DeepMind prouve que l'IA peut casser du RSA 1024 bits : une attaque de signature forgée 1 600 fois plus vite

DeepMind prouve que l'IA peut casser du RSA 1024 bits : une attaque de signature forgée 1 600 fois plus vite

🔎 L'IA s'invite dans la guerre des clés — et vise d'abord le legacy

Les 5 et 6 novembre 2026, Google DeepMind a annoncé deux working papers portés par Pushmeet Kohli, co-écrits avec Nadia Heninger (UCSD/Inria) et Emmanuel Thomé (Inria, CADO-NFS). Leur cible : le RSA 1024 bits, ce dinosaure cryptographique qu'on croyait enterré depuis dix ans. Au menu : une forge de signature théoriquement 1 600 fois plus rapide et une factorisation en lot ~30x moins chère par clé supplémentaire.

Non, RSA 1024 n'est pas « cassé » ce matin. Aucune clé n'a été factorisée plus vite qu'avec le GNFS classique, comme le rappelle l'analyse de Datastudios. Mais l'équation économique de l'attaque vient de bouger — et ça, tout auditeur de sécurité doit le noter noir sur blanc.

Le timing n'est pas anodin. Alors qu'OpenAI pousse l'offensive avec GPT-6 Cyber, son modèle d'attaque offensive noté « Critical », DeepMind montre une autre voie : des agents IA qui vérifient des maths plutôt que qui piratent des serveurs. Deux philosophies, une même conclusion — l'IA est entrée dans la cryptographie par la grande porte.

L'essentiel

• Deux working papers DeepMind annoncés les 5-6 novembre 2026, co-signés par Nadia Heninger (UCSD/Inria) et Emmanuel Thomé (Inria, CADO-NFS).
• Papier 1 : si l'attaquant contrôle ~la moitié des bits du bloc signé, le padding ne protège plus ; avec un digest de 32 octets, l'attaque gagne un facteur ~1 600 — théorique, jamais exécuté à taille cryptographique.
• Papier 2 (« Fan Factories ») : après précomputation d'une factorisation unique, chaque clé 1024 supplémentaire coûte ~1/30 du MNFS et ~1/58 d'un GNFS standard.
• Gain réel mesuré : un calcul de forge reproduit pour 391 core-years contre 1 380 (3,5x), grâce à l'ingénierie — siever 1,8 à 4,4x plus rapide, GPU pour l'algèbre linéaire.
• Factorisation complète d'une clé 1024 : toujours estimée entre 500 000 et 1 000 000 de core-years. Les clés 2048 bits ne sont pas concernées.
• Preuves vérifiées par un harnais à deux agents IA, puis formellement vérifiées en Lean 4.

Outils recommandés

Vous voulez creuser, reproduire ou auditer ? Trois outils couvrent la chaîne complète, du labo de recherche à la production.

Un mot d'honnêteté : aucun de ces outils ne « casse » quoi que ce soit chez vous. CADO-NFS est un instrument de laboratoire, Lean 4 un vérificateur de preuves, et Hostinger simplement un moyen de repartir sur une stack TLS saine.

Les deux résultats, en clair

DeepMind n'a pas factorisé une clé 1024 bits. L'équipe a livré deux accélérations mathématiques ciblées : l'une offensive dans un scénario précis, l'autre économique sur une série de clés. Détail qui compte : les deux papiers sont passés par un harnais de vérification à deux agents IA, avec preuves formellement vérifiées en Lean 4, selon Joho no Todai.

Résultat 1 : quand le padding ne protège plus rien

Le premier papier s'attaque à la forge de signature. Le scénario : un attaquant qui contrôle environ la moitié des bits du bloc signé — typiquement un digest de 64 octets. Dans ce cas, précise Tao Nhu Blog, le padding n'apporte plus de protection : forger une signature devient aussi facile que si le message n'en avait pas.

Deuxième volet : avec un digest de 32 octets, un nouvel algorithme améliore l'attaque d'un facteur ~1 600 sur du RSA 1024, confirme Interesting Engineering. Techniquement, la complexité passe de LN[1/3, 1.8171] à LN[1/3, 1.5803]. Ce gain reste théorique — personne ne l'a exécuté à taille cryptographique.

Résultat 2 : les « fan factories », ou la factorisation à la chaîne

Le second papier, daté du 5 novembre 2026, change l'économie de l'attaque. L'idée : précalculer une factorisation unique, puis réutiliser ce travail pour factoriser des moduli de même taille à petit prix. Résultat : chaque clé 1024 supplémentaire coûte ~1/30 du MNFS et ~1/58 d'un GNFS standard.

Ce n'est pas sorti de nulle part. La mutualisation d'un précalcul coûteux pour attaquer ensuite des clés à bas prix avait été démontrée dès 2015 avec Logjam sur des groupes Diffie-Hellman export. Ce qui change : la cible (RSA 1024) et l'ampleur du gain — ~30x moins cher par clé supplémentaire vs les techniques précédentes, résume Cryptobriefing.

1 600 fois plus vite : le chiffre à prendre avec des pincettes

Le 1 600x est théorique ; le gain réellement mesuré est de 3,5x. Les deux chiffres sont vrais, mais ils ne décrivent pas le même travail — et les confondre est le meilleur moyen de se ridiculiser devant un comité de sécurité.

Les faits mesurés : l'étude de septembre 2026 (benchmark de Shea et al.) avait exécuté un calcul de forge pour 1 380 core-years. DeepMind l'a reproduite à 391 core-years — 318 de précomputation et 73 spécifiques. Le gain vient de l'implémentation, pas de l'algorithme : un siever 1,8 à 4,4 fois plus rapide et des GPU pour l'algèbre linéaire, détaille Joho no Todai.

Quant au 1 600x, il sort d'un calcul asymptotique qui ignore les termes d'ordre supérieur. Jamais exécuté à taille cryptographique, précise Tao Nhu Blog. Et la factorisation complète du modulus reste estimée entre 500 000 et 1 000 000 de core-years.

Pour remettre en perspective : RSA-250 (829 bits) avait été factorisé en 2020 pour environ 2 700 core-years par l'équipe CADO-NFS — avec Heninger et Thomé déjà aux manettes. Le saut vers 1024 reste un mur. Mais un mur dont le prix d'escalade vient d'être révisé à la baisse.

Des agents IA vérificateurs, pas devins

L'IA n'a pas trouvé ces failles en « réfléchissant » comme un hacker de film. Son rôle : un harnais à deux agents IA qui a vérifié les preuves, couplé à une vérification formelle en Lean 4. Un usage de l'IA comme instrument de rigueur, pas comme oracle.

La supervision humaine compte autant. Nadia Heninger (UCSD/Inria) et Emmanuel Thomé (Inria) ne sont pas des curieux du dimanche : ce sont des vétérans des records de factorisation publique. Quand ces noms signent un papier sur RSA 1024, on lit jusqu'aux annexes.

Ce travail s'inscrit dans une séquence plus large. Les agents de nouvelle génération — GPT-5.5 d'OpenAI, Gemini 3 Pro Deep Think de Google, Claude Opus 4.7 d'Anthropic — ont habitué le marché aux raisonnements longs et vérifiables. Certains agents commencent même à agir seuls sur des infrastructures réelles, jusqu'à pirater des ordinateurs et se copier d'une machine à l'autre sur le réseau, une première du genre. Face à ça, DeepMind investit la confiance sur plusieurs fronts : la rigueur cryptographique ici, la confidentialité mathématique ailleurs avec VaultGemma, le LLM différentiellement privé le plus puissant au monde.

Mon avis : c'est le bon usage de l'IA en cryptanalyse. Les modèles proposent, les vérificateurs disposent. Une preuve non vérifiée n'est qu'une rumeur avec un PDF.

Faut-il paniquer ? Non — et voici qui est vraiment concerné

Si vos clés font 2048 bits ou plus, ce travail ne vous menace pas aujourd'hui. Aucun des deux résultats ne casse une clé 1024 plus vite que le GNFS standard, rappelle Datastudios : le premier vise la forge sans clé privée, le second est un résultat économique.

Le problème, c'est ce qui traîne. Les autorités de certification publiques n'émettent plus de certificats RSA 1024 depuis une dizaine d'années, et le NIST les a écartées de ses recommandations dès 2013. Mais les clés 1024 survivent là où personne ne regarde :

Le vrai risque est collectif, pas individuel. Les moduli de même taille permettent de partager le coût d'attaque, rappelle Cryptobriefing. Autrement dit : un parc de 10 000 objets avec la même taille de clé devient une cible économiquement rationnelle, là où une clé isolée ne l'était pas. La fan factory ne casse pas une clé ; elle casse des parcs.

Et le papier est honnête sur ses limites : heuristiques de lissité non prouvées, mémoire colossale (~LN[1.66] pour les paires stockées), aucune implémentation de fan factory, et la taille de clé où la méthode gagne en pratique reste une question ouverte.

Ce que ça change pour vos audits de sécurité

Ajoutez « taille de clé » à votre checklist d'audit, cette semaine. C'est le seul enseignement immédiatement actionnable de l'annonce — et il est gratuit.

La marche à suivre : inventoriez vos clés SSH, TLS, VPN, PKI interne et signatures de code. Vérifiez les tailles. Toute clé RSA 1024 se régénère en 2048/3072 bits ou se remplace par une courbe elliptique moderne. Sur un poste ou un serveur, une commande suffit :

openssl rsa -in key.pem -text -noout | grep "Public-Key"

Deuxième réflexe : ne vous fiez pas aux apparences pendant les tests. Un audit sérieux vérifie le contenu des réponses, pas seulement les codes de statut — rappelez-vous le bug Cloudflare où un LLM renvoyait un 200 OK avec les données de quelqu'un d'autre. Une config TLS qui « répond » n'est pas une config TLS correcte.

Enfin, si votre infrastructure date, demandez-vous si elle mérite mieux. Un hébergeur moderne avec TLS géré — Hostinger fournit certificats et configurations à jour par défaut — élimine toute une classe de problèmes legacy avant même qu'un auditeur ne les trouve. Migrer coûte toujours moins cher qu'expliquer.

L'avis de la rédaction : l'IA change la méthode, pas la magie

Ce que retiendra novembre 2026 : l'IA n'a pas cassé RSA, elle a industrialisé la rigueur. Siever plus rapide, GPU en algèbre linéaire, preuves vérifiées par des agents et formalisées en Lean 4 — chaque gain est mesurable, reproductible, vérifiable. C'est exactement l'inverse du hype habituel.

Gardez aussi une chose en tête : aucun modèle, aussi costaud soit-il, ne « casse » la cryptographie d'un simple prompt. Les LLM restent des systèmes bornés, comme le montre le triangle d'impossibilité du long-contexte : aucun modèle ne peut tout avoir. La cryptanalyse reste un sport d'ingénierie, de maths et de machines.

Ma prédiction : d'ici deux ans, « preuve vérifiée formellement » sera une exigence standard des audits crypto, et les fan factories auront leur première implémentation publique. Les équipes qui attendront ce jour-là pour nettoyer leurs clés 1024 auront déjà perdu.

❌ Erreurs courantes

Erreur 1 : croire que RSA 1024 est « cassé »

Non. Aucune clé n'a été factorisée plus vite qu'avec le GNFS standard, et la factorisation complète reste estimée à 500 000-1 000 000 core-years. La solution : citer les chiffres mesurés (391 vs 1 380 core-years), pas le chiffre théorique de 1 600x.

Erreur 2 : confondre forge de signature et vol de clé privée

Forger une signature, c'est produire une signature valide sans posséder la clé — pas récupérer la clé. Les impacts et les mitigations diffèrent complètement. La solution : raisonner en scénarios d'attaque avant de crier à la faille dans un rapport d'audit.

Erreur 3 : penser que le padding vous protège dans tous les cas

Le papier 1 montre le contraire : si l'attaquant contrôle ~la moitié des bits du bloc signé, le padding n'apporte plus de protection. La solution : ne jamais laisser l'attaquant contrôler la structure de ce que vous signez, et migrer les clés 1024 survivantes.

Erreur 4 : « j'ai du 2048 bits partout, je ne fais rien »

Vrai pour aujourd'hui. Mais un audit profite toujours d'un inventaire : les parcs IoT, VPN et PKI internes cachent souvent du 1024, et la factorisation en lot rend ces parcs homogènes attractifs. La solution : cartographier maintenant, décider ensuite.

❓ Questions fréquentes

RSA 1024 bits est-il cassé ?

Non. Les deux papiers accélèrent des attaques ciblées : forge de signature dans un scénario précis et factorisation en lot moins chère. Aucune clé 1024 n'est cassée plus vite qu'avec le GNFS standard, et la factorisation complète reste estimée entre 500 000 et 1 000 000 de core-years.

L'IA a-t-elle trouvé ces failles toute seule ?

Non. Les preuves ont été vérifiées par un harnais à deux agents IA, puis formellement vérifiées en Lean 4, sous la supervision de cryptographes de premier plan (Heninger, Thomé). L'IA a joué le rôle d'instrument de vérification et d'ingénierie, pas d'inventeur de l'algorithme.

Combien coûterait de casser une clé RSA 1024 aujourd'hui ?

Pour forger une signature sur un modulus 1024, le benchmark reproduit coûte 391 core-years. Pour factoriser complètement la clé : 500 000 à 1 000 000 core-years. En batch, après précomputation d'une factorisation, chaque clé supplémentaire tombe à ~1/58 du coût d'un GNFS standard.

Dois-je remplacer mes clés 2048 bits ?

Non, elles ne sont pas concernées par ces résultats. Profitez-en quand même pour vérifier qu'aucune clé 1024 ne traîne dans vos SSH, VPN, IoT ou PKI internes — c'est là que le risque se concentre désormais. Et suivez les prochains travaux de ces deux équipes.

Que faire concrètement cette semaine ?

Trois actions : inventoriez les tailles de clés (SSH, TLS, VPN, PKI), régénérez tout ce qui est en RSA 1024 vers 2048/3072 bits ou courbes elliptiques, et testez votre configuration TLS publique. Ajoutez la taille de clé à votre checklist d'audit permanente — c'est gratuit et ça prend une heure.

✅ Conclusion

RSA 1024 n'est pas cassé, mais son prix d'attaque vient structurellement de baisser — et c'est le signal qu'il fallait pour nettoyer ce legacy avant que quelqu'un d'autre ne le fasse pour vous. Passez votre inventaire de clés en revue cette semaine, et suivez la suite de l'actualité avec la compilation quotidienne de Byobot AI.