Ciberseguridad
RSA-1024 tiene dos agujeros nuevos: DeepMind los encontró con agentes y 2048 sigue seguro
El 6 de noviembre. Padding deja de proteger si el atacante controla la mitad del bloque. 3,5 veces menos CPU en un replay. Unas 1.600 veces, en teoría, con huellas de 32 bytes. Batch unas 30 veces más barato por clave extra.
El titular de X suena a internet caído
La IA ha agujereado RSA. Eso es lo que ha corrido por X el 6 de noviembre de 2026, y Google DeepMind publica otra cosa: agentes guiados por personas han encontrado dos debilidades en RSA de 1.024 bits, un tamaño que el propio laboratorio llama obsoleto. Pushmeet Kohli, vicepresidente de ciencia, lo deja en el primer párrafo: los protocolos modernos, casi todos con claves de 2.048 bits o más, siguen seguros. Banca, mensajería, actualizaciones y dinero digital no entran en este recorte.
El trabajo lo dirigen Dj Dvijotham y Abhradeep Thakurta, con Nadia Heninger (UC San Diego e Inria) y Emmanuel Thomé (Inria). DeepMind no nombra el modelo de los agentes. El anuncio vive en X, en el artículo de Kohli y en dos borradores técnicos. En deepmind.google aún no hay una entrada equivalente.
Tres cifras, tres problemas distintos
La primera debilidad va de firmas. El relleno (padding) que se añade al bloque antes de firmar sirve para que nadie fabrique una firma válida a ciegas. Los agentes concluyen que, cuando el atacante controla más o menos la mitad de ese bloque, el relleno deja de aportar protección: falsificar se parece al caso sin relleno. Para comprobarlo, reprodujeron en un entorno aislado un ataque académico ya resuelto sobre una clave de 1.024 bits. Eligieron 3,5 veces menos CPU que el trabajo anterior y menos de una milésima de la computación que haría falta para factorizar esa clave.
El caso más duro es otro. El atacante solo controla un trozo pequeño, por ejemplo una huella de 32 bytes. Ahí DeepMind describe un algoritmo nuevo que, en su estimación teórica, mejora unas 1.600 veces el mejor método previo para claves de 1.024 bits. Esa cifra no es un ataque medido. La segunda debilidad va de factorizar muchas claves del mismo tamaño de una vez. Tras un coste inicial parecido a romper una, el coste medio de cada clave extra de 1.024 bits baja unas 30 veces respecto a los métodos por lotes anteriores. También es un resultado asintótico, no un inventario de claves reales rotas.
| Hallazgo | Qué mide | Alcance |
|---|---|---|
| Padding a mitad de bloque | 3,5× menos CPU en un replay aislado | Firma RSA-1024, clave de un estudio previo |
| Huella de 32 bytes | ≈1.600× mejor, estimación teórica | RSA-1024. No es un ataque ejecutado |
| Factorización por lotes | ≈30× menos coste por clave extra | Muchas claves de 1.024 bits, tras un pago inicial |
| RSA-2048 y más | Fuera del anuncio | DeepMind lo da por seguro en este trabajo |
El paper de septiembre es el banco; Cyber recorre kernel
En septiembre, Shea, Haller, Suhl, Heninger y Thomé publicaron en IACR un ataque de forja a RSA-1024 en tiempo cercano a SNFS, con 1.380 años-núcleo de CPU y 2³² consultas a un oráculo. Ese paper es el banco que DeepMind dice haber reproducido más barato. El hallazgo del 6 de noviembre es el recorte de coste y el algoritmo nuevo, no ese cómputo de cinco meses.
GPT-6 Cyber recorre kernel, reproduce fallos y monta exploits de root. Aquí los agentes buscan matemática: un hueco de padding y un algoritmo de criba más barato por lote. Un ejemplo hipotético: en un inventario de certificados de un laboratorio encuentras una VPN de 2011 con RSA-1024. El anuncio te dice que esa clave entra en el recorte y que conviene sustituirla. El TLS de un banco con 2.048 bits queda fuera de este recorte. Eso ilustra el alcance, no una auditoría hecha aquí.
Revisa el 1024 que te quede; no toques el 2048 por este paper
Si aún tienes RSA-1024 en firmware, VPN, DNSSEC o un HSM que firma a pelo, este es el momento de sacarlo. El relleno no te salva si alguien elige media entrada, y factorizar un lote de claves cortas sale más barato de lo que se daba por hecho. Si tu flota ya está en 2.048 bits o en curvas, el anuncio no te pide un cambio de algoritmo.
Aquí no se ha factorizado ninguna clave ni se han leído los borradores línea a línea más allá de lo que Kohli y DeepMind resumen en X. El motivo para actuar es el 1.024 bits que todavía asoma en un rincón. El motivo para dejar quieta la política de TLS es la frase con la que DeepMind abre: 2.048 y más siguen en pie.