Google DeepMind e RSA-1024: gli agenti AI trovano due falle negli schemi legacy

Il 6 novembre 2026 Google DeepMind ha annunciato che alcuni agenti AI, guidati da esperti di crittanalisi, hanno individuato due debolezze negli schemi RSA a 1024 bit, quelli ormai considerati legacy. L’annuncio è arrivato da Pushmeet Kohli, responsabile scientifico di DeepMind, e riguarda sia la falsificazione delle firme digitali sia la fattorizzazione di molte chiavi in blocco.

Niente panico: le chiavi RSA-2048 e superiori non sono toccate dai risultati, e per ora si parla di vantaggi teorici. Ma il messaggio è chiaro, e riguarda da vicino chi gestisce infrastrutture vecchie.

Cosa ha annunciato Google DeepMind su RSA-1024

Secondo il post di Pushmeet Kohli su X, il team Science di DeepMind ha lavorato con importanti specialisti di crittanalisi per mostrare come gli agenti AI possano produrre due avanzamenti significativi in poche settimane. Entrambi riguardano RSA a 1024 bit, una lunghezza di chiave che da anni è stata sostituita quasi ovunque da chiavi a 2048 bit o più lunghe.

Il dato che ha attirato più attenzione è un miglioramento di circa 1.600 volte rispetto al miglior attacco precedente nella falsificazione di firme. Il secondo risultato riguarda invece la fattorizzazione di più chiavi della stessa lunghezza, dove il costo medio per ogni chiave aggiuntiva scende di circa 30 volte.

Come riportato da Interesting Engineering, la parte sulle firme è stata verificata in un ambiente isolato su un benchmark RSA-1024 già risolto in passato dalla ricerca accademica. L’implementazione generata dagli agenti ha riprodotto il risultato usando 3,5 volte meno tempo di CPU e meno di un millesimo della potenza di calcolo richiesta per fattorizzare quella chiave.

Primo risultato: il padding non basta quando controlli metà del blocco

Le firme RSA non vengono calcolate direttamente sul messaggio, ma su un blocco che contiene un digest e un riempimento, il padding. Lo scopo del padding è rendere difficile costruire un blocco falso che l’attacco possa sfruttare.

La scoperta degli agenti è che, se chi attacca controlla circa la metà o più del blocco firmato, il padding offre una protezione irrisoria: falsificare la firma diventa difficile quanto attaccare un sistema senza padding. Anche quando l’attaccante controlla una porzione minima, come un digest di 32 byte, l’algoritmo trovato dagli agenti migliora di circa 1.600 volte il miglior approccio noto per chiavi da 1024 bit.

Si tratta di un risultato teorico. Nessuna fonte consultata parla di una falsificazione dimostrata su sistemi in produzione.

Secondo risultato: fattorizzare molte chiavi costa meno

Il secondo avanzamento è di natura asintotica. Gli agenti hanno trovato un algoritmo che migliora l’efficienza della fattorizzazione in batch, cioè quando l’obiettivo non è una singola chiave ma un grande insieme di chiavi della stessa dimensione. Il costo medio di ogni chiave da 1024 bit aggiunta al lotto cala di circa 30 volte rispetto alle tecniche di batch conosciute.

Per chi possiede flotte di dispositivi con chiavi simili, come apparati IoT o parchi di certificati aziendali, è l’aspetto più rilevante: l’attacco su larga scala diventa più economico di quanto si pensasse.

Il contesto: perché RSA-1024 è già considerato legacy

Le chiavi RSA a 1024 bit non sono più raccomandate da anni. I browser, gli standard e le piattaforme di sviluppo spingono verso 2048 bit, 3072 bit o verso curve ellittiche. Il fatto che sopravvivano ancora in alcuni angoli dell’infrastruttura è proprio il punto: firmware mai aggiornati, vecchie autorità di certificazione interne, chiavi SSH mai ruotate, appliance VPN e moduli hardware con chiavi di firma bloccate.

Sul fronte accademico il tema non è nuovo. Un lavoro pubblicato sull’archivio IACR ePrint con il titolo Forging 1024-bit RSA signatures in nearly SNFS time, firmato da ricercatori dell’Università della California a San Diego e dell’INRIA, riprende un algoritmo del 2007 e mostra una falsificazione di firme su RSA-1024 con un modulo di sicurezza hardware usato come oracolo. Quel lavoro è distinto dall’annuncio di DeepMind, ma racconta bene lo stesso clima: il margine di sicurezza delle vecchie chiavi si sta assottigliando.

Cosa cambia per chi lavora con la sicurezza

Dal punto di vista pratico, nulla di ciò che usi ogni giorno per l’online banking, la messaggistica, gli aggiornamenti software o i pagamenti digitali è minacciato da questi risultati. Le chiavi moderne restano fuori portata.

La lezione riguarda l’inventario. Se in azienda esistono ancora chiavi da 1024 bit, è il momento di trovarle e sostituirle. Un controllo semplice parte dai certificati, dagli endpoint TLS e dalle chiavi SSH, cercando la dicitura 1024 bit nell’output degli strumenti di ispezione. Le alternative più comuni sono Ed25519 per SSH, ECDSA P-256 o RSA di lunghezza maggiore per i certificati, e chiavi più robuste per le firme di lunga durata.

Vale la pena dare priorità ai gruppi di chiavi omogenee, perché è lì che il risultato sulla fattorizzazione in batch pesa di più.

Un altro tassello nella crittografia assistita dall’AI

Questo annuncio si inserisce in una serie di risultati in cui i modelli AI toccano la crittografia. Su queste pagine abbiamo raccontato come Claude abbia ricostruito l’origine dei seed delle curve NIST, e il dibattito sul bunker mode e sulla possibilità che l’AI rompa ECDSA prima del quantum. Sul lato del calcolo quantistico c’è anche il caso di Claude che progetta circuiti quantistici con 17 volte meno porte.

Il filo comune è che gli agenti AI non si limitano più a scrivere codice: iniziano a esplorare lo spazio degli algoritmi, a proporre varianti e a verificarle in sandbox. Per la crittografia, dove le garanzie dipendono da un equilibrio delicato tra matematica e costo di calcolo, questo è un cambio di passo.

Kohli sintetizza così il punto: serve rivalutare continuamente le assunzioni crittografiche man mano che l’AI diventa più brava nella matematica avanzata. I ricercatori vedono nella crittanalisi assistita dall’AI uno strumento utile per mettere sotto stress gli schemi futuri prima che compaiano minacce reali.

Come leggere i numeri senza esagerare

Un miglioramento di 1.600 volte suona enorme, e lo è in termini relativi. Ma va letto per ciò che è: un confronto con il miglior attacco precedente, applicato a una lunghezza di chiave già considerata debole e a uno scenario in cui chi attacca controlla almeno una parte del blocco firmato.

Allo stesso modo, il risparmio di circa 30 volte sulla fattorizzazione in batch è un risultato sulla complessità asintotica, non la dimostrazione di un attacco già pronto contro una flotta reale di dispositivi. La distanza tra un algoritmo migliore sulla carta e un’operazione concreta, con tempi e costi sostenibili, resta in molti casi considerevole.

Questo non rende il risultato meno importante. Dice che il margine di sicurezza delle chiavi corte dipende anche da quanto bene sappiamo cercare nuovi algoritmi, e che gli agenti AI stanno rapidamente diventando un acceleratore di questa ricerca, sia per chi difende sia per chi attacca.

Cosa non c’è ancora

Al momento della pubblicazione di questo articolo, le fonti consultate rimandano soprattutto al post di Kohli e alle cronache giornalistiche. Non abbiamo trovato un articolo tecnico completo di DeepMind con tutti i dettagli dei due algoritmi, quindi i numeri citati vanno considerati quelli dichiarati dall’annuncio. Quando arriveranno documentazione e verifiche indipendenti sarà possibile capire meglio le condizioni esatte in cui i vantaggi si applicano.

Conclusioni

I risultati di Google DeepMind su RSA-1024 non rompono la crittografia moderna, ma accorciano il tempo che rimane alle chiavi vecchie. Se gestisci siti, server, dispositivi o pipeline di firma, fai oggi un inventario delle chiavi da 1024 bit e pianifica la sostituzione.

Seguici per i prossimi aggiornamenti: quando usciranno il paper completo e le verifiche indipendenti, torneremo su cosa è dimostrato e cosa resta teorico.