA 早在 2013 年就被 NIST 叫停，为什么 DeepMind 还要研究它？答案是：标准退役了，老系统还在。一些使用年限很长的设备和系统里，1024 位密钥可能还在服役。比如某些老旧的嵌入式设备、工业控制系统、早期的智能卡和政府遗留系统，升级换代的速度很慢；电子邮件的域名密钥识别邮件（DKIM）签名在历史上大量使用 1024 位密钥，虽然行业早已建议升级到 2048 位，但仍有一些域名可能没有换；还有一些老旧的虚拟专用网和软件更新签名链，也可能残留 1024 位密钥。
这些系统的风险是真实存在的，但要分两层看。第一层是这些系统本来就已经不安全，DeepMind 的研究没有让它们从安全变成不安全，它们在十多年前就已经被认为不够安全了。第二层是这次的研究确实让攻击这些老系统的理论成本下降了，对那些手握大量老密钥、又有足够算力的攻击者来说，账算起来更划算了。所以正确反应不是恐慌，而是把本来就该做的淘汰工作提上日程。
对普通人来说，判断自己是否受影响其实很简单：你日常用的银行应用、浏览器、手机系统和主流软件，都是由大公司维护的现代系统，密钥长度早就超过了 1024 位。你真正需要留意的，是家里那些多年没更新固件的老路由器、老旧的网络存储设备，或者公司里还在跑的老系统。这些设备的风险本来就不限于 RSA，长期不更新固件才是更大的问题。
人工智能在这里到底起了什么作用
这次发布里最值得琢磨的，其实不是 1600 倍，而是人工智能扮演的角色。DeepMind 强调，这次是人工智能助手在人类监督下工作，不是人工智能自己独立攻破了什么。研究团队让人工智能助手去实现和改进密码学家的思路，助手在过程中发现并修复了算法正确性方面的四个问题，而且没有再向预言机请求新的数据。这说明人工智能已经可以作为密码学研究的得力助手，帮人类更快地验证想法、发现错误、优化实现。
这个趋势比某一次具体成果更重要。密码分析历来是数学密集度最高的研究领域之一，一个新攻击方法从想法到实现，往往需要顶尖专家花几个月甚至几年的时间。如果人工智能能把这个周期缩短，未来的密码学研究节奏会加快，老算法被审视的速度也会加快。对行业来说，这意味着加密标准的更新换代需要留出更多提前量；对攻击者来说，门槛也在降低，但前提是他们同样要有顶尖的密码学知识和算力，人工智能只是加速器，不是替代品。
也有密码学家提醒，两篇论文尚未经过同行评审，1600 倍和 30 倍这两个理论数字需要学术界进一步验证。历史上有过不少轰动一时的密码学宣称，最后被发现只在特定假设下成立。这次的研究来自 DeepMind 和亨宁格、托梅这样的一线密码学家，可信度不低，但严谨的态度仍然是：先看论文，再下结论。
这和量子计算的威胁是一回事吗
很多人听到 RSA 和 1600 倍，第一反应是量子计算机。需要明确区分：这次的研究和量子计算没有关系。DeepMind 用的是经典计算和人工智能，没有用到任何量子算法。量子计算对 RSA 的威胁来自肖尔算法，理论上，一台足够强大的容错量子计算机可以直接分解大整数，让 RSA 无论 1024 位还是 2048 位都失去保护。但这样的量子计算机目前还不存在，业界普遍认为还需要很多年。
两者的时间尺度完全不同。这次的发现影响的是已经退役的 1024 位密钥，威胁是当下的、针对老系统的；量子计算威胁的是未来所有 RSA 密钥，但时间点还不确定。应对方式也不同：前者是把老系统升级到 2048 位或椭圆曲线加密，后者是迁移到抗量子密码算法。NIST 已经在 2024 年正式发布了首批抗量子密码标准，包括 ML-KEM 等算法，大公司和政府机构正在分阶段推进迁移。这个长期工程不会因为 DeepMind 的一次发布而加速或减速，但它提醒所有人：密码学没有一劳永逸的方案，算法的生命周期管理本身就是安全工作的一部分。
普通人现在要做的三件事
第一件事，什么都不用换，但要确认自己的习惯是对的。继续使用密码管理器生成长而随机的密码，不同网站用不同密码，重要账户开启双重验证，能用通行密钥的优先用通行密钥。这次的研究没有改变任何一条建议，也没有让任何一条建议变得过时。
第二件事，更新设备和软件。手机系统、浏览器、路由器固件有更新就及时装，老旧设备如果厂商已经停止安全更新，该换就换。淘汰老设备的意义不只是 RSA，还包括大量已知漏洞。家里的老路由器如果已经五年没有固件更新，风险远比 1024 位 RSA 的新闻大得多。
第三件事，别被标题吓到，也别完全不当回事。看到类似新闻时，先问三个问题：影响的是哪种密钥、是实测还是理论估算、现代系统在不在范围内。这次的答案是 1024 位、理论估算、不在范围内，结论就是不用恐慌。但如果下一次新闻说的是 2048 位 RSA 或者某个广泛使用的新算法，那就要认真对待了。养成这个判断习惯，比记住 1600 倍这个数字有用得多。
对企业和开发者来说，清单要更具体一些：盘点系统里还在用的密钥长度，把残留的 1024 位 RSA 列出来并制定淘汰时间表；检查邮件 DKIM、老 VPN、代码签名证书这些容易被遗忘的角落；新系统直接使用 2048 位以上 RSA 或椭圆曲线加密，并把抗量子密码迁移纳入长期规划。这些工作本来就该做，DeepMind 的发布只是又给了管理层一个推动预算的理由。
结尾：锁没坏，但旧锁该换了
谷歌 DeepMind 这次的成果，最准确的定位是一次密码学研究进展：人工智能助手帮人类密码学家找到了针对退役算法的更快攻击方法，理论上把特定场景下的签名伪造效率提升了约 1600 倍，批量分解的成本降低了约 30 倍。现代系统不受影响，普通人的密码和网银也不受影响。真正值得记住的不是数字，而是趋势：人工智能正在进入密码分析这个领域，老算法被重新审视的速度会越来越快。密码学的安全从来不是一次到位的，而是持续淘汰旧标准、升级新标准的过程。这次被审视的是 1024 位 RSA，下一次可能就是别的什么。提前把自家的锁换成新的，永远比等到有人来撬时再动手要从容。
- 最新
- 最热
只看作者