要点
- Google DeepMind は、AI エージェントを使って、古い 1024 ビットの RSA 鍵を攻撃する費用を下げる方法を2つ見つけたと発表した。
- DeepMind の Kohli 氏は、今の標準である 2048 ビット以上の鍵は影響を受けないと述べている。
- 影響が出るのは、1024 ビットの鍵を使い続けている古い機器やサービスだ。自分の環境にないか確かめ、あれば更新の計画を立てたい。
何が起きたか
RSA は、大きな素数2つを掛け合わせるのは簡単だが、その積を元の素数に分けるのはずっと難しい、という性質に頼る暗号方式だ。1024 ビットは、すでに「古い」とされている長さである。
DeepMind は、UC San Diego と Inria の暗号研究者とともに、人間の監督のもとで AI エージェントに研究をさせた。2本の論文が公開されている。DeepMind の Pushmeet Kohli 氏が X で説明した。SecurityWeek の記事も、この内容を伝えている。
1つ目は、署名の偽造だ。 署名の前には、文書に決まった詰め物（パディング）を足す。この詰め物が守ってくれる度合いは、攻撃者が署名される部分をどれだけ決められるかで変わる、という結果だ。約半分以上を決められると、守りにならないという。
DeepMind の発表によると、エージェントは既存の学術研究の偽造実験を再現し、計算量を約3.5分の1にした。最初の偽造は CPU コア 391 年分。元の研究は 1,380 年分だった。ただし鍵そのものは割られていない。約 40 億回の署名を事前にさせる必要があり、機器の内部で文書をハッシュ化する場合は成り立たない。
2つ目は、同じ長さの鍵をまとめて割る方法だ。 最初に大きな計算をして、その成果を多くの鍵で使い回す。1本あたりの費用は、従来の最良の方法より平均で約 30 分の1になるという。ただしこれは見積もりで、実際に動かしてはいない。
Kohli 氏は、影響を受けるのは時代遅れの 1024 ビットの仕組みだけで、ほぼ全ての現代のプロトコルが使う 2048 ビット以上は安全だと述べている。
日本の利用者への影響
日本の組織や利用者への影響については、参照した資料に記述がなく、分からない。
影響が出うるのは、1024 ビット鍵が残る古い装置だ。たとえば、長年使っている業務システム、組み込み機器、古い証明書、署名用のハードウェア（HSM）などである。どこに残っているかは組織ごとに違い、日本での広がりは分からない。
今すぐやること
- 自社の証明書・署名鍵・SSH 鍵などで、1024 ビットの RSA が残っていないか棚卸しする。
- 見つかった鍵は、2048 ビット以上の RSA か、ECDSA や Ed25519 などに切り替える計画を立てる。長く使う署名は特に急ぐ。
- 署名用の機器（HSM など）が、外部から生の RSA 演算を受け付ける設定になっていないか、ベンダーに確かめる。
- 古い機器でどうしても 1024 ビットが外せないものは、ネットワークから隔離し、署名を求められる経路を絞る。
- 慌てて全部を止める必要はない。ただし「古い鍵は後回し」にせず、期限を決めて移行する。
背景
今回の話題は、AI が暗号の「難しさ」の見積もりを変えうる、という点でも注目される。DeepMind は、AI で長く信じられてきた前提を検証する意義を訴えている。
なお、1つ目の元になった実験は、UC San Diego と Inria の研究者による別の論文（2026年9月に ePrint へ登録）に書かれている。2007年の攻撃を実際に動かした研究だ。DeepMind の成果は、この実験の費用を下げたものと読める。
技術者向けの詳細
- 今回確認できたのは、Kohli 氏の投稿、SecurityWeek の記事、ePrint 2026/2131 の抄録である。DeepMind の2本の論文の本文は未確認。数字は SecurityWeek の記述と ePrint の抄録に合わせた。
- ePrint 2026/2131（Shea, Haller, Suhl, Heninger, Thomé）の抄録: 2007年の Joux–Naccache–Thomé の攻撃を実装。一時的に生の RSA 署名オラクルを使える攻撃者が、鍵を分解せずに署名を偽造できる。1024 ビットで 1,380 コア年・約5か月・2^32 回の問い合わせ。偽造1件は約 180 コア年。オラクルには HSM を使った。
- 同論文は、署名オラクルがある場合の強度は、素因数分解ベースの見積もりより 15〜30 ビット低く、4096 ビット RSA でも 128 ビット強度に届かないと見積もっている。
- DeepMind 側の主張（SecurityWeek 経由）: PKCS#1 v1.5 のパディングは、攻撃者が署名ブロックの約半分以上を決められると守りにならない。PKCS#11 経由の HSM が例に挙がっている。32 バイトのハッシュの場合でも、理論上は従来の最良法の約 1,600 倍。
- SecurityWeek によると、この偽造は、内部でメッセージをハッシュする装置には効かない。
- 確かめ方（例）:
openssl x509 -in cert.pem -noout -text | grep "Public-Key"
openssl rsa -in key.pem -noout -text | head -1
ssh-keygen -l -f ~/.ssh/id_rsa.pub
