Agentes de IA de DeepMind encontraron dos debilidades en el RSA de 1024 bits que abaratan falsificar firmas digitales y romper claves viejas por lotes. El anuncio lo hizo Pushmeet Kohli, vicepresidente y científico jefe de DeepMind, en una publicación en X del 6 de noviembre. Las claves modernas de 2048 bits quedan fuera del hallazgo: la banca en línea, la mensajería y las actualizaciones de programas no cambian su nivel de protección con este resultado.
RSA es el sistema de cifrado asimétrico que sostiene firmas y certificados desde hace décadas: multiplicar dos números primos grandes es trivial, desarmar el producto cuesta una fortuna en cómputo. La variante de 1024 bits ofrece unos 80 bits de seguridad, y el Instituto Nacional de Estándares y Tecnología (NIST) prohibió usarla para firmas nuevas en 2013. Aun así sobrevive en equipos antiguos, certificados viejos y dispositivos incrustados que nadie renovó.
El relleno de las firmas protege menos de lo creído
Una firma digital permite comprobar que una actualización o un documento viene de quien dice venir. Antes de firmar, los esquemas añaden datos prefijados al bloque del mensaje, el relleno o padding, para llenarlo hasta un tamaño fijo. La creencia instalada era que ese relleno frena la falsificación. Los agentes midieron qué ocurre cuando quien ataca puede alimentar el dispositivo que firma con entradas elegidas por él.
La respuesta que trae el anuncio incomoda: cuando el atacante controla cerca de la mitad del bloque firmado o más, el relleno deja de aportar protección y falsificar cuesta lo mismo que atacar un sistema sin relleno. Para comprobarlo, el equipo probó el método en un entorno aislado con una clave de referencia de 1024 bits ya resuelta en un estudio académico anterior. La implementación escrita por los agentes reprodujo el resultado con 3,5 veces menos tiempo de procesador y con menos de la milésima parte del cómputo necesario para romper la propia clave.
El caso de control corto trae la cifra grande. Con una huella digital de apenas 32 bytes bajo control del atacante, los agentes describieron un algoritmo nuevo que mejora unas 1.600 veces el mejor ataque conocido para claves de 1024 bits. DeepMind presenta esa cifra como estimación teórica, no como medición: el dato medido en el entorno aislado es el ahorro de 3,5 veces.
No es el primer trabajo de este tipo en pocas semanas. En octubre, un modelo de Anthropic rastreó en menos de 30 minutos el origen de las semillas de las curvas del NIST hasta un generador de las bibliotecas de C, un misterio abierto desde los años noventa. Otra vez un modelo de IA revisando supuestos criptográficos que llevaban décadas sin una respuesta completa.
Romper claves viejas por lotes baja 30 veces su costo
El segundo resultado ataca las claves en grupo. Las claves RSA comparten tamaños estándar, así que un atacante puede repartir un cálculo inicial caro entre muchas claves del mismo tamaño y abaratar cada una. El algoritmo que describen los agentes mejora la complejidad asintótica de ese reparto y deja el costo medio de cada clave adicional de 1024 bits unas 30 veces por debajo de las técnicas por lotes conocidas. El ahorro pesa en colecciones grandes de claves RSA de 1024 bits, como flotas de dispositivos que generaron sus claves al primer arranque y nunca las rotaron.
Dj Dvijotham y Abhradeep Thakurta encabezaron el trabajo, con Nadia Heninger, de la Universidad de California en San Diego y del instituto francés Inria, y Emmanuel Thomé, de Inria. Kohli defendió en su anuncio que la dureza criptográfica no puede tratarse como un supuesto fijo: si los agentes exploran las matemáticas a esta velocidad, los márgenes de seguridad hay que medirlos otra vez y con más frecuencia. El anuncio enlaza dos textos técnicos para que la comunidad revise el método y sus referencias de cálculo.
El terreno ya se movía sin IA de por medio. En septiembre, un equipo de la Universidad de California en San Diego y de Inria publicó en el archivo ePrint una falsificación práctica de firmas RSA de 1024 bits que consumió el equivalente a 1.380 años de un solo núcleo de procesador repartidos en cinco meses, sin modelos de lenguaje en el proceso. Son trabajos distintos: mezclarlos infla el anuncio de DeepMind y le quita peso al artículo académico, que trae sus cifras completas y verificables.
Para quien administra sistemas, la tarea concreta es un inventario: certificados viejos, equipos de red con firmware antiguo y módulos de firma que todavía acepten claves de 1024 bits deben salir del parque activo, una orden que el NIST dio en 2013 y que parte de las instalaciones nunca cumplió. Quien opera solo con 2048 bits o con curvas elípticas no tiene nada que cambiar por esta noticia. Lo abierto es la revisión independiente de los dos textos técnicos de DeepMind: de esa lectura saldrá si las ganancias se quedan en claves emparentadas y casos de laboratorio o si obligan a recalcular márgenes más amplios.
Fuente: Interesting Engineering
